Wenig bekannte Funktionen von illumio core: Erweiterte Datenerfassung

‍In this ongoing series, Illumio security experts highlight the lesser known (but no less powerful) features of Illumio Core.  

Wir verwenden Erkennungstools seit Jahrzehnten. Doch die Zahl der Sicherheitsverletzungen und Ransomware-Angriffe nimmt weiter zu.  

Cyberangriffe verändern sich und bewegen sich schneller als je zuvor. Es ist unmöglich, alle Sicherheitsverletzungen zu erkennen und zu verhindern, aber wir können ihre Ausbreitung stoppen, wenn sie passieren.

Illumio Zero Trust Segmentation (ZTS) stoppt die Ausbreitung von Sicherheitsverletzungen und Ransomware-Angriffen, bevor sie an Ihre kritischen Assets und Daten gelangen können. Anstatt zu versuchen, den nächsten Angriff zu verhindern oder zu erkennen, verriegelt Illumio ZTS die Tür zu Ihren Netzwerksegmenten.

But what about the small number of ports that need to stay open so you can run your business? Illumio’s Enhanced Data Collection feature helps you monitor your traffic volumes to find anomalies and take action if needed. Keep reading to learn more about how this feature works and the value it can bring to your organization.

Die Erkennung von Bedrohungen reicht nicht aus, um sich vor Sicherheitsverletzungen zu schützen

Attackers are deploying malware and ransomware faster than detect-and-response tools can keep up. Zero-day threats, such as the MOVEit attacks by the Clop ransomware group, can quickly slip past detection tools and immediately spread through your network.  

Wenn Sie keine Möglichkeit haben, die Ausbreitung unentdeckter Sicherheitsverletzungen zu verhindern, können Angreifer innerhalb von Minuten auf Ihre wichtigsten Ressourcen zugreifen.

Nachdem die erste Workload kompromittiert wurde, suchen Angreifer sofort nach offenen Sitzungen, damit sie sich auf benachbarte Workloads ausbreiten können. Zu den Ports, die häufig geöffnet sind und zwischen Workloads lauschen, gehören RDP, SSH und SMB. Jede dieser Funktionen kann leicht von Malware verwendet werden, um ihre Nutzlast an benachbarte Workloads zu übermitteln und sich mit exponentieller Geschwindigkeit über die Infrastruktur auszubreiten.  

Illumio ZTS stops all breaches from spreading at any scale, even if they’ve gone undetected by threat-hunting solutions. You can block the ports attackers use most often to breach networks, only allowing access to a small set of centralized management systems. This means that any successful breach will be isolated to its entry point and unable to move through the rest of the network.  

Anstatt Ressourcen darauf zu verwenden, eine Bedrohung zuerst zu erkennen und dann ihre Absicht zu verstehen, verhindert Illumio einfach, dass Bedrohungen Sitzungen verwenden und Ports zwischen Workloads öffnen, um sich auszubreiten. Illumio verriegelt die Türen, bevor er versucht zu verstehen, warum jemand versucht, sie aufzubrechen.  

So wird sichergestellt, dass ein kleines, unentdecktes Sicherheitsproblem nicht stillschweigend zu einem katastrophalen Vorfall eskalieren kann.

Erweiterte Datenerfassung: Sicherung von Ports, die für den Geschäftsbetrieb geöffnet bleiben müssen

Wenn Sie 100 % aller Ports überall blockieren, sind Sie zu 100 % sicher vor Malware, die sich über Ihr Netzwerk ausbreitet. Aber es bedeutet auch, dass Sie zu 100 % nicht in der Lage sind, Geschäfte zu machen. Beispielsweise benötigen Verarbeitungsworkloads weiterhin Zugriff auf Datenbankworkloads.  

How does Illumio monitor those small number of ports that have to stay open to make sure they’re not being misused?

Using the Enhanced Data Collection feature, Illumio virtual enforcement node (VEN) agents enforce the firewalling capabilities built into most modern operating systems. Because these VENs are deployed directly onto a workload, they’re also able to collect information about:

• Prozesse, die derzeit auf allen verwalteten Hosts ausgeführt werden

• Das Volumen des Datenverkehrs, das auf offenen Ports verwendet wird  

Die Illumio Policy Compute Engine (PCE) zeigt dann die Anzahl der Bytes an und protokolliert sie, die in bestimmten offenen Sitzungen verwalteter Workloads angezeigt wurden.  

For example, if Port 53 is left open on a workload to enable DNS access, the VEN can collect metrics on the volume of traffic seen over that port. If the byte count shows small traffic volumes, as expected, this helps to ensure that this is valid DNS traffic. But if the count shows 10 gigabytes of traffic passing across that same port, this is a red flag that it's not valid DNS traffic. It could indicate that there’s an active DNS-tunneling threat.  

You can view the traffic volumes found by the Enhanced Data Collection feature and take action automatically. A security information and event management (SIEM) solution, such as Splunk, can harvest logs from Illumio. If it sees anomalous traffic volumes across open ports, it can use its security orchestration, automation, and response (SOAR) platform to automatically send API-driven instructions to Illumio to block these ports. Responding to traffic anomalies requires an automated response to avoid the lag time caused by a human needing to make a decision.  

Funktionsweise der erweiterten Datenerfassung

Sie können die erweiterte Datenerfassung auf zwei Arten verwenden:  

• Pairing Profiles: The VENs will start counting bytes for sessions on workloads as they are initially paired.  

• Workloads: Bytes will start being counted on workloads that are already deployed.

‍

Die Funktion sammelt und protokolliert das Datenverkehrsvolumen für den gesamten Datenverkehr über eine erzwungene Sitzung. Sie können diese Daten dann in der Option Traffic der grafischen PCE-Benutzeroberfläche (GUI) von Illumio anzeigen.

Mit der erweiterten Datenerfassung kann Bedrohungsverhalten erkannt werden, ohne dass Datenverkehr abgefangen werden muss. Illumio erkennt das Verkehrsaufkommen vollständig von der Managementebene aus, indem es die verwalteten Workload-Prozesse und das erwartete Verhalten dieser Workloads überwacht. Dadurch wird das Risiko vermieden, dass ein Engpass in der Datenebene entsteht.  

Bereiten Sie sich mit Illumio auf die nächste Sicherheitsverletzung oder den nächsten Ransomware-Angriff vor

Threat-hunting solutions are still an important part of a Zero Trust architecture. But to build your Zero Trust foundation, it’s crucial to have Zero Trust Segmentation.

Zero Trust sollte Ihr Netzwerk nicht komplexer machen. Es sollte es vereinfachen. Illumio ZTS bietet eine einfache Lösung für eine komplexe Sicherheitsherausforderung.  

To learn more about using Enhanced Data Collection, contact us today for a free consultation and demo.