Výrobca z portfólia SecTec
Broadcom Security / Symantec
Broadcom Security / Symantec poskytuje enterprise bezpečnostné portfólio pre veľké organizácie naprieč API security, PAM, XDR, DLP, endpoint, identitou, šifrovaním a e-mailovou ochranou.
Zameranie výrobcu
Portfólio Broadcom Security spája technológie Symantec, Layer7, CA Technologies a Carbon Black. Pokrýva ochranu dát, identít, privilegovaných prístupov, API, endpointov, e-mailovej komunikácie a detekčno-reakčné scenáre pre enterprise prostredia.
Riešenia sú navrhnuté pre veľké a regulované organizácie, kde sa vyžaduje škálovateľnosť, centralizovaná správa politík, auditovateľnosť, integrácie a schopnosť zapojiť bezpečnosť do hybridného dátového centra, cloudu a aplikačnej architektúry.
V technologickej mape SecTec patrí Broadcom Security / Symantec najmä do Endpoint Security, Data Security, Identity and Access Management, Application Security, Email & Collaboration a Cloud Security. Vďaka Layer7 a Carbon Black dopĺňa aj API security a XDR pohľad nad incidentmi.
Riešenia a produkty
Layer7 API Management
Enterprise platforma pre publikovanie, správu a ochranu API vrátane autentifikácie, autorizácie, politík, rate limitingu, traffic managementu, monitoringu, analytiky a lifecycle managementu.
Symantec Privileged Access Management
Enterprise PAM riešenie pre ochranu privilegovaných účtov a prístupových údajov, trezorovanie hesiel, správu technických tajomstiev, monitorovanie a zaznamenávanie relácií, behaviorálnu analýzu a presadzovanie politík podľa princípov Zero Trust. RBAC a PBAC určujú, ktorí používatelia alebo skupiny môžu pristupovať ku konkrétnym účtom, zariadeniam a službám; kontextové atribúty, väzby medzi identitou, skupinou a cieľovým zdrojom a časové podmienky umožňujú jemnejšie rozhodovanie zodpovedajúce ABAC a ReBAC scenárom. JIT obmedzuje trvanie privilegovaného prístupu a granulárne riadenie s bezpečným delegovaním úloh podporuje princíp JEA, aby administrátor získal iba nevyhnutný rozsah oprávnení.
CBX / Carbon Black XDR
XDR platforma prepájajúca Carbon Black Endpoint Security, Symantec DLP, Symantec Endpoint Security, Messaging Security a identity zdroje do ekosystému pre detekciu, koreláciu a reakciu na incidenty.
Symantec Data Loss Prevention
Enterprise DLP platforma na ochranu citlivých dát naprieč endpointmi, e-mailom, sieťou, cloudovými službami a úložiskami s jednotnou správou politík.
Carbon Black
Endpoint security platforma založená na behaviorálnej analýze, EDR, threat huntingu a ochrane serverov aj cloudových workloadov.
Identity Security Platform
Riešenia SiteMinder, VIP a Identity Governance & Administration pre SSO, MFA, federáciu identít, životný cyklus používateľov, recertifikácie a adaptívnu autentizáciu.
Symantec Encryption
Šifrovanie diskov, súborov a e-mailovej komunikácie s možnosťou napojenia na DLP politiky pre automatizovanú ochranu citlivých dát.
Endpoint Security Complete
Viacvrstvová ochrana endpointov kombinujúca antimalware, exploit protection, behaviorálnu analýzu, EDR funkcionalitu a ochranu pred ransomvérom.
Messaging Security
Ochrana e-mailovej komunikácie pred phishingom, BEC, spamom, malvérom a ďalšími modernými hrozbami.
