Raul Bazan, iSoftland Argentina Octubre de 2007

Presentación del tema: "Raul Bazan, iSoftland Argentina Octubre de 2007"— Transcripción de la presentación:

1 Raul Bazan, iSoftland Argentina Octubre de 2007
** Start with the Deepsight kiosk flash preso Ask who has security background. Who came from the availability side? Ask any SE’s to add to our discussion today as appropriate. Hamlet Project From which comes two products which we will talk about today. SYMC Endpoint Protection and Symantec Network Access Control 11.0 From this we generate the Internet Security Threat Reports every 6 months. On this document you can base having a conversation with a customer or a prospect every 6 mos to understand what their threat posture or alleviate their post purchase anxiety Alert Services – we can send a ton of info to a customer on various OS etc; it can be a very long . This can be configured by the customer. Also the MS Patch Tues comes out once a month with the several vulnerabilities of the month – which ones are scary and should you deal with. The alert services can help you with this Wells Fargo go this Alert from us and based on our recco to block a particular port they were not impacted by Slammer; Whereas B of A had a group of their ATMS down for an entire weekend. Wells Fargo had no interruption of service Redefiniendo el Antivirus: Presentacion de Symantec Endpoint Protection v11.0 y Symantec Network Access Control v11.0 Raul Bazan, iSoftland Argentina Octubre de 2007

2 Agenda Tendencias en seguridad 1
Puntos principales de EndpPoint Security 2 Control de accesos 3 3 Evaluacion, recursos y proximos pasos 4 4

3 Tendencias en seguridad
Nuevas tecnologias estan cambiando la forma en la que nos comunicamos Symantec lanza un nuevo concepto llamado “EndPoint” el cual apunta a la seguridad de los puntos finales Las empresas comparten informacion a traves de sus “puntos finales” involucrandose en interacciones electronicas cada vez mas complejas. Accesos remotos, chequeos de cuentas bancarias, palms, celulares, wi-fi, notebooks, pendrive, MP3, etc. Las nuevas tecnologias tambien estan introduciendo nuevos riesgos a la seguridad Los riesgos ya no apuntan solo al los dispositivos – ahora apuntan a la informacion y las interacciones Por ejemplo el phishing, el robo de identidad, usuarios maliciosos y el incumplimiento de las politicas, son los nuevos riesgos de hoy Symantec esta juntando un ecosistema de productos, servicios y partners que ayudan a crear un mundo seguro y conectado. In September 2006 we held the Security 2.0 event. What was this about. We were busy managing the communication around the merger of Veritas and Symantec and we wanted to make sure that the market knew that we are the leaders – and Security 2.0 was a Visionary thing for the market to know that we are the thought leaders here. There is a new wave of threats coming and we are ahead of it. JWT likes to say we are happy to see MS involvement in the security market – though they seem to be solving yesterday’s problems.

4 Los problemas en el Endpoint
Numero de amenazas de dia cero Los costos asociados a los endpoints administrados estan en aumento El costo de downtime (tiempo de inactividad) impacta tanto la productividad como las ganancias Los costos de comprar y administrar productos puntuales para cada problematica incrementan los gastos La complejidad tambien esta aumentando Administrar distintas tecnologias de proteccion para el endpoint resultan cada vez mas complejas y requieren capacitacion adicional. Source: Infonetics Research - The Cost of Network Security Attacks: North America 2007 Los ataques del día cero aprovechan las vulnerabilidades que los fabricantes de software todavía no han tenido tiempo de solucionar en sus programas (parches de seguridad). Hace 3 años cuando una vulnerabilidad era descubierta, los fabriantes evaluaban la falla y podrian tardar un mes en liberar el parche, actualmente esas vulnerabilidades son atacadas con “Amenazas de dia cero” Las amenazas del día cero son aquellos ataques provocados por hackers, los cuales aprovechan las vulnerabilidades que los fabricantes de software todavía no han tenido tiempo de reparar (a través de actualizaciones o parches)  en sus programas. Durante este tiempo indefinido (pues el fabricante puede lanzar la actualización o el parche en semanas o meses) todos los equipos como PC’s, servidores y dispositivos móviles quedan expuestos a cualquier ataque cibernético, sin tener una forma mantenerlos seguros. El numero de amenazas conocidas y desconocidas esta en aumento Los ataques silenciosos y dirigidos son los que mas aumentan

