Enfrentando um cenário de segurança cibernética em constante evolução e cada vez mais sofisticado, as organizações têm uma necessidade premente de obter maior visibilidade e insights sobre o tráfego de sua rede. A maioria das ameaças é transmitida por canais criptografados, aumentando a necessidade de inspecionar o tráfego criptografado que atravessa a rede em busca de possíveis ameaças ocultas.
No Cisco Safe Firewall versão 10.0, nosso lançamento de software program mais recente, entregamos quatro novos recursos atraentes para ajudar os clientes a avaliar e agir de forma rápida e eficiente com base nas informações em seu tráfego de rede. Você pode testar esses recursos hoje mesmo com Teste de firewall seguroum curso ministrado por instrutor que irá guiá-lo através do Firewall Seguro e suas funções poderosas na segurança cibernética da sua organização.
Descriptografia simplificada
A melhor maneira de obter visibilidade do tráfego criptografado é descriptografá-lo. A nova experiência de descriptografia simplificada no Cisco Safe Firewall versão 10.0 simplifica as etapas necessárias para habilitar e gerenciar a criptografia. Em vez de um design tradicional baseado em regras, o Simple Decrypt permite a criação rápida de políticas de descriptografia de entrada e saída, visando servidores internos por meio de qualquer tipo de objeto de rede.
Além disso, os certificados podem ser selecionados individualmente para cada servidor. Os certificados voltados ao público podem ser atendidos por LetsEncryptreduzindo significativamente as despesas gerais de manutenção de certificados. O gerenciamento de certificados de descriptografia de saída agora pode ser gerenciado diretamente na página da política de descriptografia, facilitando o fluxo de trabalho ao criar políticas.
Todos os tipos de objetos com suporte para políticas de descriptografia incluem atributos-chave, como nome de domínio totalmente qualificado (FQDN), URL, rede e grupos e intervalos de rede, tags de grupo de origem, objetos dinâmicos e muito mais.
Para facilitar a descriptografia seletiva conforme necessário, a lista de bypass AppID fornecida pela Cisco permite excluir entradas desta lista para descriptografia. A versão anterior do Cisco Safe Firewall introduziu o Clever Decryption Bypass, facilitando ainda mais a tomada de decisões sobre qual tráfego descriptografar, avaliando o tráfego de baixo risco que provavelmente é seguro para contornar os processos de descriptografia. Ele determina qual tráfego é de baixo risco combinando dados de Pontuações de reputação do Talos e a pontuação de confiança na ameaça do cliente apresentada pelo Mecanismo de visibilidade criptografado (EVE).
Por último, todas as novas regras são automaticamente habilitadas para registro abrangente para fornecer melhor visibilidade do uso das regras e quaisquer considerações potenciais dentro da rede.
Descriptografia QUIC
Fast UDP Web Connections (QUIC) é um protocolo seguro criptografado nativamente projetado para aumentar a flexibilidade e o desempenho de aplicativos da internet, ao mesmo tempo que reforça a segurança. No entanto, também é mais difícil obter visibilidade deste tráfego, uma vez que a tecnologia de transporte é diferente do tráfego tradicional encriptado por TCP. Em vez disso, o QUIC depende do transporte UDP (Consumer Datagram Protocol) e implementa diretamente o TLS 1.3 no handshake da sessão, permitindo a criptografia de mensagens de handshake após o primeiro pacote. Enquanto a criptografia TCP+TLS deixou as mensagens de handshake transparentes para inspeção, quase todos os dados de handshake após o primeiro pacote são ocultos com QUIC. Até mesmo o Server Identify Indicator (SNI), que especifica o servidor com o qual o cliente está se comunicando, pode ser criptografado implementando Encrypted Consumer Whats up (ECH) junto com o QUIC.
Vários ofuscamentos no QUIC dificultam o rastreamento ou o acompanhamento de uma sessão completa do QUIC, como:
- A numeração de sequência no cabeçalho é criptografada
- Não existem metadados TCP, como para mensagens SYN, ACK, FIN, RST
- Fluxos multiplexados estão ocultos dentro da criptografia
- A conexão pode ser migrada através de endereços IP sem indicação de cabeçalho de transporte
O objetivo expresso do QUIC é deixar apenas as informações essenciais que um roteador ou dispositivo semelhante requer para transmitir e encaminhar pacotes, mas esse objetivo é contrário aos objetivos de segurança e responsabilidade de muitas organizações.
A adoção do QUIC está aumentando no tráfego international da internet, passando de cerca de 7% de uso em 2020 para cerca de 45% de uso em 2025. Cerca de um terço de todos os serviços da internet e mais de 80% dos serviços do Google são agora QUIC-first (ou seja, serviços onde o QUIC é oferecido antes do TCP+TLS).
Considerando essa adoção crescente e a necessidade de maior visibilidade e controle onde o protocolo QUIC está em uso, as políticas de descriptografia no Cisco Safe Firewall versão 10.0 foram aprimoradas para permitir a descriptografia e a inspeção do tráfego QUIC para garantir que a visibilidade seja mantida enquanto aproveita as melhorias oferecidas por este protocolo.
