· изощренные постоянные угрозы

· постоянные прицельные атаки

· продвинутые постоянные угрозы

Видя разброд и шатание в дискуссиях об APT, а иногда и использование APT как нового способа продавать дорогостоящие товары и услуги в сфере ИБ я написал статью о том, что же такое APT и чем они отличаются от привычных нам атак.

Многие говорящие об атаке в стиле APT предполагают использование сложных средств или ранее неизвестных уязвимости. Другие верят, что если вы не гигантская корпорация, то вам нечего опасаться. Оба утверждения ошибочны. Чаще всего во время атаки применяются очень простые средства, известные каждому специалисту ИБ, такие как Windows Credential Editor, minkatz, pwdump.

Раньше было принято считать, что достаточно построить защиту, отражающую атаки случайных злоумышленников, и они уйдут атаковать соседа, то теперь так просто отделаться не удастся. С приходом APT модель атакующего кардинально изменилась. Теперь они отличаются чрезвычайной усидчивостью, настойчивостью и наличием больших ресурсов. Никаких технологически продвинутых приемов в APT не используется, поэтому Microsoft предлагает применять новый термин Determined Adversaries – настойчивые противники (атакующие). Это позволит более точно отразить происходящее в ИБ индустрии и вписать в единую картину такие явления как Stuxnet.

Если ваша компания работает над инновационными решениями, владеет ценной интеллектуальной собственностью, выполняет правительственные заказы или связана с политическими партиями, то скорее всего вам нужно тщательно проверить свою инфраструктуру и готовиться к отражению настойчивых и прицельных атак. Корпоративный шпионаж был всегда, но сейчас мы вошли в новую эру.

Как защищаться от атак в стиле APT рассказывается во второй статье. В ней я рассматриваю мифы, связанные с уязвимостями, рассказываю о быстром развертывании обновлений, говорю об инструментах проведения аудита инфраструктуры, таких как MSAT, MBSA и заканчиваю вариантами сегментирования сети с помощью IPsec.

Даже если вы не считаете, что ваша организация подвержена APT рекомендую посмотреть вебкаст про Advanced Persistent Threat с конференции Teched Russia. Он поможет вам научиться защищаться от наиболее часто применяемых атак актуальных для Windows инфраструктуры.

Насколько сильно влияют 0-day уязвимости на общий ландшафт безопасности продуктов Microsoft?

Поговорили, как организован SSIRP — процесс реагирования на инциденты ИБ в сфере разработки программного обеспечения. Каким образом тестируются и выпускаются обновления. Обсудили почему они выпускаются ежемесячно, а не еженедельно или ежедневно.

Затем  я рассказал о тех уроках, которые Microsoft извлек в процессе построения и поддержки сервиса Windows Update обслуживающего 1 миллиард клиентов.

Мы посмотрели на типичные пути появления эксплоитов, атакующих уязвимости в первые 30 дней после выхода обновлений. Затем узнали как Microsoft обменивается данными об уязвимостях и зловредном коде с крупнейшими производителями систем безопасности. Это позволяет им с помощью обновлений к IDS/IPS и антивирусов защищать тех клиентов, кто не успевает обновиться за первый месяц.

Получилась увлекательная экскурсия на внутреннюю кухню Microsoft.

Так же для всех желающих доступна презентация для просмотра и скачивания.

Для резервирования я выложил презентацию на Slideshare.

Если вам захочется обсудить то что вы увидели в вебинаре, задавайте вопросы здесь.

Предполагаю что таким организациям пора начать планировать миграцию с ISA Server на новые продукт, например такой как Forefront TMG. Следующие документы объясняют почему именно Forefront TMG и как выполнять миграцию на него.

• Why Upgrade from ISA Server 2004/2006 to Forefront TMG 2010
• Reasons to Migrate from ISA Server 2004/2006 to Forefront TMG 2010
• ISA Server 2004/2006 to Forefront TMG Migration Guidance [VIDEO]
• Migrating from ISA Server 2004/2006 to Forefront TMG 2010

Не мешкайте, подумайте о миграции уже сегодня.

Я надеюсь, вы понимаете, что это очень ранняя версия ОС и ее не стоит использовать в рабочей инфраструктуре. Она предназначена для ознакомления и первичного тестирования. Поэтому никакой поддержки для нее оказываться не будет.

