Эта статья предоставляет информацию о уровне риска пользователя Cato, как он рассчитывается и как вы можете его реализовать для улучшения вашей безопасности.
Обзор
Как часть подхода Cato к универсальному ZTNA, непрерывной оценке и верификации, Cato рассчитывает динамический уровень риска пользователя для каждого из пользователей вашей организации, чтобы определить риск, который они представляют.
Уровень риска пользователя помогает улучшить вашу безопасность и адаптивные возможности доступа. Вы можете создавать правила в различных политиках для определения доступа к ресурсам на основе этого уровня. Например, создайте правило, блокирующее трафик к конфиденциальным ресурсам компании от пользователей с уровнем риска Высокий или выше.
Вы можете просмотреть уровень риска для всех пользователей в вашей организации, независимо от наличия у них лицензии SDP. Это дает представление о вашей общей безопасности. Кроме того, вы можете видеть все события безопасности, связанные с конкретным пользователем, и определять их уровень риска.
Примечание: Чтобы посмотреть уровень риска пользователя, вы должны иметь необходимые разрешения в роли Доступ к облаку Админ.
Кейс использования - SaaS
Компания ABC работает с SaaS приложениями и, следуя лучшим практикам безопасности, хочет убедиться, что доступ к этим приложениям имеют только необходимые сотрудники. Кроме того, они хотят убедиться, что никто в разрешенной группе с уровнем риска Высокий или выше не может получить доступ к этим приложениям.
Компания создает правило в своем интернет-файерволе, чтобы блокировать любой трафик к их SaaS-приложениям.
Когда Джон До не может получить доступ к Saas приложению, он обращается в IT-отдел, где видят, что его уровень риска Высокий. Однако, после рассмотрения событий, которые определили уровень, IT-отдел решает, что он не представляет риска, и сбрасывает уровень, чтобы он мог получить доступ к необходимым приложениям.
Кейс использования - Приватные приложения
Компания ABC имеет сервер базы данных, который необходимо иметь доступ из различных офисов. Они хотят гарантировать, что оно доступно для разработчиков, но также необходимо обеспечить его безопасность, так как оно предоставляет доступ к чувствительным и собственным данным.
Компания создает правило в файерволе WAN, чтобы разрешить доступ только авторизованным пользователям, у которых уровень риска ниже, чем высокий.
Как Cato вычисляет уровень риска
Каждая пользовательская активность контролируется и регистрируется, используя общий контекст Cato, и пользователи динамически получают уровень риска на основе проприетарного алгоритма, который учитывает ряд различных точек данных. Уровень риска может использоваться в политиках Интернета и WAN для предоставления доступа только пользователям с наименьшим риском.
Атрибуты пользователя, включенные в оценку риска
Cato собирает следующие атрибуты.
Атрибуты пользователей, обозначенные как политика, могут использоваться в политиках. Для получения дополнительной информации см. Политика доступа клиента.
Элемент | Атрибут | Примеры |
|---|---|---|
1 | Троянская активность | Dridex, Peacomm, PeacommBanking |
2 | Банковское вредоносное ПО | Bancos, Banload, Banker |
3 | Кража информации | Zeus/Zbot, Agent, Symmi |
4 | Деятельность Backdoor | Различные сигнатуры, сопоставленные с техниками MITRE ATT\u0026CK |
5 | Трафик ботнета | Mirai, различные C2 сигнатуры |
6 | DNS туннелирование | Множественные DNS обнаружения туннелирования |
7 | Активность маяка | Регулярные проверки команды и управления |
8 | Множественные доменные коммуникации | Множественные опасные домены, затем сервер с низкой репутацией |
9 | Коммуникации ransomware | Активность SMB и внешние коммуникации |
10 | Поведение шифрования | Активность шифрования файловой системы |
11 | Доставка заметок о выкупе | Размещение или доставка заметки о выкупе |
12 | Коммуникации пулов майнинга | CryptInject, Cryptomineext, Groupfabric Bitcoinminer |
13 | Использование ресурсов | Необычное использование системы для майнинга |
14 | Передача данных в подозрительные назначения | Эксфильтрация системной информации, эксфильтрация RaiDrive |
15 | Кража учетных данных | Активность кражи учетных данных и эксфильтрация |
16 | Крупные передачи данных | Ненормально крупные исходящие передачи |
17 | Эксплуатация CVE | CVE-2018-0101, CVE-2017-0199, CVE-2021-44228 (Log4Shell) |
18 | Эксплуатация нулевого дня | Сигнатуры для возникающих угроз |
19 | Внедрение команд | Обнаружено попыток внедрения команд |
20 | Траверс директории | Поведение траверса пути |
21 | Попытки загрузки файлов | Подозрительные загруженные файлы в веб-приложения |
22 | SQL-инъекция | Попытки атаки SQLi |
23 | Межсайтовый сценарий и CSRF | Обнаружения XSS и CSRF |
24 | Обфусцированный фишинг | Обнаружение скрытых тактик фишинга |
25 | Фишинг учетных данных | Вставка конфиденциальных данных на страницы для фишинга |
