엔드포인트통합보안솔루션 Symantec Endpoint Protection 12 Symantec Korea 1
목차 1 Security Trend 2 Symantec Technology 3 Symantec Endpoint Protection 12 2
Security Trend 3
-. 악성코드의폭발적증가 2012 년에는하루백만개이상의악성코드기반신규위협이나타나고있음 133,000x increase 4
-. 대표적인 APT 초기공격 스피어피싱 워터링홀공격 표적으로삼은대상에게이메일발송 웹사이트를감염시킨후잠복 표적공격은주로스피어피싱공격으로시작 2012 년웹사이트잠복공격인워터링홀공격기법이새롭게등장 5
-. 악성코드제작의편리성 Ijis kks my alsiep siilf that pasje ata see ps stwe ake adas pasowallsie sppfr ausupeasect ffi Kjjkjjj sdkjhkjsj398ji d9-2 -02-00 3984 2 3 030984 1299-04 1-03---0-23li jkjdunjjdpe d. 바이러스제작자가 원본바이러스를 제작한다. This is my first virus that I plan to use to steal key and passwords from unsuspecting victims. 툴을이용하여 쉽게여러변종을 생성한다. Ijis kks my alsiep siilf that pasje ata see ps stwe ake adas pasowallsie sppfr ausupeasect ffi 하나의악성코드는 Ista asbin lsiked lipole alskk askf hwpks pollasjjfklg toalkkst pooldajao sjfkg asklfa klla oek 전혀다른악성코드로 수십, 수백개를생성 가능하다. (Byte-Level) 파일기반의전통적인탐지기법은더이상효과적인대응책이아니다. 6
-. 악성코드제작자들의전략진화 75% of malware infect less than 50 machines From: 소수의악성코드들을대량배포 소수의악성코드를무차별적인배포 전세계에걸쳐서대규모의확산과피해를일으킴 To: 많은변종의악성코드를배포 많은변종을만들어다양한경로로배포 정교하게원하는대상에게악성코드를배포 대규모확산으로연결되지않음 안티바이러스회사가전세계에존재하는모든악성코드를수집할수있을까? 이런현실에어떻게대응할것인가? 안티바이러스회사의전략은? 7
배포도 -. 현재보호기술의한계 Today, both good and bad software obey a long-tail distribution. 악성파일 불행하게도수천수백만의낮은배포를가진파일에대해효율적인기술이없음. ( 그러나최근의악성코드는이러한영역에존재함 ) 좋은파일 blacklisting 방식이잘동작함 가운데영역은새로운기술이필요함 Whitelisting 이잘동작함 8
Symantec Technology 9
#1 In the Market 전세계에서가장포괄적인인터넷보안위협데이터수집체계 10
-. 시만텍글로벌인텔리전스 Attack Quarantine System Endpoints Gateways Honeypots Global Sensor Network 3 rd Party Affiliates 글로벌데이터수집빅데이타분석 Global Intelligence Network Analysts Analytics Warehouse Hosted Intelligence DeepSight Intelligence Feeds 전세계에지원 글로벌지원범위와규모 24x7 이벤트로깅 보안위협탐지악성코드인텔리전스취약점스팸 / 피싱 전세계 200 여개국가의 6900 만개센서가동 1 억 3 천 3 백만대의서버, 클라이언트, 게이트웨이 글로벌모니터링 5 만 1 천개이상의취약점 1 만 6 천개의벤더 105,000 여개기술 500 만개의유인계정 매일 80 억통이상의이메일메시지와 14 억건이상의웹요청처리 11
-. 평판기술 (Reputation - Insight) Global Scale - 전세계 1 억 3 천 3 백만대의클라이언트를통해수집된파일데이터정보를바탕으로, 파일해쉬, 정상 / 악성유무, 신뢰도, 분포도등을종합하여 Zero-Day Attack 과같은신규위협에 강력한대응기술을제공하고있습니다. 12
-. 평판기술 (Reputation - Insight) 1 사용자클라우드기반악성코드정보수집 4 해당파일에대한위협등급 ( 점수 ) 통보 전세계 1 억 3 천만 + 시스템 2 31 억개이상의유형분석 5 안전한컴퓨팅환경유지 3 보급율생성시기제조행동방식연관관계 파일별등급설정및저장 13