5 Worm o Gusanos de Internet...
“Cuales son las fuentes mas comunes de ataques de gusanos automaticos de Internet?” 43% Notebooks de empleados 39% Internet a traves del Firewall 34% Notebooks externas 27% Desde el hogar via VPN Un gusano de internet es un tipo especifico de gusano que aprovecha los medios que provee internet para reproducirse a través de ella. Como cualquier gusano, su fin es replicarse a nuevos sistemas para infectarlos y seguir replicándose a otros equipos informáticos, pero lo que lo califica como un gusano de internet es que aprovecha medios como el correo electrónico, IRC, FTP, y otros protocolos específicos o ampliamente utilizados en internet. 8% Desconocida 8% Otra Source: Enterprise Strategy Group, January 2005 ESG Research Report, Network Security And Intrusion Prevention

6 Repaso de Endpoint Security 6 6

7 Los problemas actuales de los endpoints son atendidos por varias tecnologias…
Client Firewall O/S Protection Buffer overflow & exploit protection Anti crimeware Device controls Network IPS Host integrity & remediation Tecnologia de Proteccion Anti-spyware Antivirus Network Connection Operating System Memory/ Processes Applications Gusanos, exploits & ataques Virus, Troyanos, malware & spyware Malware, Rootkits, Ataques de dia cero Buffer Overflow, key logging Ataques de dia cero, Malware, Troyanos I/O Devices Slurping, robo de informacion malware Exposiciones del Endpoint Always on, always up-to- date Data & File System Slurping: En junio de 2005, Abe Usher, fundador de Sharp Ideas, LLC, desarrolló una prueba de concepto llamada “Slurp.exe” para demostrar lo fácil que es descargar grandes cantidades de datos de forma fácil e ilícita de PCs en red a los iPods. Lo llamó “pod slurping” y escribió, “…en 2 minutos, es posible extraer casi 100MB de archivos Word, Excel, PDF – básicamente cualquier cosa que pudiera contener datos de la empresa…” Para extraer los datos, el usuario conecta el dispositivo de almacenamiento en un puerto USB y corre el archivo ejecutable “slurp”. Se denomina troyano a un programa malicioso capaz de alojarse en computadoras y permitir el acceso a usuarios externos, a través de una red local o de Internet, con el fin de recabar información o controlar remotamente a la máquina anfitriona. A diferencia de los virus y gusanos, los troyanos no se auto replican ni se reproducen infectando otros archivos. En ataques de gusano recientes, como el del gusano Blaster Worm, el gusano está diseñado para hacer un túnel en tu sistema y permitir que usuarios malévolos controlen remotamente tu ordenador. Exploit (del inglés to exploit, explotar, aprovechar) es el nombre con el que se identifica un programa informático malicioso, o parte del programa, que trata de forzar alguna deficiencia o vulnerabilidad de otro programa (llamadas bugs). El fin puede ser la destrucción o inhabilitación del sistema atacado, aunque normalmente se trata de violar las medidas de seguridad para poder acceder al mismo de forma no autorizada y emplearlo en beneficio propio o como origen de otros ataques a terceros. Un rootkit es una herramienta, o un grupo de ellas usadas para esconder los procesos y archivos que permiten al intruso mantener el acceso al sistema, a menudo con fines maliciosos. Hay rootkits para una amplia variedad de sistemas operativos, como Linux, Solaris o Microsoft Windows. Desbordamiento de búfer En seguridad informática y programación, un desbordamiento de buffer (del inglés buffer overflow o buffer overrun) es un error de software que se produce cuando se copia una cantidad de datos sobre un área que no es lo suficientemente grande para contenerlos, sobrescribiendo de esta manera otras zonas de memoria. Como consecuencia, se producirá una excepción del acceso a memoria seguido de la terminación del programa o, si se trata de un usuario obrando con malas intenciones, la vulnerabilidad de la seguridad. El keylogging es un desarrollo de software que se encarga de registrar las pulsaciones que se realizan sobre el teclado, para grabarlas en un archivo o enviarlas a través de internet. Malware (del inglés malicious software, también llamado badware) es software que tiene como objetivo infiltrarse en o dañar un ordenador sin el conocimiento de su dueño. Existen muchísimos tipos de malware, aunque algunos de los más comunes son los virus informáticos, los gusanos, los troyanos, los programas de spyware/adware o incluso los bots.

