Nové trendy v IT bezpečnosti – vzájemná komunikace bezpečnostních produktů

Podobně na tom jsou klasické produkty IT bezpečnosti. Kontrolují svěřený úsek a mohou přijímat rozhodnutí se znalostí toho, co vidí ve svém úseku. Příkladem může být síťový firewall. U každého paketu zná, kdo jej vyslal, kdo má být příjemce, jaký je použit protokol a pokud zkoumá i obsah paketu, tak může odhadovat, o jakou jde aplikaci. Pak už záleží na pouze výrobci konkrétního firewallu, jak dokáže analyzovat aplikace a jak rychle dokáže na své firewally doručovat aplikační signatury.

Bohužel se objevuje čím dál více aplikací, které buď záměrně, nebo omylem, skrývají svou identitu. Motivace může být různá, od toho, že autor aplikace nechce, aby jeho aplikace byla blokována firewally či jinými bezpečnostními prvky přes požadavek uživatelů utajit skutečně použitou aplikaci až po nedodržení standardů vývojáři. Každý administrátor síťového firewallu to zná z různých reportů či statistik – nejčastěji reportované aplikace bývají „common HTTP“, „unknown“ nebo „general internet“. Z toho opravdu nejde vydedukovat, co se v té které síti děje, zda uživatelé nejednají proti bezpečnostním zásadám nebo zda není používána nějaká nebezpečná aplikace. Už vůbec pak nelze přijímat jakákoliv opatření. Pochopitelně z toho nemají radost ani správci firewallů, ani bezpečnostní manageři a v neposlední řadě ani majitelé či séfové firem (přece jen utratili nemalý obnos peněz, a firewall přesto neumí zobrazit, co se v síti děje).

Jak z této situace ven? Jsou výrobci, kteří říkají: „Vylepšeme a zrychleme tvorbu signatur“. Jistě, více a přesnějších signatur pomůže. Ale jen nakrátko a omezeně, není to ani trvalé řešení ani řešení stoprocentní. Naštěstí se nyní začíná v IT bezpečnosti prosazovat trend spolupráce jednotlivých prvků bezpečnostního systému navzájem.

Představte si modelovou situaci, kdy firewall zaznamená komunikaci nějaké aplikace z konkrétního desktopu. Signaturu pro tuto aplikaci nemá, není tedy schopen aplikaci pojmenovat, natožpak rozhodnout, zda je či není bezpečné komunikaci propustit. Naštěstí ale má v našem příkladu možnost spolupracovat s lokálně nainstalovaným klientem, například antivirem. Ten díky tomu, že běží lokálně na daném desktopu, má daleko více informací o procesech, umístění aplikací a uživatelích, kteří takové procesy spustili. Již na první pohled je jasné, že je to řádově více informací, než byl firewall schopen zjistit pouze ze síťové komunikace. Pak již jen stačí získané údaje zobrazit správci systému, který může takto vytvořit své vlastní lokální signatury. Ve své podstatě pak tandem firewall-antivir umí rozpoznat neomezeně mnoho aplikací.

Zdá se, že trend minulých let, kdy si zákazník vybíral pro každou oblast zabezpečení jiný produkt (ten nejlepší v dané oblasti), se pomalu mění na trend výrobců, kteří nabízejí komplexní řešení. Jeden z možných benefitů jsme si ukázali na našem hypotetickém příkladu, další náměty na spolupráci bychom také jistě našli. Nechme se tedy překvapit, co nám výrobci v blízké době předvedou a kam se posune IT bezpečnost.

Autor: Michal Hebeda,sales engineer ve společnosti Sophos