Banking Forum‘07 Jesus Diaz – jesusd@radware.com Protección frente al fraude analizando los business-events en la red APSolute Inflight Banking Forum‘07 Jesus Diaz – jesusd@radware.com

¿Qué es APSolute Inflight? Ejemplo de funcionamiento Resumen Dudas Agenda Sobre Radware ¿Qué es APSolute Inflight? Ejemplo de funcionamiento Resumen Dudas

Sobre Radware

Sobre Radware $158M en caja, Sin deuda Proveedor líder en el mercado de las soluciones business-smart para una entrega rápida, segura y confiable de las aplicaciones críticas Fundada en 1997, Pública desde Sept. ‘99 (NASDAQ: RDWR) Ventas en más de 40 países, con más de 130 resellers y distribuidores Aproximadamente 500 empleados $158M en caja, Sin deuda The company has grown by 25% year over year while the market had only a 5% growth according to IDC. This means that we are taking market share from our competitors every quarter. Financially Radware is extremely solid, profitable and we generated last year 13M$ in cash bringing our cash position to $140M with no debt.

APSolute Application-Smart Networking en Acción Soluciones de Acceso (conectividad) Availability Asegura la entrega de aplicaciones Continuidad del negocio Mejora de la productividad Soluciones de Aplicación (Infraestructura de Aplicación) Acelera la entrega de aplicaciones en cualquier parte Asegura la entrega del aplicaciones en tiempo real Alinea la gestión de ancho de banda con prioridades negocio Garantiza un rendimiento óptimo de las aplicaciones Permite obtener el máximo valor de las infraestructuras IT Performance Security Protege aplicaciones críticas de amenazas a nivel aplicación Mitiga ataques DoS para evitar interrupciones de negocio Asegura derechos de propiedad intelectual y otros recursos Asegura la entrega de aplicaciones incluso bajo ataque Soluciones de Seguridad 5

Radware adquiere Covelight Systems 30 de Abril de 2007 Radware lanza la estrategia para la siguiente generación de "Business-Smart Network“, incorporando inteligencia en la gestión de los eventos del negocio: APSolute Inflight Objetivo: Simplificar las tareas de implantación de los sistemas de análisis de las transacciones on-line

¿Qué es Inflight?

Definición de Inflight™ Inflight™ es la única solución de red, de monitorización profunda de los eventos, que entrega información procesable y eventos en tiempo real sobre el negocio, a cualquier sistema de análisis posterior sin requerir ninguna integración con la aplicación.

Definición de Inflight™ Basado en red, de análisis profundo es clave ya que significa: Implantado en la red, monitoriza TODOS los eventos Transparente para la aplicación y los usuarios (out-of-path) No se requiere integración o desarrollo de código, para ahorrar tiempo y dinero Eventos de negocio en tiempo real que proporcionan información detallada sobre la sesión, la identidad del usuario y los procesos de negocio realizados La entrega de la información incluye: sistemas antigraude, marketing, análisis y estadísticas, gestión de riesgos, Business Intelligence, … Ejecutable puesto que permite intervención inmediata, haciendo la red y el negocio más flexibles a los cambios que se producen Enterprise Fraud Mgmt Compliance / Log Management Web Analytics / Real-time Marketing Business Intelligence

3 atributos clave: Capture-Transform-Feed Flujo de Proceso Pila TCP Pasiva Descifrado SSL (Opcional) HTTP Parser Business Events (Opcional) Bombeo de salida Flitro Global Filtro de salida Tráfico Web Datos de salida Capture Basado en la red, toda la información de la sesión Descifrado SSL Transform Transforma directamente los paquetes IP en eventos de negocio Extrae únicamente la información relevante Feed Salida en tiempo real de los eventos de negocio Se soportan múltiples instancias en paralelo Sistema abierto Enterprise Bus or Analytical Engines