Typické scenáre použitia
- veľký enterprise potrebuje zosúladiť endpoint, DLP, identitu, privilegované prístupy a e-mailovú ochranu
- organizácia buduje API-first architektúru, mikroservisy alebo bezpečné prepájanie interných a externých aplikácií
- administrátorské účty, secrets a privilegované relácie musia byť riadené, auditované a napojené na Zero Trust prístup
- bezpečnostný tím potrebuje korelovať endpoint, identitu, e-mail a dáta v XDR pohľade
Pokrytie útokov a obranný kontext
MITRE ATT&CK® Enterprise verzie 19.1 používame ako referenčný model. Mapovanie je odbornou interpretáciou SecTec a neznamená schválenie alebo odporúčanie zo strany MITRE.
Praktické typy útokov
- Phishing a zneužitie identityÚtočník manipuluje používateľa, získava prihlasovacie údaje alebo zneužíva dôveryhodný účet na vstup do prostredia.
- Krádež prihlasovacích údajovÚtočník získava heslá, tokeny, relácie alebo iný autentifikačný materiál a používa ho na rozšírenie prístupu.
- Zneužitie verejnej aplikácie alebo APIÚtočník využíva zraniteľnú webovú aplikáciu, API, klientsky kód alebo dodávateľský komponent na prvotný prístup a vykonanie kódu.
- Kompromitácia cloudu a SaaSÚtočník zneužíva cloudové identity, oprávnenia, konfigurácie alebo aplikačné integrácie na prístup k službám a dátam.
- Pohyb útočníka v internej sietiPo prvotnom prístupe útočník objavuje systémy, účty a služby a presúva sa k hodnotnejším aktívam.
- Malware a Command and ControlŠkodlivý kód sa spúšťa, udržiava prístup a komunikuje s infraštruktúrou útočníka cez bežné alebo skryté kanály.
- Exfiltrácia a únik dátÚtočník vyhľadáva, zhromažďuje a odosiela citlivé dáta z koncových zariadení, cloudu, e-mailu alebo interných úložísk.
- Ransomware a narušenie dostupnostiÚtočník šifruje alebo manipuluje dáta, zastavuje služby, blokuje obnovu a spôsobuje prevádzkový dopad.
- Dodávateľský reťazec a dôveryhodný prístupÚtočník zneužíva dodávateľa, softvérovú závislosť, externý prístup alebo dôveryhodný vzťah na obídenie bežnej ochrany.
- Útoky na OT a IoT prostredieÚtočník objavuje priemyselné alebo pripojené zariadenia, zneužíva vzdialený prístup a sieťové služby a ohrozuje dostupnosť prevádzky.
- Prieskum a mapovanie útočnej plochyÚtočník zhromažďuje informácie o ľuďoch, systémoch, cloudových službách a verejne dostupnej infraštruktúre a hľadá vhodnú cestu k prvotnému prístupu.
- Business Email Compromise a prevzatie schránkyÚtočník prevezme alebo napodobní dôveryhodnú e-mailovú identitu a zneužije komunikáciu na podvod, zmenu platobných údajov, zber dát alebo ďalší phishing.
- Eskalácia oprávnení a perzistenciaÚtočník rozširuje oprávnenia, vytvára alebo mení účty a politiky a buduje si opakovaný prístup k systémom, identitám alebo cloudovému prostrediu.
- Obchádzanie ochrany a oslabovanie kontrolÚtočník skrýva aktivitu, odstraňuje stopy, maskuje kód alebo oslabuje bezpečnostné nástroje, šifrovanie, firewall a mechanizmy obnovy.
- Insider hrozba a zneužitie oprávneného prístupuInterný používateľ alebo útočník s platným účtom zneužíva legitímne oprávnenia na vyhľadávanie, kopírovanie, manipuláciu alebo odoslanie citlivých dát.
- DDoS a vyčerpanie zdrojovÚtočník zahlcuje sieť, aplikáciu, API alebo koncový systém a vyčerpáva kapacitu, spojenia alebo výpočtové zdroje s cieľom obmedziť dostupnosť služby.
- BOLA – narušená autorizácia na úrovni objektuÚtočník mení identifikátor objektu v API požiadavke a získa prístup k dátam alebo operáciám, ktoré patria inému používateľovi, účtu alebo tenantovi.