-. 행위기반탐지 (SONAR) 글로벌적으로수집된프로그램데이터를바탕으로행위기반프로파일집합을만들어, 바이러스 엔진에포함되지않은새로운위협에대해행동기반의차단을수행합니다. Symantec Cloud-based 평판기술과함께동작하여새로운위협에대한대응이가능합니다. 400 Behaviors 14
-. 행위기반탐지 (SONAR) 악성파일에대해 SONAR 자체의행위탐지와 Cloud-based Reputation 을통한이중검증으로오탐을 줄일수있습니다. 2. 평판이계산됨 4. Foo.exe 평판은? 5. Its suspicious 1. Reputation Service 로원격전송 3. SONAR 의심스러운어플리케이션 Foo.exe 탐지 6. SONAR deletes Foo.exe Rules of Engagement Never Delete : OS에해당하는부분 Never Delete : Microsoft 혹은 Symantec에의해디지털서명된파일 Never Delete : 신뢰할수있는 Class-3 수준의인증기관에서서명된파일 15
Symantec Endpoint Protection 12 (SEP 12) 16
-. SEP12 기능개요 Malware Prevention 악성코드 차단 세계 1 위의 Anti-Virus 탐지 31억개이상의파일에대한평판기술과 400개의행위탐지기술을바탕으로최신보안위협에대응합니다 Access Control App Control Symantec Endpoint Protection Personal Firewall Intrusion Prevention 네트워크 보호 매체제어 강력한네트워크보호 어플리케이션기반의통제설정과위치에따른방화벽정책설정 ( 시간, 도메인, 포트등 ), 침입차단 (IPS) 패턴을통해네트워크를통한악성코드유입을차단합니다. 매체에대한완벽한통제 비인가매체 (USB, 블루투스, 이미지장비등 ) 에대한차단 / 허용및인가된매체에대한읽기 / 쓰기권한부여를통한매체통제기능을제공합니다. Device Control 어플리케이션 제어 유연한어플리케이션통제 위험한것으로알려진블랙리스트애플리케이션의실행을차단하고, 회사표준이외의어플리케이션 실행을차단하여사내시스템을보호합니다. 17
-. 악성코드차단 (1/2) Symantec Protection Model Defense in depth Firewall & Intrusion Prevention NETWORK Antivirus FILE Insight REPUTATION SONAR BEHAVIORS 멀웨어가 PC 에영향을미치기전에차단 스캔후존재하는멀웨어를삭제 시만텍의노하우를이용한파일이나웹사이트의안정성을판단 의심행위를보인프로그램을모니터또는차단 18
-. 악성코드차단 (2/2) Network IPS & Browser Protect Insight Heuristics & Signature Scan Real time behavioral SONAR 외부에서공격트래픽이들어올때 - 네트워크공격트래픽탐지및차단 파일을다운로드받을때 (Reputation) - 파일의평판에대한분석과위협등급제공 파일이 PC 에저장될때 - 시그니처기반탐지악성코드탐지및차단 파일이 PC 에서실행될때 (Behavoir Detection) - 행위기반탐지기술 - 시스템에변경되는악성행위에대한탐지 19
-. 최고의기술력 Gartner에서 Leader 그룹으로분류되었고, 국제백신테스트표준기구인 Dennis Technology Labs 이실시한독립테스트에서 Symantec Endpoint Protection이악성코드차단및제거여부평가에서최고점수 AAA를획득하였습니다. 20
-. 네트워크보호 ; 개인방화벽 (Personal Firewall) 응용프로그램기반의통제설정이가능하여기존네트워크기반의방화벽에서수행할수없었던 메신저, P2P, 도메인기반의방화벽정책설정이가능합니다. 또한, 공격을시도한클라이언트를자동으로일정시간차단하여추가공격을차단합니다. 향상된 Application Centric 기반 Firewall Rule 생성지원 Application + Host + 서비스 + 시간 + 인터페이스조건을복합적으로설정 SEPM 공격 정상트래픽 Firewall F/W 정책 F/W Policy 관리 / 배포 Central Management 공격 21
-. 네트워크보호 ; 침입방지 (Personal IPS) OS 및어플리케이션의취약점이발견된후, 점점빨라지는악성코드출현 (Zero-Day Attack) 에대응하기 위한수단으로, 브라우저보호및드라이브바이다운로드, 네트워크기반패킷공격으로부터시스템을 실시간보호합니다. 침입방지기능 (IPS) 네트워크기반 IPS 기술 호스트기반 IPS 기술 Generic Exploit Blocking 취약성기반사전방역 (Sigs for vulnerability) 행동기반사전방역 (Whole Security-SONAR) Proactive Threat Scan Deep packet inspection 시그니처기반 IPS (SNORT-like) 정책기반침입차단 Application Control 22
