UNA AVENTURA PELIGROSA ATAQUES A NIVEL DE HYPERVISOR. Horatiu Bandoiu Channel Marketing Manager Bitdefender SE & LATAM

Transcripción

1 UNA AVENTURA PELIGROSA ATAQUES A NIVEL DE HYPERVISOR Horatiu Bandoiu Channel Marketing Manager Bitdefender SE & LATAM

2 Agenda Whoami La nube y la virtualización Ataques Debilidades intrínsecas APT Memory Introspection HVMI Conclusiones

3 whoami > 15 años en la seguridad informatica Bitdefender Provision / isec / Zona IT : ISO implementaciones en bancos, telecom, petroliferas Promotor de CISA/CISM, ISO LA Colaborador de (ISC)2 CISSP, SSCP Microsoft MCT Miembro de ISACA desde 2005 Varios proyectos de IoT Presente: Bitdefender Ch Mkt Manager Divulgador de la tecnología moderna y sus particularidades Padre de familia

4 THE NEW ERA OF COMPUTING UBICUIDAD EFFICIENCIA AHORROS

5 La ESENCIA DE LA NUBE

6 QUE ES LA NUBE? Server Virtualization Storage Virtualization Network Virtualization Desktop Virtualization Device Virtualization Autonomics Technologias Mercados/ Modelos Enterprise Cloud Mass Market Clouds SaaS (Service, Apps) PaaS (Platform) IaaS (Infrastructure) RaaS (Resource) FaaS (Facility) Grid Computing - DevOps Usos Consolidación en el Data Center Public / Private / Hybrid Clouds Compute / Storage Clouds Cloud Computing ~ On-demand Computing Utility Computing Elastic Computing Scalable Computing Recursos en el Data Center (servers, routers) ~ Computer Center Hosting Facility, Server Farm, Data Farm Future Internet Internet of Services Green IT Visiones Infraestructuras físicas Desktops / Laptops Other Devices (mobile, network equipments)

7 Tipos de virtualización Tipo 1 System Calls VM Exits / Entries Instruction Set

8 Tipos de virtualización Tipo 2 Virtualized System Calls VM Exits / Entries System Calls Instruction Set

9 Tipos de virtualización Tipo 3 (micro virtualización) System Calls VM Exits / Entries Instruction Set

10 SMM & STM System Calls VM Exits / Entries Instruction Set

11 Tipos de ataques: Virtual Network Layer MAC spoofing/snooping Ataques a nivel de IP VLAN hopping Máquinas virtuales Hyper spacing Hyperthreading Buffer overflows Cache Poisoning A nivel del Hypervisor Hyperjacking: High attack surfaces Blue Pill VM VM VM VM A nivel de memoria Memory overcommit, optimized page sharing, balloon drivers Prioridades de ejecución Hypervisor vswitch Hardware VNIC PNIC A nivel de storage Violaciones de la autenticación, intercepción de las llaves de encriptación Ransomware CPU MEMORY STORAGE NETWORK

12 Cual es la principal debilidad de las infraestructuras en la nube? LA COMPLEXIDAD?

13 SI Y NO = La que nos falla es la MEMORIA Transicion entre las direcciones en memoria física (RAM) y las direcciones adresables

14 porque tenemos segmentación y paging y no solo estos

15 ADVANCED PERSISTENT THREATS

16 APT El flujo del ataque 5 steps kill chain

17 El malware avanzado

18 BITDEFENDER UNFOLLOW THE TRADITIONAL

19 Reforzando el hipervisor MEMORY INTROSPECTION

20 ?QUE ES? MEMORY INTROSPECTION

21 Seguridad desde fuera del Sistema Operativo Elimina la superficie de los ataques a nivel del OS y del kernel del OS Pero puede tener un problema con el malware moderno que se aprovecha de la complexidad de las arquitecturas y del trabajo con la memoria, de las debilidades intrínsecas de la virtualización La respuesta de Bitdefender: Análisis de las imágenes en memoria básica de los SO huéspedes y sus procesos/apps Interceptamos y marcamos las paginas extendidas de asignación de memoria (EPT) como non-writeable y non-xecutable Auditamos los accesos a esas zonas por el código que se ejecuta inside VM especialmente los de W y X - y los permitimos o no

22 RETOS DE LA HVMI cortocircuitar el Semantic Gap correlación entre las paginas de la memoria básica y los SOs y sus procesos Qué operaciones se han de ejecutar y porque? Qué procesos se ejecutan y porque? Asegurar un impacto de funcionamiento mínimo los eventos que se envían tienen una carga mínima interceptamos solo eventos con sentido gestionar rapidamente los eventos (análisis, re-ejecución / emulation, renvío etc.)

23 Que protegemos y porque?

24

25

26

27

28 CONCLUSIONES: Cloud is a dangerous place La virtualización tiene sus debilidades La memoria añade complexidad y posibilidades de abusos Los ataques modernos se ejecutan con privilegios iguales que el antimalware o aun más altos Una solución potencial es la introspección en memoria Bitdefender les ofrece la posibilidad de enfrentarse al reto pero tienen que pensar out-of-the box

29 BITDEFENDER START YOUR SECURE JOURNEY