8 …incluso de Symantec Exposiciones del Endpoint Tecnologia Solucion
Client Firewall O/S Protection Buffer overflow & exploit protection Anti crimeware Device controls Network IPS Host integrity & remediation Tecnologia de Proteccion Anti-spyware Antivirus Symantec Confidence Online Symantec Sygate Enterprise Protection Symantec Network Access Control Solucion de Symantec Symantec AntiVirus Network Connection Operating System Memory/ Processes Applications Gusanos, exploits & ataques Virus, Troyanos, malware & spyware Malware, Rootkits, vulnerabilidades de dia cero Buffer Overflow, inyeccion de procesos, key logging Ataques de dia cero, Malware, Troyanos, inyeccion de aplicaciones I/O Devices Slurping, robo de IP, malware Exposiciones del Endpoint Always on, always up-to- date Data & File System Always on, always up-to- date Applications I/O Devices Memory/ Processes Why do we think we have the best offering? Let’s take a look at the exposures that the endpoint is susceptible to – attacks like Viruses, Trojans and worms are typically handled by basic antivirus solutions and some have gone so far to include anti-spyware to handle spyware and adware. As network-based attacks, rootkits, buffer overflows and other types of attacks you can see that additional technologies [Build] have become a necessary addition to the basic malware coverage. [Build] Symantec offers a variety of solutions to combat this diverse array of attacks and exposures – and quite frankly, customers have told us that we need to make it easier for them to manage all these exposures. [Build] With the Hamlet release, we make it markedly easier to manage endpoint risk by unifying many of these technologies. Operating System Network Connection Data & File System

9 Nuevo Symantec Endpoint Security - Resumen
Incluye un agente NAC (Sygate) Agrega cumplimiento de politicas a la proteccion del endpoint Network Access Control Control de uso de dispositivos externos para prevenir el robo de informacion desde el endpoint (Sygate) Proteccion contra pen drives USB, iPods, CD-RW, etc Device Control Prevencion de intrusos por comportamiento (Whole Security) Inspeccion del trafico de red por vulnerabilidades Intrusion Prevention El mejor personal firewall administrado de la industria 5 Tecnologia Sygate Politicas adaptables – lo mejor en deteccion de ubicacion Firewall La tecnología para seguridad basada en comportamientos identifica las acciones y las características de las amenazas que se extienden a través de la Red como, por ejemplo, las de gusanos, virus, caballos de Troya, programas para registrar las teclas pulsadas y sitios dedicados a procesos de phishing. La tecnología Confidence Online de WholeSecurity se encarga de analizar el comportamiento de estas amenazas, comparándolas con cientos de módulos de detección para determinar si los procesos activos o los sitios web son seguros o no. Esta tecnología puede detectar y eliminar de manera automática amenazas desconocidas gracias al estudio de su comportamiento, sin necesidad de emplear las firmas o parches tradicionales para, de esta manera, proteger a los usuarios frente a los denominados ataques "del día cero" (ataques que se producen cuando se hace pública una vulnerabilidad y todavía no está disponible o no se ha instalado el correspondiente parche). Tecnologia de punta en antispyware, lo mejor de deteccion y remocion de rootkit 4 Incluye tecnologia de escaneo VxMS (Veritas) Antispyware El lider mundial en solucion anti-virus 1 Mayor cantidad de premios VB 100 consecutivos (31) 2 Lider en deteccion de amenazas polimorficas3 Antivirus See backup slides for sources cited

