Upgrade to Pro — share decks privately, control downloads, hide ads and more …

【shownet.conf_】3Dアプローチで守るセキュリティ

ShowNet
September 30, 2024

 【shownet.conf_】3Dアプローチで守るセキュリティ

ShowNet NOCチームメンバー
神宮 真人(情報通信研究機構)

ShowNet

September 30, 2024
Tweet

More Decks by ShowNet

Other Decks in Technology

Transcript

  1. セキュリティ対策全体像 9 NPB バックボーン トラフィック ✓ NGFW ✓ IPS ✓

    NDR ✓ Sandbox ✓ Forensics NGFW + Sandbox NGFW + Sandbox TAP ✓ SIEM ✓ XDR ✓ XSOAR ✓ TIM 脅威検出アラート 脅威情報 マネジメントネットワーク セキュリティ リモートアクセスサービス 外部攻撃対象領域管理 Deception デコイ(攻撃のおとり) アラート分析・自動化 脅威検出 Script インディケータ 出展社向けセキュリティサービス 出展社ブース ✓ SASE ✓ ZTNA ✓ VPNaaS ✓ Remote Access GW ✓ EASM ✓ SASE 認証情報管理 被疑端末特定支援 感染端末 統合認証 **** ✓ SSO
  2. セキュリティ対策全体像 10 NPB バックボーン トラフィック ✓ NGFW ✓ IPS ✓

    NDR ✓ Sandbox ✓ Forensics NGFW + Sandbox NGFW + Sandbox TAP ✓ SIEM ✓ XDR ✓ XSOAR ✓ TIM 脅威検出アラート 脅威情報 マネジメントネットワーク セキュリティ リモートアクセスサービス 外部攻撃対象領域管理 Deception デコイ(攻撃のおとり) アラート分析・自動化 脅威検出 Script インディケータ 出展社向けセキュリティサービス 出展社ブース ✓ SASE ✓ ZTNA ✓ VPNaaS ✓ Remote Access GW ✓ EASM ✓ SASE 認証情報管理 被疑端末特定支援 感染端末 統合認証 **** ✓ SSO 攻撃者視点のアプローチ オペレータ視点のアプローチ 俯瞰的視点のアプローチ 回線利用者視点のアプローチ
  3. インラインファイアウォール構成 13 Palo Alto Networks PA-5445 Fortinet FortiGate 3201F Cisco

    Systems Secure Firewall 4245 Juniper Networks SRX2300 インターネット サンドボックスと連携 サンドボックスと連携 FortiNDR WildFire Secure Malware Analytics ATP Cloud 出展社 ホール2・4 出展社 ホール3 出展社 ホール5 出展社 ホール6
  4. セキュリティ検知数・ブロック数 16 検知数 ブロック数 6/12(水) 17,008,313 27,183 6/13(木) 21,965,872 25,595

    6/14(金) 17,655,823 34,081 合計 56,630,008 86,859 3日間(65時間)で約5660万件のリスクを検知 内、8万件強の悪性通信をブロック ※テスターによる疑似トラフィックや、アドウェア/グレーウェアなどの通信を含む
  5. 運用上の苦労・工夫点 ➢チューニング ✓出展社ブースでのデモ通信等がセキュリティサービスによって予期せぬ遮断 がされてしまうことがある ✓まずは遮断している原因を特定 • アラートを集約するSIEMや機器の管理コンソールで遮断した形跡を探す ✓過剰なFWルールによって遮断されていた場合はルールを緩和 • ex)

    新規登録ドメイン(NRD)による過検知 ➢検証 ✓各出展社ブースのネットワークにはセキュリティサービスの有効/無効、通 るべきFW機器等の要件がある ✓すべてのネットワークが要件を満たしているかを確認するためにテストツー ルを開発して都度検証を実施 17
  6. 脅威検出とアラート分析対処 19 複製 • 監視すべき接続ポイントに光TAPを配置 集約 • 複製トラフィックを集約 処理 •

    パケットブローカで重複排除やパケット処理 分配 • 多種多様のアプライアンスに分配 検知 • アプライアンスで脅威を検知 集約 • 膨大な検知アラートを集約 分析 • アラートを分析し、要対処インシデントを検出 ト ラ フ ィ ッ ク 処 理 ア ラ ー ト 処 理
  7. トラフィック複製 Passive TAP TX RX TX RX TX TX A

    B A B FlexTap 11箇所のリンクに光TAPを接続
  8. トラフィック集約 / 処理 / 分配 21 Vision400 VisionE100 Profitap PA-5450

    FG3201F FortiNDR FortiNDR Cloud ISNG9895 w/ OCI CheckPoint ArborEdgeDefense NIRVANA改 Synesis TAP dedup trimming 脅威検出 ネットワークフォレンジック DDoS攻撃検知 可視化 処理済み トラフィック 複製 トラフィック Secure Network Analytics
  9. アラート検知 / 集約 / 分析 22 Cortex XDR / XSOAR