Система не требует активации, вы сможете ставить ее столько раз сколько вам необходимо, на то оборудование, которое вы желаете проверить.

С течением времени мы будем выпускать обновления для самой ОС и драйверов. Так мы протестируем телеметрию и раздачу обновлений.

Завтра я напишу подробный пост о новинках Windows 8. Так что следите за анонсами.

• Виртуальные машины теперь могут иметь более 16 процессоров. Официально поддерживаемый лимит скорее всего будет выше чем 16 процессоров. Окончательный вариант будет оглашен позже.
• Асинхронная репликация виртуальных машин между географически распределенными ЦОД с помощью встроенного механизма Hyper-V Replica. Это означает что вам не нужно будет покупать дорогостоящих внешних решений для резервного копирования и репликации данных.

 Посмотрите демо Windows Server 8 начиная с 36 минуты.  Более подробные про новинки Windows Server 8 можно будет узнать 13-16 сентября этого года на конференции  Microsoft BUILD.

Популярность MSE не удивительна, он прост в установке и управлении, а с недавних пор может использоваться для защиты малого бизнеса имеющего не более 10 ПК.

Скачивайте новый Microsoft Security Essential. Теперь единый установочный пакет подходит для Windows 7, Windows Vista и Windows XP. Обратите внимание что вирусные базы рекомендуется обновить сразу же после установки нового антивируса. Сделать это можно из консоли управления антивирусом. Если же у вас слабый канал в Интернет или вам нужно обновить ПК без подключения к Интернету можно скачать базы MSE отдельно.

Не смотря на то, что под Hyper-V стабильно работают практически все популярные Linux дистрибутивы, официально поддерживались только SuSE Linux Enterprise Server и Red Hat Enterprise Linux.

Отныне в список поддерживаемых гостевых систем добавляется CentOS. Таким образом, многие предприятия смогут консолидировать и унифицировать свои смешанные Windows + Linux инфраструктуры и снизить стоимость владения. Мы предполагаем, что особенно актуально это будет для телеком провайдеров и хостеров.

Для того чтобы прояснить тонкости оказания поддержки CentOS написал этот краткий FAQ:

В: Какие версии CentOS поддерживаются для запуска под Hyper-V?
О: 32-x и 64-х битные CentOS с версии 5.2 по версию 5.6. Получить поддержку можно по проблемам установки, конфигурирования и функционирования CentOS под Hyper-V.

О: Какие версии сервисов интеграции с Hyper-V будут поддерживаться в CentOS?
В: На данный момент поддерживается Hyper-V Linux Integration Services for Linux версии 2.1. Он дает следующие возможности:

o Symmetric Multi-Processing (SMP) Support: Гостевая машина CentOS может работать с 4-мя виртуальными процессорами.

o Driver support for synthetic devices: Сервисы интеграции добавляют в гостевую ОС поддержку высокоскоростных синтетических устройств сети, жестких дисков Hyper-V.

o Fastpath Boot Support for Hyper-V: Загрузочные диски CentOS смогут пользоваться Virtualization Service Client (VSC) для повышения скорости дисковых операций.

o Timesync: Синхронизация времени между родительским разделом Hyper-V и гостевой CentOS.

o Integrated Shutdown: Корректное завершение работы гостевой системы CentOS из Hyper-V Manager, System Center Virtual Machine Manager или скриптов Powershell и WMI.

o Heartbeat: Отслеживание статуса гостевой ОС из родительского раздела Hyper-V.

В: Будет ли Hyper-V официально поддерживать другие Linux дистрибутивы?
О: Мы работаем на этим. В связи с включением модулей Hyper-V в новые ядра Linux ожидаем упрощения процесса поддержки и расширения списка дистрибутивов Linux работающих под Hyper-V.