Em ambientes e casos de uso onde a descriptografia do tráfego QUIC não é possível, o Encrypted Visibility Engine (EVE) fornece impressão digital altamente precisa do tráfego QUIC que caracteriza e analisa exclusivamente sessões criptografadas por QUIC para avaliar beacon pós-exploração e tráfego suspeito semelhante. Esse recurso atraente ajuda a garantir que todas as organizações possam obter insights e proteções para o tráfego QUIC à medida que o uso desse protocolo aumenta.
Relatório de tráfego oculto
Algumas técnicas oferecidas pelas tecnologias de privacidade causam perda de visibilidade nas redes organizacionais. Esta coleção de novos relatórios de “Perda de Visibilidade” concentra-se nestes casos, oferecendo relatórios estatísticos e detalhados para ajudar a identificar o tráfego onde a análise de segurança está incompleta devido a ofuscações entre a origem e o destino.
Relatórios de “perda de visibilidade” incluídos
Proxies multihop: O tráfego que passa de um cliente para um proxy que por sua vez passa para um ou mais proxies torna-se difícil de rastrear até a origem e pode indicar uma tentativa de ocultar tentativas de ataque.
DNS criptografado: Se as informações de pesquisa de nomes de domínio não estiverem disponíveis, as políticas que restringem determinados nomes de domínio não terão efeito conforme o esperado.
TLS falso: Algum tráfego contém handshakes, cabeçalhos ou outras implementações TLS que indicam que a criptografia TLS é empregada, embora não esteja realmente em conformidade com o protocolo, fornecendo em vez disso uma rota para ataques de malware, beacon de comando e controle ou tunelamento de tráfego não criptografado.
VPN evasiva: Alguns serviços VPN ocultam intencionalmente sinais que indicam a sua utilização através de meios como mascarar o tráfego ou ofuscar os protocolos utilizados para o tráfego. Quando VPNs evasivas são detectadas, o aplicativo que faz as conexões evasivas é identificado na visualização Shadow Visitors, permitindo a criação simples de políticas para bloquear esse processo.
Frente de domínio: Algumas conexões anunciarão domínios frontais amplamente confiáveis no SNI e, em seguida, usarão um cabeçalho de host HTTP diferente dentro da conexão criptografada para direcionar o tráfego para um serviço de back-end diferente no mesmo provedor. Isso pode fazer com que regras que permitem que domínios amplamente confiáveis tenham efeitos colaterais indesejados, permitindo tráfego indesejável. Esses URLs de domínio são exibidos na visualização Shadow Visitors para destacar onde as decisões políticas podem precisar ser tomadas.
Além disso, agora é mais fácil modificar configurações para proibir essas tecnologias quando desejado.
Registro avançado
Para aprimorar o já robusto conjunto de informações disponíveis para conexões registradas no Cisco Safe Firewall e no Cisco Safe Community Analytics, um novo tipo de registro foi criado e twister pesquisável. As características registradas incluem:
Metadados do aplicativo: Identifique aplicativos suspeitos ou tentativas de uso indevido de aplicativos conhecidos com exposição aos metadados pertencentes a esse aplicativo
PCAPs inteligentes: Dados detalhados de pacotes para facilitar a análise forense profunda de eventos de segurança
Insights mais aprofundados sobre conexões das camadas 5 a 7: Esse foco em informações mais detalhadas sobre o tráfego de sessão, apresentação e camada de aplicação proporciona uma visibilidade mais abrangente das atividades em nível de aplicação para investigar violações, mesmo quando o tráfego em nível de rede parece benigno ou confiável.
HTTP, FTP, DNS e registro de conexão: Ao detalhar dados da Net, transferência de arquivos, pesquisa de domínio e dados gerais de conexão, um contexto maior fica disponível para investigações mais detalhadas de eventos de segurança
Registro estranho: A captura de desvios de protocolo e comportamentos incomuns de rede alerta as equipes de segurança sobre tráfego que pode sinalizar novos ataques ou configurações incorretas em aplicativos e redes
Registro de aviso: Especificamente, os eventos relevantes para a segurança são agrupados e apresentados para auxiliar na caça e análise de ameaças
Esses dados aprimorados ajudam os administradores de rede e de segurança a entender melhor o tráfego na rede de sua organização e a tomar decisões e recomendações políticas informadas.
Correlação do Splunk com registro avançado
Os insights mais profundos no registro avançado permitem correlações do Splunk com registros e eventos existentes do Cisco Safe Firewall, bem como outros registros e dados de rede e segurança em ambientes organizacionais e monitorados pela instância do Splunk da organização. Essas correlações oferecem oportunidades para detectar, fazer triagem e criar respostas mais rapidamente a eventos de segurança, simplificando os esforços para rastrear o evento através da rede e encontrar sinais adicionais para compreender o impacto do evento.
Dê uma olhada prática no Cisco Safe Firewall 10.0
Quer se aprofundar nos firewalls Cisco? Inscreva-se noTeste de firewall seguro Ciscoum curso prático de 4 horas ministrado por instrutor, onde você experimentará a tecnologia de firewall da Cisco em ação e aprenderá sobre os mais recentes desafios de segurança e técnicas de invasores.
Adoraríamos ouvir o que você pensa! Faça uma pergunta e fique conectado com a Cisco Safety nas redes sociais.
Mídias sociais de segurança da Cisco