New 시만텍통합사이버보안전략 서종렬상무 시만텍코리아
Agenda 1 보안동향 2 통합시만텍보안전략 3 보안전략구현을위한핵심솔루션
사용자정의의곤란데이터공격의진화네트워크경계선의확장단계별공격
사용자정의곤란 보안솔루션스택 본사데이터센터 지역사무소
사용자정의곤란 보안솔루션스택 본사데이터센터 지역사무소 이동사용자 개인용디바이스
데이터공격의진화 보안솔루션스택 본사데이터센터 지역사무소 이동사용자 개인용디바이스
네트워크경계선의확장직접연결로인해보호해야할네트워크가확장됨 SSL 암호 보안솔루션스택 본사데이터센터 SSL 암호 지역사무소 SSL 암호 이동사용자 개인용디바이스 IOT 디바이스
단계별공격 SSL 암호 보안솔루션스택 본사데이터센터 SSL 암호 지역사무소 SSL 암호 이동사용자 개인용디바이스 IOT 디바이스
클라우드제너레이션에대한혁신필요 : 안전한클라우드사용보장 본사데이터센터 지역사무소 이동사용자 개인용디바이스 IOT 디바이스
The Global Leader in Cyber Security Network + Security + Cloud 엔드포인트보안, 메일보안, DLP 및웹사이트보안, 사용자인증의글로벌선두주자 엔터프라이즈분야에서 3 개의솔루션영역 : APT 공격대책 데이터보호 사이버보안서비스 세계에서가장많은사용자에게보안을제공 6700 만사용자 Fortune500 기업의 90% 와 370,000 의조직에서사용됨 웹보안및클라우드보안의글로벌리더 6 개의보안영역을통합한솔루션을제공 고급웹및클라우드보안 APT 공격대책 암호화통신관리 사고대응법의학 웹응용프로그램보호 네트워크대역폭제어 Fortune500 기업의 70% 와 15,000 의조직에서사용됨
파일 URL 화이트리트 블랙리스트 인증서 머신러닝 사이버보안서비스
파일 URL 화이트리스트 블랙리스트 인증서 머신러닝 글로벌위협인텔리전스네트워크 4 억 3 천만신규악성코드발견 1 조악성이메일차단 10 억사회공학스캠차단 1 만 5 천 + 클라우드애플리케이션발견및보호 1 억 8 천 2 백만웹공격차단 글로벌인텔리젼스의데이터기반 1 조매일신규웹요청수 2 조매일이메일스캐닝 1 억 7 천 5 백만개인 / 기업사용자엔드포인트수 9 개의글로벌위협대응센터및 3,000 명의연구개발엔지니어
온프레미스클라우드 File URL Whitelist Blacklist Certificate Machine Lea rning Integrated Cyber Defense 플랫폼 타사솔루션연동 Endpoint Cloud VIP Identity Messaging Managed PKI Cloud Sandbox Encryption Cloud Web Protection Cloud DLP CASB Data Center Security Cyber Security Services SOC Workbench 로컬인텔리전스 Web Protection DLP Encrypted Traffic Management Security Analytics Management Malware Analysis Endpoint Content Analysis Encryption Data Center Security Performance Compliance Advanced Threat Protection 1000110 1001010 1110101 0010111 1010110 SIEM 연동
시만텍사이버보안전략 Cloud 보안 CASB (Cloud Access Security Broker) 차세대보안인텔리전스 Internet 클라우드보안솔루션 1 차방어선 NextGen FW 웹보안게이트웨어 NGFW/IPS 연계운영 유입의차단 연동보안솔루션 (N-DLP, Sandbox 등 ) 차단연동 Proxy 아키텍쳐기반의 Realtime 위협대응 연동 Realtime Sandboxing EMAIL Anti-Spam Anti-Virus ATP:Email URL Filtering 2 차방어선 위협가시성확보 탐지 / 가시성확보네트워크포렌직 연동보안솔루션 (IPS, Sandbox 등 ) 가시성확보 연계운영 암호화트래픽가시성확보 ATP: Network Network Forensic Logging SIEM Data Analytics EDR Solution 최종방어선 인텔리전트엔드포인트 의심스런위협탐지 IoC hunting 사고대응 차세대지능형엔드포인트보안 19 Endpoint 보안