Role Administration Tools:

• Active Directory Certificate Services (AD CS) Tools
• Active Directory Domain Services (AD DS) Tools
• Active Directory Lightweight Directory Services (AD LDS) Tools
• DHCP Server Tools
• DNS Server Tools
• File Services Tools
• Hyper-V Tools
• Terminal Services Tools

Feature Administration Tools:

• BitLocker Password Recovery Viewer
• Failover Clustering Tools
• Group Policy Management Tools
• Network Load Balancing Tools
• SMTP Server Tools
• Storage Explorer Tools
• Storage Manager for SANs Tools
• Windows System Resource Manager Tools

Скачать новый RSAT можно тут https://www.microsoft.com/downloads/en/details.aspx?FamilyID=7d2f6ad7-656b-4313-a005-4e344e43997d

Debian не входит в список официально поддерживаемых Microsoft систем Linux для запуска под Hyper-V. Не смотря на это он работает в виртуальном окружении очень даже хорошо. В связи с тем, что официального пакета компонентов интеграции Hyper-V для Debian нет, мы воспользуемся драйверами Hyper-V встроенными в новейшие ядра Linux.

Установка Debian 6 под Hyper-V довольно банальна. Единственное что нужно сделать на этапе создания виртуальной машины это добавить в систему эмулируемый сетевой интерфейс Legacy. Он нам понадобится для первоначального обновления системы и установки новейшего ядра Linux.

После завершения установки Debian 6 у нас будет ядро 2.6.32 конечно оно не блещет новизной, но в тоже время вполне нормально с многопроцессорными виртуальными машинами.

Для того чтобы виртуальная машина смогла работать быстрее и воспользоваться всеми преимуществами Hyper-V нужно обновить ядро как минимум до 2.6.36. Перед сборкой нового ядра обновляем систему, устанавливаем исходные тексты текущего ядра и все необходимые инструменты для компиляции нового.

# apt-get update

# aptitude update

# apt-get install build-essential ncurses-dev kernel-package fakeroot install linux-headers-2.6 linux-source-2.6.32

Теперь приступим к сборке нового ядра 2.6.36 взятого с kernel.org

# cd /usr/src

# wget -c https://www.kernel.org/pub/linux/kernel/v2.6/linux-2.6.36.tar.bz2

# bzip2 -d linux-2.6.36.tar.bz2

# tar xf linux-2.6.36.tar

# cd linux-2.6.36

# cp /boot/config* ./.config

# make menuconfig

В меню выбираем Device Drivers -> Stagging Drivers –> Microsoft Hyper-V Client Drivers

На этом этапе так же можно удалить лишние драйвера для устройств, которых никогда не будет в виртуальной машине, таких как wi-fi, звуковые карты, USB, PCI. Впрочем, это не обязательно, если не желаете, можете не делать.

После этого можем начать сборку deb пакетов ядра. Для того чтобы лучше отличать ядра добавляем в название символы hyper-v.

# make-kpkg clean
# fakeroot make-kpkg --initrd --append-to-version=-hyper-v kernel_image kernel_headers

Компиляция ядра занимает довольно продолжительное время. После этого в /usr/src появятся два deb пакета которые можно установить в систему командой dpkg –i.

Так же эти пакеты можно будет перенести и установить в другие виртуальные машины с Debian дабы не повторять процесс компиляции.

Редактируем /etc/initramfs-tools/modules и добавляем следующие строки указывающие загружать нужные модули при старте системы:

hv_vmbus

hv_storvsc

hv_blkvsc

hv_netvsc

Обновляем initramfs: 

# update-initramfs –u –k 2.6.36-hyper-v

Выключаем виртуальную машину, удаляем сетевой адаптер Legacy, добавляем синтетический сетевой адаптер и загружаем машину с новым ядром.

После этого проверяем с помощью lsmod | grep hv что все нужные для работы Hyper-V модули загрузились.

Обратите внимание, в новых версиях ядер Linux сетевой синтетический интерфейс Hyper-V переименован из seth в eth. Это может вводить в заблуждение.

Как обычно я протестировал устойчивость виртуальной машины прокачав через нее в течении нескольких дней с помощью scp почти сотню гигабайт трафика. Виртуальные жесткие диски работают также достаточно быстро.

Виртуальная машина работает стабильно в 4-х процессорной конфигурации с 44 гигабайтами ОЗУ. В общем можно сделать вывод, что Debian и основанные на нем дистрибутивы способны отлично работать под Hyper-V и применяться для реализации инфраструктурных элементов работающих с большой нагрузкой.