10 Network Access Control
Presentando… Network Access Control Symantec Network Access Control 11.0 Symantec Endpoint Protection 11.0 Device Control Intrusion Prevention Firewall And now, my big announcement – I’d like to introduce “Symantec Endpoint Protection 11.0” and the next version of SNAC, “Symantec Network Access Control 11.0.” We are taking all these essential ingredients and combining them into a single agent, managed from a single console. This solution is the result of years of development and integration, combining the most essential protection and compliance technologies into a single centrally-managed solution. Antispyware Antivirus 10 10

11 Symantec EndPoint Protection v. 11.0 Caracteristicas Principales
Proteccion en multiples capas Proteccion integral contra amenazas conocidas y desconocidas Proteccion contra amenazas sofisticadas como ataques de dia cero y rootkits Todo en un paquete integrado versus otros fabricantes que tienen productos separados Tecnologia Raw Disc Scan Detecta y remueve los rootkits mas dificiles que otros vendors no ven Ahorra el tiempo, el dinero y la perdida de productividad asociados a tener que re-instalar maquinas infectadas Generic Exploit Blocking Bloquea todos los nuevos exploits (incluyendo variantes) de una vulnerabilidad con una sola firma Bloquea el malware ANTES de que ingrese al sistema Deep Packet Inspection Le brinda a los administradores completo control para administrar las firmas de IPS y adecuar el nivel de proteccion a su entorno

12 Symantec EndPoint Protection v. 11.0 Caracteristicas Principales
Escaneo proactivo de amenazas Detecta malware en forma precisa sin necesidad de configurar reglas y sin la preocupacion por falsos positivos Brinda una deteccion mas precisa del malware Control de aplicaciones Evita que el malware se propague o dañe al endpoint Bloquea los endpoints para prevenir filtraciones de datos Permite a los administradores restringir actividades sospechosas o de alto riesgo Control de dispositivos Previene la extraccion o robo de datos confidenciales o sensibles de los endpoints Previene la infeccion de endpoints por parte de virus propagandose desde dispositivos perifericos Unico agente Disminuye el costo total de propiedad para la seguridad endpoint Reduce la carga administrativa Ofrece reportes, licenciamiento y mantenimiento unificados y centralizados No requiere ningun cambio sobre el cliente cuando se agrega SNAC

13 Symantec EndPoint Protection v. 11.0 Caracteristicas Principales
Interfaz cliente simplificada Control administrativo Amigable al usuario Navegacion intuitiva Soporte de Active Directory Reduce los esfuerzos administrativos Aumenta la eficiencia operativa Administracion por roles Ofrece administracion flexible

14 Symantec Network Access Control
Garantiza que los endpoints esten protegidos y en cumplimiento con la politica antes de que accedan a los recursos de la red Opciones de cuarentena, remediacion o acceso total Controla el cumplimiento de la politica antes de garantizar el acceso Ejecuta actualizaciones, programas, servicios, etc. Limita la coneccion a la VLAN, etc This process is delivered via Symantec Network Access Control. An innovative solution that ensures endpoint compliance, and ensures it through utilizing the broadest array of enforcement options. [Build text] Whether fitting into an existing infrastructure, say Cisco or Microsoft, Symantec gives you NAC capabilities right out of the box. Without the need to upgrade every switch router, server or VPN concentrator to get you there. We work within your environment to get your endpoints compliant in the fasted time. Pervasive Endpoint Coverage Unmanaged Guests, Contractors, Home Computers Central, Scalable, Flexible Policy Management Distributed servers, redundancy, data base replication, AD integration Universal enforcement (W)LAN, IPSec VPN, SSL VPN, Web Portal Integration with Existing and Emerging Standards 802.1x, Cisco NAC, Microsoft NAP, TCG’s TNC Automated Remediation Process No user intervention required Learning mode and discovery tools