    NIRVANA改 Splunk Enterprise Security 脅威アラート 集約 PacketMaster 脅威アラート 分配 脅威検出機器群 SIEM / XDR オペレータ 対処が必要な インシデントを確認
  10. 外部攻撃対象領域管理(EASM) 24 Cortex Xpanse Pentera Surface Tenable ASM ULRTA RED

    ネットde診断 OSINT Exploit PortScan ・・・ EASMサービス 攻撃可能な領域を通知 VulnScan 対処 オペレータ ShowNetに設置したデコイを含めた 攻撃対象領域を様々なEASM製品で管理 攻撃可能な領域を検出 深刻な攻撃対象が検出された 場合は是正対処を実施 様々なアプローチで検出 ShowNetのドメイン / IPアドレスを登録
  11. 攻撃の顕在化 25 受けた攻撃をレポート ✓ RedHat ✓ macOS ✓ IoT (ルーター)

    ✓ IoT (スイッチ) ✓ IoT (プリンター) ✓ IoT (IPカメラ) ✓ SAP ✓ VoIP (4G/5G) ✓ Webmin ✓ Citrix ShowNetで稼働するデコイ 攻撃者の行動を監視 攻撃者 攻撃 ShowNetオペレータ ShowNetの潜在的な 攻撃リスクを認識 FortiGate901G FWと連携して攻撃者を隔離 FortiDeceptor
  12. 終端装置 5種のサービスを運用 29 Duo SAML IdP Device Posture TTDB SAML

    IdP SP SP 2FA 管理ネットワーク Prisma Access SMART Gateway Keeper Connection Manager Cisco Secure Access FortiSASE リモートアクセスサービス ✓ SSO ✓ 利用者情報 AnyConnect FortiClient GlobalProtect Agent Free Agent Free SASE SASE ZTNA Remote Desktop Remote Desktop pa3440.sec fg901g.sec c8500.svc smart-gw.sec keeper-cm.sec VPNaaS The Internet
  13. ZTNAとVPNaaS 31 HTTPS HTTPS ポスチャチェック + 認可 ポスチャチェック + 認可

    Device1 Device2 IPsec IPsec TLS ポスチャチェック + 認可 ZTNA:セッションごとにポスチャチェックと認可を実施 VPNaaS:トンネル接続時にポスチャチェックと認可を実施 Device1 Device2
  14. 認証情報管理 ➢Keeper Password ManagerによりShowNetを 構成する全ての機器の認証情報を管理 ➢認証情報の共有 ✓ 個人から個人へ共有 ✓ NOCから全員へ共有

    ✓ NOCからコントリビュータ、NOCからSTMへ共有 ➢権限管理 ✓ チームで権限を管理 ✓ 指定条件によりBotがチームを自動割り当て ➢利便性向上 ✓ ブラウザ拡張機能サポート ✓ フォームへの自動入力 34 NOC Team Contributor Team STM Team **** Write Read Read NOC→全員 共有ボルト User B **** Write Read 個人→個人 共有ボルト User A NOC Team STM Team Contributor Team STM Activate 条件により Botがチームを 自動割り当て User A **** 個人用ボルト
  15. リモートアクセス・パスワードマネージャ 利用数 リモートアクセス パスワードマネージャ 6/1 (土) 56 337 6/2 (日)

    289 341 6/3 (月) 293 363 6/4 (火) 267 251 6/5 (水) 275 185 6/6 (木) 213 177 6/7 (金) 170 122 6/8 (土) 51 140 6/9 (日) 67 94 6/10 (月) 181 156 6/11 (火) 199 138 6/12 (水) 164 73 6/13 (木) 147 72 6/14 (金) 96 80 35
  16. 管理用ネットワークのセキュリティ ➢マネジメントネットワークからのインターネットアクセスを制御 ➢SASEを用いることでセキュアなインターネット接続をクイックに提供 ➢SASEのセキュリティコンポーネントで悪性通信を検出 管理ネットワーク ShowNet構成機器 Umbrella Secure Internet Gateway

    C8500 The Internet CDF/IPS SWG アセット情報ベースで アクセス制御 TTDB asset 参照 Anti-malware TI TTDB/SD-WAN Connector Catalyst SD-WAN API DNS Security Internet OK Internet NG Internet OK - switch X - server Z Internet NG - router Y Internet OK
  17. 被疑端末特定支援 39 FortiGate AX-Collector The Internet netflow 被疑端末 NAT ➢NAT機器のログ情報を可視化

    ➢インシデント被疑端末のNAT変換前後のアドレスを紐づけてオペレータによる 端末特定作業を支援 AX-NVで可視化 時刻/IPアドレス/ポートの 組み合わせで被疑端末を特定 グローバルIPアドレス(x.x.x.x)から 不審な通信を受信した マルウェアに感染している可能性あり 外部機関 private global 報告