기타공격기법 드라이브바이다운로드 피싱 시만텍사이버보안전략 차단탐지대응사고조치 SIEM/ 통합보안관제 Proxy 아키텍쳐기반의 Realtime 위협대응 Realtime Sandboxing 암호화트래픽가시성확보 ATP: Network Network Forensic Logging 보안사고 차세대지능형엔드포인트보안
SSL 시각화 차세대방화벽 IDS / IPS UTM URL 필터 메일필터 샌드박스 웹보안게이트웨이 오늘날의웹보안 SSL SSL Protocol Detect 기반의웹정책 웹을통해서수많은서비스를제공 AV/AS 사용자와웹서비스간의양방향컨텐츠증가 SSL 통신을사용하는웹서비스의지속적증가및 공격자 기존 APTs 공격 악성코드의유입증가 국가사이버범죄자해커내부비리 알려진위협신규악성코드알려진맬웨어제로데이공격알려진파일표적공격알려진 IPs / U 최신RLs 기술 전통적인보안장비로는 80포트를사용하는웹서비스제어가어려움 - Http(s) Tunneling, TCP over http(s) 단순히 html 뿐아니라수많은종류의파일전송 Context 기반의웹 DB 해커들의놀이터 (80 포트는항상, 어디서나 open)
네트워크보안장비에보안분석방법
Proxy 베이스구조에서의분석플로우 TCP/IP 세션제어방식 (Proxy 기준사용자 / 서버세션분리 ) PROXY HTTP/HTTPS 프로토콜지원 L7 사용자 ID 및콘텐츠기반 L7 파일레벨, 콘텐츠심층분석및제어
Proxy 베이스구조에서의분석플로우 TCP/IP 세션제어방식 (Proxy 기준사용자 / 서버세션분리 ) PROXY HTTP/HTTPS 프로토콜지원 L7 사용자 ID 및콘텐츠기반 L7 파일레벨, 콘텐츠심층분석및제어
프록시기술을통한세부적인웹보안정책 Full Proxy Architecture Risk Level 기반의보안정책사용자응답속도의보장 Analysis WAN W W W. W E B S I T E. C O M Correlation PROXY Web Severity Level File Hashe Url Information Malware Category Users HQ / Branch 트래픽터미네이션후세부적인보안정책에의하여통신하는웹에대한세부내역확인 HTTP 와 HTTPS 에대한전문적인보안기능제공 RFC 표준확인을통한의심스런웹세션에대한원천차단 개방형연계정책을통한강력한웹보안정책유지 타보안솔루션웹필터와차별화된기능제공 웹사이트내용기반의분석 86 개기존카테고리외에보안에특화된 Risk 정보제공 웹필터카테고리정보를통한사용자분석 악성코드에대한선제적차단 Cache 기능을통한사용자응답속도개선 인터넷데이터의내부 cache 로인한사용자다운로드속도증가 25
진보된샌드박스운영 현재샌드박스운영환경 2 3 샌드박스솔루션 GIN 4 5 Symantec Secure Web Gateway 샌드박스 효율적인샌드박스운영환경 1 6 Guide Page 알려진위협필터링 샌드박스솔루션 7 2
리스크및운영의최소화구현 웹보안실시간웹접근평가 컨텐츠필터링다운로드컨텐츠에대한다층분석 해시값대응 듀얼 AV 엔진처리 정적코드분석 알려지지않은위협분석행동기반분석및대응 샌드박스 행동기반위협분석 사고에대한응답 63 백만건웹요청 12 백만건알려진위협검사 18 천건알려지지않은위협분석 3 Alert SOC/CSIRT! Pin-Point Approach 27
클라우드시대의보안 Symantec CASB (Elastica) Symantec CDP (Cloud Data Protection) Symantec WSS (Web Security Service) Secure Web Gateway 28
Symantec Elastcia Shadow IT 에대한가시성 민감한데이터의세분화된제어 악의적인공격으로부터보호 클라우드보안을위한통합대시보드 29 Management Center Agent