15 Proceso de Symantec Endpoint Compliance
Discover Se determina lo que debe cumplir el endpoint en relacion a la configuracion de la red Paso 1 Se monitorea el endpoint para garantizar el cumplimiento continuo Paso 4 Enforce Se revisa el cumplimiento de la configuracion contra la politica Paso 2 ü ✗ Monitor IT Policy How does this endpoint compliance process work? [Build Discover] The first step in this process is for the access point to discover the device attempting access. [Build Enforce] From there, the solution can apply an integrity check to determine if the endpoint is compliant with current security policy. [Build Remediate] If out of policy, the system can be quarantined, remediated or given federated access to the LAN. [Build Monitor] Of course, it is also important to have ongoing checks to ensure that, if a security event occurs, that the system can be discovered/remediated at a subsequent time. [Build Altiris] and with our recent acquisition of Altiris, we also add the ability to patch systems easily from a single vendor. We have had this capability in SNAC for some time now, but with Altiris, we are able to offer an extended remediation zone. These steps ensure compliance on contact, but also the ability to have an ongoing connection to that endpoint. Remediate Se toma accion segun el resultado del chequeo de la politica Paso 3 Patch Quarantine Virtual Desktop

16 Un solo agente, una sola consola
Resultados: Symantec Network Access Control 11.0 Symantec Endpoint Protection 11.0 Menor costo, complejidad y exposicion al riesgo Mayor proteccion, control y administrabilidad The result to the customer is Increased Protection, Control and Manageability with Reduced Cost, Complexity and Exposure. 16 16

17 Como disminuimos el costo, la complejidad y el riesgo?
Menor demanda de recursos del sistema, menor utilizacion de memoria. Todas las soluciones en un solo producto Eficiencia operativa Complejidad Menos consolas y agentes, lo cual permite estandarizar las tecnologias Nueva interfaz mejorada para organizaciones de cualquier tamaño Riesgo Incluye IPS por comportamiento para proteger contra ataques desconocidos El control de dispositivos ayuda a proteger contra la perdida de datos y el robo de propiedad intelectual Product Baseline Memory Usage Symantec AntiVirus Corporate Edition 62 MB Symantec Client Security 129 MB Symantec AntiVirus + Symantec Sygate Enterprise Protection 72 MB McAfee Total Protection SMB 71 MB Trend Micro OfficeScan Client Server 50 MB Symantec Endpoint Protection 11.0 21 MB! So how do we lower cost? (Walk through the list on the left) We are lowering costs through reduced number of products to manage, and reduced memory usage With this reduction, we are seeing an average of over 80% reduction in memory usage Microsoft Forefront Client Security is not on here since their offering is only AV, and AS (which runs at around 20MB), with some future Firewall manageability; adding third-party IPS and Device control puts it well above the 21MB indicated for SYMC Endpoint Protection 11.0 How did we manage to add more technology and still reduce  from 129MB to 21MB usage.? What did we do?   SAV and Consumer share a lot of code (all the engines.)  The engine teams (STG) focused a lot on minimizing memory requirements in the consumer 07 releases.  We are seeing a lot of the benefits of the new slimmer versions of the engines and common code. Similar to the work done by the engine teams, we made improvements to our own components to optimize their use of memory. Sygate’s FW is much smaller than the consumer/SCS FW. WholeSecurity was already very tiny. Task Manager 21-25MB Perf Mon will show more like 40MB ???? Average of 84% reduction in memory usage requirements 17 17

18 Necesidades de los clientes que cubrimos con SEP
Entornos complejos de seguridad para clientes SEP combina las principales tecnologias de seguridad en un solo cliente SEP ofrece una sola consola para todas las tecnologias reduciendo la carga administrativa Proteger datos, correo y dispositivos de las crecientes amenazas SEP brinda prevencion avanzada contra amenazas protegiendo tanto de amenazas conocidas como desconocidas Reducir los costos asociados con la administracion de multiples soluciones de seguridad para los clientes de la red SEP reduce los costos de adquisicion, soporte y mantenimiento utilizando un solo agente y consola Comprobar el cumplimiento de las politicas de seguridad de regulaciones internas y externas SEP permite aplicar las politicas de seguridad relacionadas a los clientes de la red, tal como comprobar que el antivirus y el firewall esten activos antes de permitir conexion con la red corporativa

