Сегодня в России очень модной стала тема SOC и SIEM. Все их строят и пишут. Вы знали, что в России уже около десятка собственных систем мониторинга событий безопасности (SIEM)? Эту цифру перевалило и число коммерческих SOCов, предлагающих свои услуги заказчикам, которые попадут под требования 187-ФЗ о безопасности критической информационной инфраструктуры и вынуждены будут оперативно отдавать данные об инцидентах в ГосСОПКУ. Но какую бы цель не преследовали создатели SIEM и SOC, и на каком бы уровне зрелости они не находились, они все равно сталкиваются с базовой задачей — сбора событий безопасности и журналов регистрации от разрозненных средств защиты информации.

Согласно данным компании Canalys (а она единственная кто продолжает оценивать российский рынок решений по ИБ), лидером отечественного рынка продолжает оставаться компания Cisco. Поэтому вполне разумно предположить, что одной из первых задач, которая должна стоять перед разработчиками SIEM/SOC, — это интеграция с решениями нашей компании. Но вокруг такой интеграции бытует множество мифов и заблуждений, которые можно описать диалогом, который у меня недавно случился с одним из отечественных производителей SIEM:

— А почему вы не интегрируетесь с решениями Cisco?
— Так у вас уже все проприетарное?
— Нет, это не так!
— Да? А мне говорили, что у вас закрытые API и доступ к ним стоит денег.
— Нет, и это не так!

Раздается недавно звонок:
— Добрый день! Я бы хотел получить спецификацию на межсетевой экран Cisco ASA. У меня уже есть спецификации от компании <имярек> и я хочу сравнить их и выбрать подходящую. Вы можете мне помочь в этом?
— Да, конечно. А для чего вам нужна Cisco ASA?
— Мне необходимо заблокировать Tor.
— А вам нужна именно Cisco ASA для этого?
— Ну а как? Вот компания <имярек> говорит, что ее межсетевой экран блокирует Tor. Поэтому я хочу сравнить стоимость их экрана с вашим.
— То есть вам нужно заблокировать Tor и вы ищите для этого нужное вам решение?
— Да-да (раздраженно). Так вы можете мне составить спецификацию? Какие исходные данные вам нужны?
— Для решения именно этой вашей задачи, если другие перед вами не стоят, необязательно использовать Cisco ASA. Блокировать работу с Tor вы можете с помощью различных наших решений — Cisco Web Security Applaince, Cisco Umbrella Security Internet Gateway, Cisco Cloud Web Security, Cisco Meraki MX, Cisco Firepower, Cisco AMP for Endpoints… В конце концов вы можете с помощью скрипта подгружать адреса узлов сети Tor в маршрутизатор Cisco ISR и блокировать их с помощью ACL. В последнем случае вам и тратить ничего не придется.
— Да? Вот блин. Мне надо тогда подумать…
— Давайте мы с вами вместе составим перечень задач, которые вам надо решить, и угроз, с которыми надо бороться, и тогда уже выберем наилучшим образом подходящий продукт?
— Хорошо, давайте. Вы сможете к нам подъехать завтра к 10-ти утра?
— Конечно.

Сегодня многие владельцы торговых площадок, выставочных центров и других заведений, принимающих у себя клиентов, задумываются — как сделать опыт посещения площадки инновационным, удобным и повысить лояльность клиентов, например, предложив навигацию по помещению? Как взаимодействовать с посетителями через их мобильные устройства? Как собирать аналитику, чтобы лучше понимать свою аудиторию, ее интересы и потребности?

Для этих целей предлагаются решения на основе технологий Wi-Fi и радиомаячков (iBeacon). Вместе с мобильным приложением или без него такие решения должны обеспечивать три основных сервиса – навигацию в помещении, информирование при приближении (proximity messaging) и аналитику по присутствующим устройствам. Фантазия позволит нам расширить количество сервисов для разных отраслей – аудиогид для музеев, поиск опаздывающего к выходу пассажира для аэропортов и т.д.

Предлагаю разобраться в особенностях обеих технологий, их преимуществах и ограничениях, и сделать выводы о том, какие результаты возможны, а какие нет.

Мы все наблюдаем проникновение цифровизации в бизнес — рост трафика данных, использование мобильных приложений, облачные сервисы. Качественная сеть с надежным беспроводным доступом в офисе сегодня – базовая потребность не только для больших корпораций, но и для малого бизнеса.

