Jesús Díaz – jdiaz@paloaltonetworks.com Diseñando soluciones Zero Trust con una plataforma de seguridad de nueva generación Jesús Díaz – jdiaz@paloaltonetworks.com

Problemática

Modelo de confianza tradicional Internet FW de nivel 4 + IPS Trust Partners Untrust Extranet Trust Untrust tcp/139/445 abiertos a través de toda la red Trust ¿¿Tiene sentido??

Ciclo de vida de un ataque avanzado Movimiento lateral Brecha en servidores Zero-Day C&C Obtener inteligencia Planear el ataque Comprometer red y hosts Entregar malware nuevo, desconocido y silencioso Más control de red Identificar recursos y usuarios de valor Robar datos Robar propiedad intelectual con canales encubiertos ¡Asume que ALGO entrará! ¿Puedes controlar lo que sale (C&C)? 4 | ©2014, Palo Alto Networks. Confidential and Proprietary.

¿Entonces cuál es el problema? Internet Trust Partners IPS AntiVirus AntiSpyware Filtrado URL Seguridad DNS Detección C&C Sandbox Untrust Extranet ¡Zona libre! Trust Untrust

¿Qué es el modelo Zero-Trust?

CONFÍA PERO VERIFICA

Modelo Zero Trust Untrust Untrust Untrust Untrust Internet Control positivo de aplicaciones Control de tráfico desconocido IPS AntiVirus AntiSpyware Filtrado URL Seguridad DNS Detección C&C Sandbox Untrust Partners Untrust Extranet Untrust Untrust

Conceptos de zero trust (Forrester) Todos los recursos son accedidos de manera segura, independientemente de la localización. El control de acceso es estrictamente forzoso para todos los usuarios. Verificar siempre y no confiar nunca. Inspeccionar y loguear todo el tráfico. La red se diseña de dentro hacia afuera.

Deconstruyendo la red tradicional Edge FW IPS Core Email WCF WAF VPN DAM DLP DB ENC Distribución IPS IPS WLAN GW FW NAC FW Acceso

Reconstruyendo la red de manera segura FW WLAN GW CRYPTO AM CF IPS WAF NAC FW IPS AC Email WCF DAM Packet Forwarding Engine DLP DB ENC VPN

Gateway de Segmentación FW IPS CF AC Crypto AM NGFW Alta velocidad Múltiples interfaces 10G Integrado en el ADN de la red 12 | ©2014, Palo Alto Networks. Confidential and Proprietary.

Zero Trust en detalle User MCAP WWW MCAP Management = Backplane MCAP – Micro Core and Perimeter Los recursos MCAP tienen una funcionalidad similar y comparten los atributos de las políticas globales Los MCAPs se gestionan centralmente para crear un switching fabric de seguridad unificado User MCAP WWW MCAP MGMT server Management = Backplane 13 | ©2014, Palo Alto Networks. Confidential and Proprietary.

Implementando Zero-Trust con Palo Alto Networks

Es imperativo ofrecer flexibilidad en el despliegue de red Modo visibilidad (tap) Virtual Wire L2 L3 Recolección de logs distribuida y gestión centralizada Log Collector Distribuido Log Collector Distribuido Panorama 15 | ©2014, Palo Alto Networks. Confidential and Proprietary.

Ej. de segmentación con MCAP – Zonas de Seguridad Base de Datos Web Aplicación Crear perfiles de seguridad separados: Perfil “Base de Datos” Perfil “Web” Perfil “Aplicación” Las zonas de seguridad representan redes con diferentes niveles de confianza, independientes de la localización del tráfico. Cada zona puede tener diferentes políticas y perfiles El grupo “Finanzas de la Universidad” puede acceder a la zona PCI usando la aplicación Oracle Inspeccionar todo el contenido de Oracle buscando amenazas y DLP 16 | ©2014, Palo Alto Networks. Confidential and Proprietary.

Solución completa en el datacenter Seguridad Red Aplicación Sistemas de Orquestación Red Corporativa Securización del tráfico Norte-Sur Securización del tráfico Este-Oeste Servidores Virtualizados Servidores Físicos 17 | ©2014, Palo Alto Networks. Confidential and Proprietary.

La importancia de la nube

La importancia de la nube: Wildfire WildFireTM Nube Pública Red Empresarial Exe, APK, PDF, JAR, Office, weblinks, … Ficheros Protecciones Internet Plataforma de Seguridad de Palo Alto Networks Nube Privada (appliance WF-500 opcional) Ficheros Protecciones center

WildFire: Entorno de emulación de amenazas WildFire: inteligencia de nube compartida Windows 7 Superficie de ataques de aplicación Móvil Windows XP Entorno de emulación total de amenazas en hardware Visibilidad Evasión Anti-VM Entorno virtual personalizado, Hypervisor y S.O. Plataforma Hardware basada en nube elástica Visibilidad completa por Puerto, Protocolo & Cifrado

Técnicas de detección core de WildFire Fase I Fase II Fase III Fase IV Los ficheros sospechosos son recopilados por todas las plataformas Filtrar los Benignos Análisis estático de PDF, Office, Java y APKs Análisis dinámico Ficheros conocidos Fuentes confiables Ficheros incrustados Código incrustado Anomalías de estructura Shell-code incrustada Tráfico de red Actividad del fichero Actividad de procesos & servicios Cambios en el registro Análisis con ejecución … … Se filtra los bueno conocido El análisis escala sin ejecución Descubre amenazas desconocidas basándose en el análisis de 200+ comportamientos maliciosos Genera protecciones Genera protecciones

Efectos visibles de WildFire Fuentes de amenazas Usuarios WildFire WildFire Pública Privada Firmas WildFire Firmas AV Firmas DNS Filtrado URL Malware Firmas Anti-C&C ~15 Minutos 24 Horas 24 Horas 30 Minutos 1 Semana

WE DON‘T HAVE BETTER ALGORITHMS. WE JUST HAVE MORE DATA. PETER NORVIG, Director of Research at Google

Nube: Capacidad de escalado En un día normal WildFire recibe unos 280.000 ficheros únicos 11.600 cada hora 195 cada minuto 3 cada segundo De los desconocidos alrededor de 30.000 son malware nuevo >70% no detectado por ninguno de los AV líder De media, cada fichero se procesa en menos de 6 minutos Incluso a pesar de que el volumen de ficheros se ha cuadruplicado 6.0 Released 24 | ©2014, Palo Alto Networks. Confidential and Proprietary.

Plataforma integral Nube de Nueva Generación Firewall de Nueva Generación Automated Nube de Nueva Generación Inspecciona todo el tráfico Bloquea las amenazas conocidas Envía lo desconocido a la nube Extensible al móvil y al entorno virtual Obtiene las amenazas potenciales de la red y el endpoint Analiza y correla el comportamiento Disemina las contramedidas a la red y al endpoint Extensible Network Cloud Natively integrated Endpoint Endpoint de Nueva Generación Inspecciona todos los procesos y ficheros Previene exploits conocidos y desconocidos Se integra con la nube para la prevención de lo desconocido 25 | ©2014, Palo Alto Networks. Confidential and Proprietary.