19 Industrias Clave Energia Servicios Financieros Gobierno Salud
Manufactura Telecomunicaciones Key industries for Symantec Endpoint Protection include information-based businesses with sensitive information distributed across networks with hundreds or thousands of managed and unmanaged endpoints. These are just a few examples: – Financial Services—Networks in this tightly regulated industry must protect managed and unmanaged client and customer-confidential information, yet keep it accessible to account managers, help desk staff, and customers. Symantec Endpoint Protection helps protect critical information on both centralized and decentralized networks. – Telecommunications—Availability of critical systems and information is the core of this industry, and competition for customers is intense. Symantec Endpoint Protection helps you craft solutions that deliver efficient, effective protection, and build customer satisfaction and loyalty. – Energy—Gas, electric, and nuclear energy companies defend critical infrastructure to the highest levels of physical and cybersecurity. Symantec Endpoint Security solutions help these companies meet demanding industry requirements, avoiding gaps and errors from complex or decentralized management. – Manufacturing—Flexible supply and distribution networks all come together on the factory floor. Keeping them protected can mean the difference between record sales and excess inventory. Let Symantec Endpoint Protection help you make that difference for your customers. – Government and Healthcare—For local, regional, or national governments; hospitals; and health insurers, protecting private information is a public trust. Yet efficient administration also demands availability of that information to properly authorized officials. Symantec Endpoint Protection helps you build and validate solutions that meet the highest standards of public accountability.

20 Nombre y Packaging Como se llamara comercialmente la nueva version?
Symantec™ Endpoint Protection 11.0 Symantec™ Network Access Control 11.0 Nuevas Suites Symantec™ Multi-tier Protection 11.0 Symantec™ Endpoint Protection Small Business Edition 11.0 Disponibilidad: 10 de Octubre

21 Comparativa entre licencias
Symantec Endpoint Protection Symantec Endpoint Protection Small Business Edition Symantec Multi-Tier Protection Antivirus X Antispyware Desktop Firewall Intrusion Prevention Control de dispositivos SMS for Exchange SMS for Domino SMS for SMTP Very small % of our customers who have bought SAV and SSEP. These folks are not getting a good deal. These will need to be handled one by one. Perhaps we give them a deal on NAC or something. But this is a very small portion of our customers. Most are getting more….. *Grisado = administracion central de un mismo agente en la misma consola

22 Redefiniendo la seguridad del endpoint
Symantec Endpoint Security Solution Endpoint Protection Endpoint Compliance Endpoint Protection protege proactivamente laptops, desktops y servers de malware conocido y desconocido tal como virus, gusanos, troyanos, spyware, adware y rootkits combinando: ·         Antivirus ·         Antispyware ·         Desktop firewall ·         Intrusion Prevention (Host & Network) ·         Device Control Endpoint Compliance controla en forma segura la entrada a las redes ·        Chequeo continuo de la integridad del endpoint ·        Manejo centralizado del cumplimiento del endpoint ·         Remediacion automatica ·         Aplicacion de las politicas de acceso basada en el host ·         Monitoreo y reporte ·         Control de la configuracion de sistema, remediacion y enforcement Definition Symantec Endpoint Protection 11.0 Symantec Network Access Control 11.0 Key Products Symantec Mobile Security Symantec On-Demand Protection (for OWA & Web Apps) Symantec Critical System Protection Other Products

23 Cliente Beta de Symantec Endpoint Protection

24 Beta Publica Disponible en la web publica
Solamente la porcion cliente de Symantec Endpoint Protection 11.0 (no es el codigo final del producto) Info, Registracion y Download en Foros de discusion para usuarios finales y Partners On STN: PM blog:

25 Q&A gracias. © 2006 Symantec Corporation. All rights reserved.
THIS DOCUMENT IS PROVIDED FOR INFORMATIONAL PURPOSES ONLY AND IS NOT INTENDED AS ADVERTISING. ALL WARRANTIES RELATING TO THE INFORMATION IN THIS DOCUMENT, EITHER EXPRESS OR IMPLIED, ARE DISCLAIMED TO THE MAXIMUM EXTENT ALLOWED BY LAW. THE INFORMATION IN THIS DOCUMENT IS SUBJECT TO CHANGE WITHOUT NOTICE.