Как построить надежную, производительную, простую в эксплуатации сеть за небольшие деньги?

Продажей торговой марки Linksys в 2013 году компания Cisco продемонстрировала свою приверженность масштабным высокопроизводительным решениям для корпораций, использующих богатый функционал. Однако, жизнь меняется, и сегодня за небольшими сетями компания видит большой бизнес.

Cisco запускает в России линейку точек доступа Wi-Fi в нижнем ценовом сегменте – это модели Cisco WAP150, WAP361, WAP571, а через пару месяцев появится и уличный вариант WAP571E. Эти продукты поддерживают новейший стандарт 802.11ac и позволяют строить сети, в которых работает 50-500 пользователей. Решения широко применяются в офисах, рознице, для подключения удаленных работников, на парковках, в школах, бассейнах, складах, логистических центрах и конференц залах. В тех местах, где требуются экономичные надежные решения без сверхзадач по производительности и функционалу. Данные продукты часто выбираются операторами связи для услуги управляемого Wi-Fi.

Основные преимущества беспроводных решений Cisco для малого бизнеса:
 Надежные и простые в использовании
 Конкурентоспособный функционал
 Доступная цена
 Простота установки, web интерфейс
 Техподдержка Cisco

Решение для малого бизнеса от Cisco дополняется коммутаторами и маршрутизаторами, разработанными для этого же сегмента.

Я не хотел писать заметку про Petya/Nyetya/NePetya и другие названия вредоносного кода, который в начале недели в очередной раз заставил содрогнуться мир по версии многих СМИ. Мое нежелание было продиктовано двумя причинами. Во-первых, именно нас, то есть компанию Cisco и ее подразделение Talos (про него я уже упоминал тут, но, видимо, придется рассказать чуть больше, что это за подразделение), пригласили участвовать в расследовании происходящего в Украине, а писать о результатах следствия до его окончания мы, понятно, что не имеем возможности. Да и после окончания следствия не все его результаты будут опубликованы. Во-вторых, надо признаться, что я не разделяю того ажиотажа вокруг вредоносного кода, названного нами Nyetya, который последние дни только подогревается разными публикациями и заявлениями.

Что в нем такого уникального, что его отличает от других вредоносных программ и от того же WannaCry? Почему никто так много не пишет про Jaff или BitKangoroo, которые распространялись в то же время, что и WannaCry и использовали схожие методы? Почему никто не снимает репортажей и не обсуждает Untukmu, Shifu, Blackshades или тот же Locky, который заразил больше компьютеров чем WannaCry, Petya, Misha и Nyetya вместе взятые? Почему специалисты по ИБ с серьезным лицом обсуждают, кто раньше из них отреверсил “Петю” и кто быстрее всех распространил индикаторы компрометации? Кто-то называет 30 минут, кто-то 37 минут, кто-то “проснулся” только через несколько часов…

Администраторы небольших и средних компаний часто не используют большинство функций своего корпоративного файрвола. По статистике, основных причин этого несколько. В 25 % случаев главные настройки выполнены, а на другие у администратора не хватает времени. Еще в 34 % случаев они не справились с настройками. И в 41 % случаев все имеющиеся функции попросту не требуются им. Из этого можно сделать вывод: шлюз безопасности нужно выбирать только в соответствии со своими собственными задачами и возможностями, не ориентируясь на весь перечень функций.

Для требований большинства компаний – как малых и средних, так и крупных с географически распределенной инфраструктурой – отлично подойдут шлюзы безопасности Cisco Meraki MX. Они просты в настройке, не требуют присутствия администраторов безопасности в отдаленных филиалах и вместе с тем используют те же наборы сигнатур, что и топ-решения Cisco Firepower.

В компании Cisco есть подразделение Talos, которое занимается широким спектром исследований в области угроз информационной безопасности (последнее исследование WannaCry — тоже их рук дело). В основе Talos лежит множество данных, собираемых по всему миру и анализируемых в круглосуточном режиме:

• 90 миллиардов DNS-запросов ежедневно
• 18,5 миллиардов файлов ежедневно, из которых 1,5 миллиона вредоносных (к слову сказать, Лаборатория Касперского 2 миллиона вредосноных программ детектирует еженедельно)
• 16 миллиардов Web-запросов (URL) ежедневно
• 600 миллиардов сообщений электронной почты ежедневно.