26 | Имитирование брендов | Фишинг, связанный с DHL |
27 | Инструменты автоматизированного сканирования | Nikto, Nessus, OpenVAS |
28 | Целенаправленные уязвимости зондов | Сканирование, сфокусированное на CVE |
29 | Перечисление сети | Сканирование портов и обнаружение сети |
30 | Коммуникации с известными плохими IP/доменами | Доступ к доменам с низкой репутацией, TOR/прокси |
31 | Электронная почта пользователя | (политика - см. ниже) |
32 | Группа пользователя | (политика - см. ниже) |
33 | Уровень доверия пользователя | (политика - см. ниже) |
34 | Платформа | (политика - см. ниже) |
35 | Страна | (политика - см. ниже) |
36 | Происхождение соединения | (политика - см. ниже) |
37 | Удаленное выполнение через SMB | PsExec, PAExec, RemCom, CSExec |
38 | Удаленное выполнение WinRM | Командная оболочка WinRS, PowerShell WinRM |
39 | Исполнение Impacket удаленно | Impacket PsExec, Impacket SMBExec, Impacket DCOMExec |
40 | Удаленное выполнение WMI | Выполнение WMI через DCOM |
41 | Манипуляция удаленными сервисами | Создание сервиса SVCCTL, Запуск сервиса SVCCTL, Удаление сервиса SVCCTL |
42 | Планированные задания удаленно | schtasks удаленно, выполнение задачи AT через atsvc |
43 | Разведка LDAP | LDAP запрос доверия, лица, компьютеры, запросы администраторов, групп |
44 | Разведка SAMR / LSARPC | Поиск админа SAMR, отображение информации SAMR, локальное перечисление администратора SAMR, встроенный администратор LSARPC |
45 | Сканирование мультисервисных портов | Сканирование FTP, SSH, RDP сервисов с одного источника IP |
46 | Перенос инструмента для учетных данных | Передача Mimikatz SMB |
47 | Передача наступательного инструмента через SMB | Netcat, Nmap, ADFind, TDSSKiller, PowerShell скрипты, пакетные скрипты |
48 | Передача инструмента переноса файлов через SMB | WinSCP, FileZilla, PuTTY, MobaXterm |
49 | Эксфильтрация Rclone | Rclone SSH, Rclone HTTP, Rclone загрузка |
50 | Эксфильтрация облачного хранилища | Загрузка MEGA API, облачные услуги с низкой популярностью |
51 | Доступ к Pastebin через бота | Доступ к содержимому Pastebin без браузера |
52 | FTP до подозрительных мест | FTP до IP с низкой репутацией, доменов с низкой репутацией, нестандартных портов |
53 | Протокольное туннелирование | Туннелирование RDP через веб-порты, RDP через TLS на нестандартных портах |
54 | Загрузка RMM-инструмента | TeamViewer, AnyDesk, ScreenConnect, Splashtop, SimpleHelp, Atera, Zoho Assist |
55 | Активное подключение RMM | Сессия TeamViewer WAN/входящая, удаленный рабочий стол AnyDesk, ретрансляция Splashtop, SimpleHelp бортовое/UDP |
56 | Передача RMM инструмента через SMB | Передача AnyDesk SMB, передача Splashtop SMB. |
57 | Подозрительное использование CLI инструмента | curl / wget до сайтов с низкой репутацией, загрузка бинарного файла curl / wget |
58 | Загрузка комплекта PSTools | Загрузка PSTools с последующим массовым PsExec (15+ хостов за 10 мин) |
Индикаторы, используемые Cato для оценки риска
Cato рассматривает множество различных индикаторов для определения рискованного поведения и классифицирует их в 4 категории выше. Эти индикаторы включают:
Индикаторы систем, которые уже были скомпрометированы - более 2500 сигнатур, включая:
Вредоносное ПО, такое как трояны, финансовое вредоносное ПО и различные техники бэкдора
Коммуникации управления и контроля, такие как трафик ботнетов, DNS туннелирование и коммуникации доменов
Активность вымогательского ПО, такая как поведение шифрования, доставка заметки от вымогателя и коммуникации вымогателей
Криптодобыча, такие как коммуникации пула добычи и использование ресурсов
Активности эксфильтрации, такие как передача данных на подозрительные назначения, кража учетных данных и крупные передачи данных
Индикаторы заблокированных попыток, которые могут привести к инфицированию - более 2300 сигнатур, включая:
Попытки удаленного выполнения кода (RCE), такие как эксплуатация CVE, попытки эксплуатации нулевого дня и инъекция команд
Атаки на веб-приложения, такие как траверс каталогов, попытки загрузки файлов и XSS/CSRF
Активности фишинга, такие как фишинг учетных данных и имитация бренда
Сканирование уязвимостей, такие как использование автоматизированных инструментов сканирования и перечисление сети
Нарушения политики и рискованные активности, которые потенциально могут привести к компрометации - более 1500 сигнатур, включая:
Попытки латерального передвижения, такие как использование psexec, WinRM, и удаленный доступ PowerShell
Раскрытие информации, такие как утечка конфиденциальных данных, утечки сообщений об ошибках и листинги каталогов
Индикаторы на основе репутации, такие как использование TOR или прокси, доступ к подозрительным доменам и связь с известными плохими IP-адресами
Блокировать события, вызванные движком безопасности на основе поведения в Dynamic Prevention. Для получения дополнительной информации см. Что такое Dynamic Prevention?