Inflight — Un origen, múltiples propósitos Inflight permite a las soluciones de los partners trabajar en tiempo real Los usuarios consiguen más valor de las aplicaciones de negocio existentes No se requiere ninguna modificación a la aplicación

Ejemplo de funcionamiento

Ejemplo de uso Ejemplo de cómo Inflight captura información sobre el usuario y la actividad que realiza Banca Online – Se graban múltiples transacciones admin ********

Banca Online - Transacciones Creación de una nueva cuenta bancaria

Ejemplo de uso Ejemplo de cómo Inflight captura información sobre el usuario y la actividad que realiza Error en el login jd ******* Error en el par usuario/contraseña Pulse en el siguiente enlace para regresar Autenticación

Logs estándar del servidor Web Sin detalles de la sesión del cliente #Software: Microsoft Internet Information Services 5.1 #Version: 1.0 #Date: 2007-08-17 14:45:54 #Fields: time c-ip cs-username s-port cs-method cs-uri-stem sc-status cs(Cookie) cs(Referer) 15:03:28 192.168.55.13 - 80 GET /HacmeBank_v2_Website/aspx/login.aspx 200 CookieLoginAttempts=5;+ASP.NET_SessionId=1zu5ehvn2huz0g452hzjgi55;+Admin=true - 15:03:28 192.168.55.13 - 80 GET /HacmeBank_v2_Website/css/FoundStoneBank.css 304 CookieLoginAttempts=5;+ASP.NET_SessionId=1zu5ehvn2huz0g452hzjgi55;+Admin=true http://vmware-xp/HacmeBank_v2_Website/aspx/login.aspx 15:03:28 192.168.55.13 - 80 GET /HacmeBank_v2_Website/aspx/images/hacme_header.jpg 304 CookieLoginAttempts=5;+ASP.NET_SessionId=1zu5ehvn2huz0g452hzjgi55;+Admin=true http://vmware-xp/HacmeBank_v2_Website/aspx/login.aspx 15:03:28 192.168.55.13 - 80 GET /HacmeBank_v2_Website/aspx/images/blueheaderblank.jpg 304 CookieLoginAttempts=5;+ASP.NET_SessionId=1zu5ehvn2huz0g452hzjgi55;+Admin=true http://vmware-xp/HacmeBank_v2_Website/aspx/login.aspx 15:03:28 192.168.55.13 - 80 GET /HacmeBank_v2_Website/aspx/images/login/top.gif 304 CookieLoginAttempts=5;+ASP.NET_SessionId=1zu5ehvn2huz0g452hzjgi55;+Admin=true http://vmware-xp/HacmeBank_v2_Website/aspx/login.aspx 15:03:28 192.168.55.13 - 80 GET /HacmeBank_v2_Website/aspx/images/top_blue_menu.jpg 304 CookieLoginAttempts=5;+ASP.NET_SessionId=1zu5ehvn2huz0g452hzjgi55;+Admin=true http://vmware-xp/HacmeBank_v2_Website/aspx/login.aspx 15:03:28 192.168.55.13 - 80 GET /HacmeBank_v2_Website/aspx/images/login/bottom.gif 304 CookieLoginAttempts=5;+ASP.NET_SessionId=1zu5ehvn2huz0g452hzjgi55;+Admin=true http://vmware-xp/HacmeBank_v2_Website/aspx/login.aspx 15:03:28 192.168.55.13 - 80 GET /HacmeBank_v2_Website/aspx/images/clear.gif 304 CookieLoginAttempts=5;+ASP.NET_SessionId=1zu5ehvn2huz0g452hzjgi55;+Admin=true http://vmware-xp/HacmeBank_v2_Website/aspx/login.aspx 15:03:28 192.168.55.13 - 80 GET /HacmeBank_v2_Website/aspx/images/onlinebanking.jpg 304 CookieLoginAttempts=5;+ASP.NET_SessionId=1zu5ehvn2huz0g452hzjgi55;+Admin=true http://vmware-xp/HacmeBank_v2_Website/aspx/login.aspx 15:03:28 192.168.55.13 - 80 GET /HacmeBank_v2_Website/aspx/images/login/topbg.gif 304 CookieLoginAttempts=5;+ASP.NET_SessionId=1zu5ehvn2huz0g452hzjgi55;+Admin=true http://vmware-xp/HacmeBank_v2_Website/aspx/login.aspx 15:03:28 192.168.55.13 - 80 GET /HacmeBank_v2_Website/css/images/shadow_txtbox.gif 404 CookieLoginAttempts=5;+ASP.NET_SessionId=1zu5ehvn2huz0g452hzjgi55;+Admin=true http://vmware-xp/HacmeBank_v2_Website/aspx/login.aspx 15:03:36 127.0.0.1 - 80 POST /HacmeBank_v2_WS/WebServices/UserManagement.asmx 200 - - 15:03:36 192.168.55.13 - 80 POST /HacmeBank_v2_Website/aspx/login.aspx 302 CookieLoginAttempts=5;+ASP.NET_SessionId=1zu5ehvn2huz0g452hzjgi55;+Admin=true http://vmware-xp/HacmeBank_v2_Website/aspx/login.aspx 15:03:36 192.168.55.13 - 80 GET /HacmeBank_v2_Website/aspx/main.aspx 200 CookieLoginAttempts=5;+ASP.NET_SessionId=1zu5ehvn2huz0g452hzjgi55;+Admin=false http://vmware-xp/HacmeBank_v2_Website/aspx/login.aspx 15:03:38 192.168.55.13 - 80 GET /HacmeBank_v2_Website/css/images/shadow_txtbox.gif 404 CookieLoginAttempts=5;+ASP.NET_SessionId=1zu5ehvn2huz0g452hzjgi55;+Admin=false http://vmware-xp/HacmeBank_v2_Website/aspx/login.aspx 15:03:46 127.0.0.1 - 80 POST /HacmeBank_v2_WS/WebServices/UserManagement.asmx 200 - - 15:03:46 192.168.55.13 - 80 POST /HacmeBank_v2_Website/aspx/login.aspx 302 CookieLoginAttempts=5;+ASP.NET_SessionId=1zu5ehvn2huz0g452hzjgi55;+Admin=false http://vmware-xp/HacmeBank_v2_Website/aspx/login.aspx 15:03:46 192.168.50.20 - 80 GET /HacmeBank_v2_Website/ascx/admin/Manage_Users.ascx 403 - - 15:03:46 192.168.50.20 - 80 GET /HacmeBank_v2_Website/ascx/admin/Sql_Query.ascx 403 - - 15:03:46 192.168.50.20 - 80 GET /HacmeBank_v2_Website/ascx/admin/Web_Services.ascx 403 - - 15:03:46 192.168.55.13 - 80 GET /HacmeBank_v2_Website/aspx/main.aspx 200 CookieLoginAttempts=5;+ASP.NET_SessionId=1zu5ehvn2huz0g452hzjgi55;+Admin=false http://vmware-xp/HacmeBank_v2_Website/aspx/login.aspx