В прошлую пятницу, аккурат под конец дня, когда все администраторы и специалисты по безопасности засобирались по домам и дачам, мир облетела новость о начале беспрецедентной атаке WannaCry. По истечении пары дней уже можно сказать, что не зря название этой атаки ассоциируется с песней Кита Урбана «Tonight I Wanna Cry» («Сегодня я хочу плакать»). Ее масштабы оказались достаточно зловещими — на момент написания число жертв превысило 230 тысяч и это число может вырасти, когда многие вернутся с выходных и отпусков и включат свои домашние и рабочие компьютеры. Мы, в нашем подразделении Cisco Talos, еще в пятницу опубликовали свое исследование данной вредоносной программы и сейчас хотели бы поделиться отдельными ключевыми моментами с пользователям Хабра.

Вступление:

Рассматривая безопасность, встроенную в сетевую инфраструктуру и говоря о таких понятиях как ДНК (DNA), мы имеем ввиду что-то очень глубоко интегрированное и заложенное в саму сущность, в рассматриваемом случае в саму сущность сети. Но начнем мы в принципе с самого понятия DNA и как его видит Cisco для сети в целом и какую роль здесь играет информационная безопасность.

Концепция DNA:

DNA – это новый подход Cisco к инфраструктуре, который несет в себе возможности обеспечить технологии и подходы, которые могут дать современному бизнесу те преимущества и те драйверы которые требуются современному предприятию для эффективного ведения бизнеса в эпоху Цифровизации.

В статье рассматривается сегментация сети — важный инструмент обеспечения информационной безопасности (ИБ), позволяющий значительно снизить вероятность инцидентов безопасности и связанный с ними ущерб даже в случае проникновения злоумышленников внутрь периметра корпоративной сети.

В феврале этого года в России открылись к заказу точки доступа Cisco Aironet серий 2800 и 3800 — флагманские точки портфолио Cisco с поддержкой стандарта 802.11ac Wave 2. Эти продукты позволяют достичь невиданной ранее производительности в сети Wi-Fi – 5.2Гб/с. Производство точек доступа серий 2800, 3800 находится в России, в городе Тверь.


Cisco Aironet серий 2800 и 3800 разработаны для надежной, продолжительной и высокопроизводительной работы.

Злоумышленники, для заражения компьютеров пользователей, очень часто применяют методы, направленные на обман пользователей, набирающих в строке браузера адрес интересующего их сайта. Например, typosquatting (он же URL hijacking), то есть использование ошибок пользователей, которые могут ошибиться в написании домена на клавиатуре. Например, если в написании домена cisco.ru ошибиться и вместо первой буквы «c» набрать стоящую на клавиатуре рядом букву «v», то мы попадем не на сайт Cisco, а на домен, который в данный момент находится в продаже.


А если, например, ввести вместо «sberbank.ru» домен «sbrrbank.ru» (спутав стоящие рядом «e» и «r»), то мы попадем на вот такой ресурс.

К настоящему моменту в мире используется свыше 70 миллиардов метров кабельной инфраструктуры Ethernet на базе UTP кабелей категорий 5е и 6. Это 90% от всей инсталлированной базы. Это также означает, что до недавнего времени такая инфраструктура не поддерживала скорости свыше 1Гбит/с (1000 BASE-T) — для полноценной поддержки стандарта 10G BASE-T требуется кабель категории не ниже Cat 6a.

Для индустрии это не являлось проблемой до тех пор, пока не стали появляться технологии, требующие массового использования подключений со скоростями выше 1Гбит/с. И здесь катализатором процесса стала ратификация беспроводных стандартов 802.11ac Wave2 – беспроводные точки доступа, поддерживающие данный стандарт, способны обеспечить своим клиентам полосу пропускания 3.8Гбит/с или 6.5Гбит/с.

К 2020 году 50% всего Интернет трафика будет сгенерировано подключениями по Wi-Fi, согласно прогнозу Cisco VNI (Cisco VNI на русском языке), а проводными подключениями всего 22%. Остальные 28% придутся на подключения по мобильным сетям передачи данных. Очевидно, что значение надежного подключения по Wi-Fi для бизнеса продолжает расти, т.к. все больше и больше производственных процессов зависят от него.