Определение уровней риска для пользователей
Уровень риска пользователя - это важный инструмент для сетевых и безопасных команд, который позволяет внедрять политики динамического контроля доступа с нулевым доверием для защиты как внутреннего трафика приложения, так и интернет-трафика. Это предоставляет ценные данные по вашей позиции риска, позволяя вам динамически корректировать стратегии безопасности в ответ на развивающиеся угрозы.
Вы можете создавать политики, основанные на рисках, в интернет- и WAN-файерволах для блокировки доступа к вашим приложениям.
Чтобы определить правило на основе риска в ваших файерволах:
Настраивая ваши Интернет или WAN политики файервола, добавьте Пользователя или Группы пользователей, к которым применяется правило.
В разделе Устройство правила, в категории Атрибуты пользователя, нажмите Добавить атрибут.
Введеите критерии уровня риска для соответствия правилу.
Определите Действие, которое будет выполняться при соответствии правила и нажмите Сохранить.
Просмотр уровней риска всех пользователей
Страница Доступ > Пользователи предоставляет видимость всех пользователей в вашей системе и их уровней риска.
Вы можете фильтровать информацию на странице по Уровню риска, чтобы легко найти те, которые могут представлять наибольшую угрозу для организации. Введите версию ОС для Уровней риска:
Критический
Высокий
Средний
низкий
С этой страницы вы можете выполнить специфические действия, основанные на Уровне риска, такие как отзыв сессии пользователя или сброс Уровня риска.
Исследование и мониторинг конкретного пользователя
Чтобы лучше понимать, что определяет уровень риска для пользователя, вы можете нажать на отдельного пользователя и перейти на страницу Риск пользователя, где отображается их панель оценки риска. Используйте панель оценки риска пользователя, чтобы расследовать положение риска конкретного пользователя и принять немедленные меры по устранению. Панель помогает вам понять, как изменяется риск пользователя со временем, что способствует этому риску и какие события безопасности связаны, чтобы вы могли быстро перейти от расследования к устранению. Вы обращаетесь к панели управления через Справочник пользователей.
Чтобы посмотреть информацию о конкретных пользователей, вы должны иметь необходимые разрешения, указанные в роли Доступ к облаку Админ:
Нет – вы не можете получить доступ к панели управления оценки риска пользователя
Просмотр – вы можете просматривать панель управления оценки риска, но не можете выполнять действия
Редактировать – у вас есть полные разрешения для просмотра панели управления оценки риска и для выполнения действий, таких как отзыв сессии или сброс оценки риска.
Используйте просмотры панели управления, чтобы расследовать, почему изменился оценка риска пользователя и что этому способствует. Изучите риск во времени, чтобы выявить пики и тенденции оценки, участников риска, чтобы увидеть факторы, активно влияющие на текущую оценку, связанные с безопасностью события, чтобы просмотреть события безопасности, связанные с пользователем, и события изменения оценки, чтобы увидеть конкретные события, внесшие вклад в изменения оценки, для каждого из следующих:
IPS
Антивирус
Подозрительная активность
Файервол
Динамическая профилактика
Вы можете нажать на любую из ссылок в данном разделе, например, Просмотреть все события IPS, чтобы перейти на страницу событий, которая затем фильтруется по пользователю и типу события.