Captura en bruto de la transacción con Inflight Detalles de la sesión y de la Transacción TxnID: 1187347054002-0 ClientIP: 192.168.55.13 Cary NC ServerIP: 192.168.50.20 Request-Length: 964 Response-Length: 550 POST /HacmeBank_v2_Website/aspx/Login.aspx?function=Loan HTTP/1.1 Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-excel, application/vnd.ms-powerpoint, application/msword, application/xaml+xml, application/vnd.ms-xpsdocument, application/x-ms-xbap, application/x-ms-application, */* Referer: http://vmware-xp/HacmeBank_v2_Website/aspx/main.aspx?function=Loan Accept-Language: en-us Content-Type: application/x-www-form-urlencoded UA-CPU: x86 Accept-Encoding: gzip, deflate User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; .NET CLR 1.1.4322; InfoPath.1; .NET CLR 2.0.50727; .NET CLR 3.0.04506.30) Host: vmware-xp Content-Length: 106 Connection: Keep-Alive Cache-Control: no-cache Cookie: CookieLoginAttempts=5; ASP.NET_SessionId=1zu5ehvn2huz0g452hzjgi55; Admin=false __VIEWSTATE=dDwtNDI1MDU4NDs7PhDp8BCfyKzY7zxBb8ze0EmM63ux&txtUserName=jm&txtPassword=XXXXX&btnSubmit=SubmitHTTP/1.1 302 Found Server: Microsoft-IIS/5.1 Date: Fri, 17 Aug 2007 14:48:57 GMT X-Powered-By: ASP.NET X-AspNet-Version: 1.1.4322 Pragma: no-cache Location: /HacmeBank_v2_Website/aspx/main.aspx?function=Welcome Set-Cookie: Admin=false; path=/ Cache-Control: no-cache, no-store Expires: -1 Content-Type: text/html; charset=utf-8 Content-Length: 170 <html><head><title>Object moved</title></head><body> <h2>Object moved to <a href='/HacmeBank_v2_Website/aspx/main.aspx?function=Welcome'>here</a>.</h2> </body></html> User Name y Password Cifrado de la información sensible con Inflight

