Características pouco conhecidas do Illumio Core: coleta de dados aprimorada

‍In this ongoing series, Illumio security experts highlight the lesser known (but no less powerful) features of Illumio Core.  

Usamos ferramentas de detecção há décadas. Mas o número de violações e ataques de ransomware continua aumentando.  

Os ataques cibernéticos estão mudando e avançando mais rápido do que nunca. É impossível detectar e evitar todas as violações, mas podemos impedir que elas se espalhem quando elas acontecem.

A Segmentação Zero Trust da Illumio (ZTS) impede a propagação de violações e ataques de ransomware antes que eles cheguem aos seus ativos e dados essenciais. Em vez de tentar impedir ou detectar o próximo ataque, o Illumio ZTS tranca a porta em seus segmentos de rede.

But what about the small number of ports that need to stay open so you can run your business? Illumio’s Enhanced Data Collection feature helps you monitor your traffic volumes to find anomalies and take action if needed. Keep reading to learn more about how this feature works and the value it can bring to your organization.

A detecção de ameaças não é suficiente para proteger contra violações

Attackers are deploying malware and ransomware faster than detect-and-response tools can keep up. Zero-day threats, such as the MOVEit attacks by the Clop ransomware group, can quickly slip past detection tools and immediately spread through your network.  

Se você não tem como impedir que violações não detectadas se espalhem, os invasores podem acessar seus recursos mais importantes em minutos.

Depois que a primeira carga de trabalho for comprometida, os invasores procurarão imediatamente sessões abertas para que elas possam se espalhar para as cargas de trabalho vizinhas. As portas normalmente abertas e de escuta entre cargas de trabalho incluem RDP, SSH e SMB. Qualquer um deles pode ser facilmente usado pelo malware para entregar sua carga útil às cargas de trabalho vizinhas, espalhando-se pela infraestrutura em velocidade exponencial.  

Illumio ZTS stops all breaches from spreading at any scale, even if they’ve gone undetected by threat-hunting solutions. You can block the ports attackers use most often to breach networks, only allowing access to a small set of centralized management systems. This means that any successful breach will be isolated to its entry point and unable to move through the rest of the network.  

Em vez de dedicar recursos para primeiro detectar uma ameaça e depois entender sua intenção, o Illumio simplesmente impede que as ameaças usem sessões e portas abertas entre cargas de trabalho para se espalharem. Illumio tranca as portas antes de tentar entender por que alguém está tentando derrubá-las.  

Isso garante que um pequeno problema de segurança não detectado não possa se transformar silenciosamente em um incidente catastrófico.

Coleta de dados aprimorada: protegendo portas que devem permanecer abertas para os negócios

Se você bloquear 100% de todas as portas em todos os lugares, estará 100% seguro contra a propagação de malware pela sua rede. Mas isso também significa que você é 100% incapaz de fazer negócios. Por exemplo, as cargas de trabalho de processamento ainda precisarão de acesso às cargas de trabalho do banco de dados.  

How does Illumio monitor those small number of ports that have to stay open to make sure they’re not being misused?

Using the Enhanced Data Collection feature, Illumio virtual enforcement node (VEN) agents enforce the firewalling capabilities built into most modern operating systems. Because these VENs are deployed directly onto a workload, they’re also able to collect information about:

• Processos atualmente em execução em todos os hosts gerenciados

• O volume de tráfego usado em portas abertas  

Em seguida, o mecanismo de computação de políticas (PCE) da Illumio exibe e registra o número de bytes vistos em sessões abertas específicas de cargas de trabalho gerenciadas.  

For example, if Port 53 is left open on a workload to enable DNS access, the VEN can collect metrics on the volume of traffic seen over that port. If the byte count shows small traffic volumes, as expected, this helps to ensure that this is valid DNS traffic. But if the count shows 10 gigabytes of traffic passing across that same port, this is a red flag that it's not valid DNS traffic. It could indicate that there’s an active DNS-tunneling threat.  

You can view the traffic volumes found by the Enhanced Data Collection feature and take action automatically. A security information and event management (SIEM) solution, such as Splunk, can harvest logs from Illumio. If it sees anomalous traffic volumes across open ports, it can use its security orchestration, automation, and response (SOAR) platform to automatically send API-driven instructions to Illumio to block these ports. Responding to traffic anomalies requires an automated response to avoid the lag time caused by a human needing to make a decision.  

Como funciona a coleta aprimorada de dados

Você pode usar a coleta de dados aprimorada de duas maneiras:  

• Pairing Profiles: The VENs will start counting bytes for sessions on workloads as they are initially paired.  

• Workloads: Bytes will start being counted on workloads that are already deployed.

‍

O recurso coleta e registra volumes de tráfego para todo o tráfego em uma sessão forçada. Você pode então visualizar esses dados na opção Tráfego da interface gráfica de usuário (GUI) PCE da Illumio.

A coleta aprimorada de dados pode detectar comportamentos de ameaças sem precisar interceptar nenhum tráfego. O Illumio detecta volumes de tráfego inteiramente do plano de gerenciamento, monitorando os processos de carga de trabalho gerenciada e o comportamento esperado dessas cargas de trabalho. Isso evita o risco de criar um gargalo no plano de dados.  

Prepare-se para a próxima violação ou ataque de ransomware com o Illumio

Threat-hunting solutions are still an important part of a Zero Trust architecture. But to build your Zero Trust foundation, it’s crucial to have Zero Trust Segmentation.

O Zero Trust não deve tornar sua rede mais complexa; deve simplificá-la. O Illumio ZTS oferece uma solução simples para um desafio complexo de segurança.  

To learn more about using Enhanced Data Collection, contact us today for a free consultation and demo.