- BOPLA – narušená autorizácia vlastností objektuAPI sprístupní alebo dovolí meniť citlivé vlastnosti objektu, ku ktorým používateľ nemá mať prístup, vrátane excessive data exposure a mass assignment.
- BFLA – narušená autorizácia na úrovni funkcieBežný alebo neprihlásený používateľ zavolá administrátorskú či privilegovanú API funkciu, ku ktorej nemá mať prístup.
- Narušená API autentifikácia a zneužitie tokenovÚtočník obchádza prihlasovanie, obnovu hesla alebo validáciu tokenu a preberá identitu používateľa či služby.
- Zneužitie citlivých business procesov a botovAutomatizovaný útočník zneužíva legitímnu funkcionalitu, napríklad nákup, rezerváciu, registráciu, hlasovanie, komentovanie alebo obnovu účtu.
- Credential stuffing a password sprayingÚtočník automatizovane skúša uniknuté dvojice mena a hesla alebo malé množstvo bežných hesiel proti veľkému počtu účtov.
- MFA fatigue, push bombing a zachytenie overeniaÚtočník bombarduje používateľa MFA výzvami, zachytí kód alebo zneužije sociálne inžinierstvo, aby používateľ potvrdil cudzie prihlásenie.
- Krádež relácie a zneužitie prístupových tokenovÚtočník ukradne cookie, OAuth token alebo inú reláciu a pristupuje k službe bez opätovného zadania hesla alebo MFA.
- Injection a vykonanie príkazuNedôveryhodný vstup zmení význam príkazu, dotazu alebo šablóny a umožní čítanie dát, obídenie logiky alebo vykonanie kódu.
- Path traversal a file inclusionÚtočník manipuluje cestu k súboru alebo importovaný názov a číta, zapisuje či vykonáva obsah mimo povoleného adresára.
- Škodlivý upload a nebezpečná deserializáciaAplikácia prijme alebo spracuje škodlivý súbor či serializovaný objekt a umožní vykonanie kódu, obídenie kontrol alebo kompromitáciu ďalších používateľov.
- Client-side injection a Cross-Site ScriptingÚtočník dostane nedôveryhodný obsah do prehliadača používateľa a vykoná skript v kontexte dôveryhodnej aplikácie.
Relevantné techniky ATT&CK
- T1003 · OS Credential DumpingDetect, Prevent, Respond, Validate
- T1005 · Data from Local SystemDetect, Prevent, Recover, Respond
- T1020 · Automated ExfiltrationDetect, Prevent, Respond
- T1021 · Remote ServicesDetect, Prevent
- T1027 · Obfuscated Files or InformationDetect, Prevent, Respond, Validate
- T1041 · Exfiltration Over C2 ChannelDetect, Prevent, Respond
- T1048 · Exfiltration Over Alternative ProtocolDetect, Prevent, Respond
- T1052 · Exfiltration Over Physical MediumPrevent
- T1053 · Scheduled Task/JobDetect, Respond, Validate
- T1055 · Process InjectionDetect, Respond, Validate
- T1059 · Command and Scripting InterpreterDetect, Prevent, Respond, Validate
- T1068 · Exploitation for Privilege EscalationPrevent, Respond
- T1069 · Permission Groups DiscoveryDetect, Prevent, Respond
- T1070 · Indicator RemovalDetect, Respond, Validate
- T1071 · Application Layer ProtocolDetect, Prevent
- T1078 · Valid AccountsDetect, Prevent, Respond
- T1095 · Non-Application Layer ProtocolDetect, Prevent
- T1098 · Account ManipulationDetect, Prevent, Respond
- T1105 · Ingress Tool TransferDetect, Prevent, Respond, Validate
- T1110 · Brute ForceDetect, Prevent
- T1111 · Multi-Factor Authentication InterceptionDetect, Prevent
- T1114 · Email CollectionDetect, Prevent, Respond
- T1133 · External Remote ServicesDetect, Prevent, Respond
- T1136 · Create AccountDetect, Prevent, Respond