Reducción de la cantidad de información: Business Events de Inflight event=Login, login_status=Success, time=2007-11-12 04:47:04 EST, client-ip=192.168.55.13, country=United States, region=North Carolina, city=Cary, session-id=b5jkg545pw5ks345hhnsob45, user=jm, user-agent=Mozilla/4.0 event=Transfer_funds, time=2007-11-12 04:47:12 EST, client-ip=192.168.55.13, session-id=b5jkg545pw5ks345hhnsob45, user=jm, full_name=John Mathew, src_acct#=76900000, dest-acc#=98760000, amount=10000, comment=- event=Loan_request, time=2007-11-12 04:47:26 EST, client-ip=192.168.55.13, session-id=b5jkg545pw5ks345hhnsob45, user=jm, full_name=John Mathew, acct#=5204320422040003, amount=100000, interest=4.00%, comment=Home Mortgage event=New_User, time=2007-11-12 04:47:54 EST, client-ip=192.168.55.13, session-id=b5jkg545pw5ks345hhnsob45, user=jm, new_username=Jesus Diaz, new_user=jd event=New_account, time=2007-11-12 04:48:06 EST, client-ip=192.168.55.13, session-id=b5jkg545345hhnsob45, user=jm, new_user=Jesus Diaz, acc#=641001123, acc_branch=Spain, acc_type=Gold event=Account_lookup, time=2007-11-12 04:50:01 EST, client-ip=192.168.55.13, session-id=b5jkg545pw5ks345hhnsob45, user=jm, full_name=John Mathew event=Change_pwd, time=2007-11-12 04:50:11 EST, client-ip=192.168.55.13, session-id=b5jkg545pw5ks345hhnsob45, user=jm event=Logout, time=2007-11-12 04:50:17 EST, client-ip=192.168.55.13, session-id=b5jkg545pw5ks345hhnsob45, user=jm event=Login, login_status=Failed, time=2007-11-12 05:47:04 EST, client-ip=192.168.55.13, user=jd

¿Cómo genero la información con Inflight? 1. ¿Qué quiero capturar? 2. Quizás resulta un poco complejo → Módulo de auto-aprendizaje para facilitar la creación de estos eventos 3. ¿Qué información quiero enviar? 4. ¿Cómo la envío y en qué formato?

Resumen

Resumen Entrega inteligencia al canal habilitando la toma de decisiones en tiempo real Solución flexible y escalable para múltiples propósitos asociados al negocio Capacidad de captura pasivo, basado en red Sin impacto en la red o en el rendimiento de la aplicación. Transparente para el usuario →NO INTRUSIVO Rápida implantación, fuera de banda, para conseguir un ROI rápido

Banking Forum‘07