-. 매체제어 (Device Control) (1/2) Symantec Endpoint Protection 의매체제어는허가되지않은장치를차단하거나허용하며, 장치별사용허용권한제어를수행할수있습니다. 주요기능 다양한매체에대한읽기, 쓰기, 실행통제제공및이에대한로깅을제공합니다. SEPM( 관리서버 ) USB Floppy SEP Human Interface Device 1394 Device Devices of Class ID OS Driver 기반의다양한매체를 SEPM 에서정책으로제어 23
-. 매체제어 (Device Control) (2/2) 하드웨어장치의분류기준이되는클레스 ID 를기반으로한통제와, 개별장치를인식하기위한 Device ID 를기준으로차단, 예외 or 로그기록등을수행합니다. 지원매체 USB, Floppy, 1394, IDE, Tape, CD/DVD, 프린트장비, PCMCIA, 이미징장비 ( 스캐너, 디지털카메라등 ) 적외선장비, 블루투스등무선장비, SCSI, 모뎀, 스마트카드리더, 스토리지볼륨등의시스템장비지원 24
-. 어플리케이션제어 (Application Control) (1/2) 필수프로세스, 파일및폴더, 중요레지스트리를악의적위협으로부터보호하고, 상용프로그램등응용프로그램의실행을제한합니다. 보호영역 레지스트리, 파일및폴더, 프로세스, DLL Files 정상프로세스허용 비정상프로세스차단 25
-. 어플리케이션제어 (Application Control) (2/2) 중요파일에대한보호기능을통해허가되지않은프로세스를통한파일접근시도를차단합니다. 실행이금지된응용프로그램등록을통해프로그램실행방지, 프로세스강제종료, 로그기록, 사용자 알림기능을수행합니다. 26
-. NAC (Network Access Control) 타사대비별도의 Agent 설치없이 SEP 를통해 NAC 구성이가능하므로, PC, 네트워크시스템자원에대한부하를최소화하여효율적이고안전한네트워크접근제어구성이 가능합니다. Symantec Enterprise Protection Manager (SEPM) Microsoft SQL Server Database Management 802.1x Enabled Switch Enforcement LAN Enforcer DHCP Enforcer Gateway Enforcer 네트워크접근제어 (NAC) 매체제어 침입탐지 방화벽 안티스파이웨어안티바이러스 Symantec Endpoint Protection Agent Endpoint 27
-. Management 중앙집중관리기능제공 클라이언트상의감염, 패턴미업데이트, 자동보호기능중지등의이벤트및통계를 Dash Board 등을통하여파악 정의한이벤트경고발생시 ( 감염, 서비스중지, 패턴미업데이트 ) 중앙콘솔을통한경고발생 클라이언트시스템재시작, 강제패턴업데이트, 관리자에의한검색등의명령실행시중앙콘솔을통한명령실행완료여부확인가능 대규모기업환경에따른관리자등록을위하여, 정책설정권한또는보기권한등의관리자권한부여가능 다양한리포팅양식제공 모니터탭을통한실시간모니터링제공 28
Thank you! 솔루션사업부 / 컨설팅팀김기준, 이세현 Email : soyou@bellins.net 서울특별시서대문구충정로 13 삼창빌딩 3 층 Tel. 02-6925-1130 Fax. 02-2664-1575 Copyright 2013 Symantec Corporation. All rights reserved. Symantec and the Symantec Logo are trademarks or registered trademarks of Symantec Corporation or its affiliates in the U.S. and other countries. Other names may be trademarks of their respective owners. This document is provided for informational purposes only and is not intended as advertising. All warranties relating to the information in this document, either express or implied, are disclaimed to the maximum extent allowed by law. The information in this document is subject to change without notice. 29