Чуть более года назад Apple и Cisco объявили о партнерстве с целью трансформации бизнеса через мобильность. Этот год Apple и Cisco активно работали над тем, чтобы обладатели устройств iOS 10 могли получать наилучший опыт работы с приложениями. Cisco и Apple внесли изменения в стандартное взаимодействие устройств и Wi-Fi инфраструктуры, сделав сложное простым и для пользователя, и для ИТ-администратора. В результате устройства с ОС iOS10 и сети Wi-Fi Cisco могут «узнавать» друг друга, что приводит к оптимизации подключения в сети Wi-Fi и приоритизации бизнес-приложений.

Чуть больше месяца назад закончились Олимпийские игры в Бразилии, на которых Cisco уже традиционно отвечала за сетевую и серверную инфраструктуру, включая и их безопасность. И сегодня уже можно поделиться нашим опытом обеспечения сетевой безопасности летних Олимпийских игр в Рио, тем более, что мы уже можем сравнивать происходящее с играми в Лондоне в 2012-м году, где Cisco также обеспечивала сетевую безопасность всех спортивных сооружений и мероприятий.

Как часто бывает, сначала ты ищешь решение на рынке и, не найдя его, делаешь самостоятельно и под себя. А потом получается настолько хорошо, что ты отдаешь это другим. Так было и с OpenSOC, open source решением для управления большими объемами данных в области кибербезопасности, которое было разработано в Cisco для своих собственных нужд, а потом было выложено на GitHub для всеобщего доступа.

Базовые задачи ИТ практически не менялись на протяжении последних десятилетий. Изменения, как правило, касались используемых технологий, а не процессов или требований, используемых или предъявляемых к ИТ. Такое положение вещей продолжалось до тех пор, пока ИТ оставалось исключительно сервисной службой, а участие ИТ в основном бизнесе предприятия было крайне ограниченным.

Сегодня мы наблюдаем стремительные изменения, источником которых стала повсеместная цифровизация современного бизнеса – компании активно используют современные технологии для получения конкурентных преимуществ.

В марте 2016 года компания Cisco представила новую архитектуру для корпоративных сетей – Cisco Digital Network Architecture или Архитектура цифровых сетей Cisco. Что представляет собой новая архитектура? Какие ее основные особенности и отличия? Какие задачи решает и какими преимуществами обладает? На эти и многие другие вопросы будут даны ответы в этой статье.

Рис 1. – Архитектура Cisco Digital Network Architecture — Cisco DNA

Тех, кто посещает нашу штаб-квартиру с Сан-Хосе всегда поражает большая видео-стена, отображающая картину атак в реальном времени с возможностью детализации после прикосновения к определенным областям экрана.



Однако как и любая карта атак, а у меня в коллекции их уже 34, любая такая визуализация малоэффективна в реальной жизни. Показать начальству, показать журналистам, включить в какой-либо ролик… Это все полезно, но в практической деятельности применимо мало. Обычно у вас собственные наборы данных, которые генерятся вашими средствами защиты. И вам интересно то, что происходит в вашей сети или направлено на вашу сеть, но уж точно не красивые карты с “ударами баллистических ракет”, которые рисуются абсолютным большинством компаний, предоставляющих сервисы визуализации атак.

Знаете ли вы что из себя представляет сеть компании Cisco? Вот несколько цифр, показывающих масштаб стоящих перед нашими ИТ- и ИБ-службами задач:

• 3 миллиона IP-адресов
• 40 тысяч маршрутизаторов
• 215 тысяч инфраструктурых устройств
• 120 тысяч пользователей
• 275 тысяч узлов, из которых 135 тысяч лэптопы и десктопы и 68 тысяч — мобильные устройства на платформах iOS, Android, BlackBerry, Windows и других
• Офисы в 170 странах мира
• 26 тысяч домашних офисов
• 1350 лабораторий
• 300 бизнес-партнеров, имеющих доступ к нашей инфраструктуре (логистика, производство, разработка, тестирование и т.п.)
• свыше 700 облачных провайдеров услуг, которыми мы пользуемся в своей повседневной деятельности.

В августе 2015 года компания Cisco Systems закончила покупку компании OpenDNS.

Безусловно, это одна из самых громких и удачных покупок в области информационной безопасности. Для клиентов Cisco – это беспрецедентная возможность очень просто и быстро повысить уровень безопасности всей организации. Добавляем в качестве внешних серверов разрешения доменных имён (DNS) пару айпишников OpenDNS – вот и всё, что надо для начала использования высоконадёжной и, главное, безопасной инфраструктуры фильтрации угроз на базе DNS-запросов.