위협에신속한대응 Security Analytics 위반사항탐지 & 상황통합 사건의재구성 & 증거추출 교정 & 조치 INTERNET DATA ENRICHMENT INTERNAL NETW ORK TAP/SMART TAP GLOBAL INTELL IGENCE NETW ORK MAA DPI SECURITY ANALYTICS PLATFORM & MALWAR E ANALYSIS 30 010100101001101 1001010101010101 010010101001000 010101010001101 PE SCANNER JSUNPACK EXTERNAL THREAT FEEDS GEOLOCATION MORE
학습을통한비정상행위탐지 패킷수집 비정상행위 모니터링 Connector 머신러닝엔진 비정상행위 모니터링 Connector GUI DPI Time IOCs Geo File 모든트래픽수집및 DPI 엔진을통한메타데이터분류 세션 end time 기준의데이터정렬또는통계정보생성후 Prelert 엔진에정보전달 전달된정보기반을통한비정상행위패턴탐지및탐지된결과전달 사용어플리케이션 / 프로토콜, 파일사이즈, 통신주기등에대한패턴이평상시와달라지는경우실시간으로해당내용을 GUI 또는 Alert 을통해 Notice 함 31
엔드포인트탐지 & 대응 - ATP: Endpoint GIN Sandbox Correlation 의심스러운이벤트를조사하고완벽한엔드포인트가시성확보 모든공격징후에대한즉각적인검색및침해지표 (IoC) 에따른엔드포인트조치 Secure Web Gateway SEP Manager 모든위협요소를단한번의클릭으로수분안에치료 Symantec Endpoint Protection 활용새로운에이전트가필요하지않음 32
엔드포인트가시성 공격 침투감염사내침투예방접종 침투차단 감염방역 사내침투격리조치 위협제거 차단 Symantec Endpoint Protection 다계층엔드포인트방어기술 Firewall & Intrusion Prevention Network Adv ML Files AntiVirus Files Insight Reputation SONAR Behaviors I +EDR n기능을통해 SEP에서발생한모든이벤트조사가능 s p 가시성 ATP: Endpoint visibility ERASER Remediation 33
공격체인전반에서강력한보호 다계층보호로표적공격및랜섬웨어위협차단 특허받은실시간클라우드조회기술로의심스러운파일조사 네트워크방화벽및침입차단 애플리케이션및디바이스제어 메모리익스플로잇공격차단 평판분석 첨단머신 러닝 에뮬레이터 안티바이러스 행동 모니터링 네트워크방화벽및침입차단 악성코드가시스템에확산되어트래픽을제어하기전에차단 파일, 레지스트리, 디바이스액세스및행동제어, 화이트리스팅, 블랙리스팅등 널리사용되는소프트웨어의취약점을공격하는제로데이익스플로잇차단 커뮤니티정보를활용하여파일및웹사이트의안전성확인 갈수록진화하는신종보안위협이실행되기전에탐지 가상시스템에서맞춤패커를사용하여숨겨진악성코드탐지 시스템에침투한악성코드검사및제거 의심스러운행동을나타내는파일모니터링및차단 악성코드가시스템에확산되어트래픽을제어하기전에차단 침투 감염 침입및유출 34
머신러닝으로날개를단 End-Point 보안 교육훈련세트실시간수집훈련알고리즘훈련된머신 동일한악성코드군의변종이발생하는즉시차단 방대한악성코드그룹을낮은오탐지율로탐지 신규및재훈련 첨단머신러닝 업데이트빈도를줄여효율성향상 클라이언트에서첨단머신러닝으로탐지 35
의심스러운행동모니터링 인공지능기반 분류엔진 사람이작성한 행동시그니처 행동정책 잠금 약 1,400 가지의파일행동을모니터링하여규명 : 무엇을했는가? 출처는어디인가? 무엇이포함되었는가? 누가관련되었는가? 36
지능형공격에대처 POWER ERASER 호스트무결성시스템잠금 SECURE WEB GATEWAY 통합 EDR 콘솔 (ATP: ENDPOINT) 제거하기어려운감염도확실하게해결 격리, 무단변경탐지, 손상정도평가, 컴플라이언스보장 애플리케이션제어기능의일부 - 화이트리스팅및블랙리스팅으로강화된엔드포인트보안 API 를통해 Secure Web Gateway 에서조직적으로대응 Symantec EDR 콘솔의조직적인대응, EDR 기능은 SEP 에이전트에내장되어있음 예방및대응 37
질의응답