Анализ безопасности событий в соответствии с репутацией угрозы

Обзор

Команда исследования безопасности в Cato Networks разработала аналитические движки для маркировки вредоносных IP-адресов, URL и имен доменов с плохой репутацией. Эта репутация указывает на то, что мы обнаружили, что конкретный IP-адрес, URL или домен инициировал подозрительную или вредоносную активность. Например, C&C вредоносного ПО, сканирование сети, фишинговая активность и так далее.

Движок IPS в Cato Cloud блокирует сетевой трафик, помеченный как имеющий плохую репутацию, и генерирует событие безопасности на основе репутации с типом угрозы Репутация.

Следующий скриншот показывает пример события безопасности с типом угрозы Репутация из Обнаружение событий:

Причины Заблокированного Трафика

Когда движок IPS Cato идентифицирует потенциально вредоносный трафик и блокирует его на основе репутации угрозы, поле название угрозы объясняет причину, по которой трафик был заблокирован.

Значения поля название угрозы включают, но не ограничиваются:

Сигнатура на основе репутации домена - Фишинг
Сигнатура на основе репутации IP - Ботнет
Сигнатура на основе репутации IP - Вредоносный IP
Сигнатура на основе репутации домена - Вредоносный домен
Сигнатура на основе репутации IP - Злоупотребление
Сигнатура на основе репутации URL - Вредоносный URL

Какие существуют Типы угроз?

Каждое событие безопасности, созданное в Приложение Управления Cato, классифицируется по полю, называемому тип угрозы. Это поле отображает общий обзор типа угрозы, против которого Cato защитила вас, и дает вам индикатор любой потенциально вредоносной активности.

Типы угроз, которые могут быть отображены в событии Безопасность, включают:

Спам
Перебор паролей
Сканер
Фишинг
Нарушение политики
Криптодобыча
Анонимайзер
DoS
Сканирование сети
Сканирование уязвимостей
Раскрытие информации
Повышение привилегий
Репутация
Удаленное выполнение кода
PuP
Атака на веб-приложение
Вредоносные программы
Вредоносное расширение браузера

Пример Рабочего Потока Безопасности Репутации Угроз

Команда исследования безопасности определяет, что домен потенциально является источником вредоносных атак.
Домен помечается как имеющий плохую репутацию, и движок IPS обновляется.
Конечный пользователь пытается получить доступ к домену, и IPS блокирует соединение и генерирует событие безопасности с типом угрозы Репутация.

Какой размер базы данных угроз Cato?

База данных угроз в Cato Networks постоянно развивается в соответствии с быстро меняющимся ландшафтом угроз. Мы постоянно увеличиваем размер и охват наших детекций угроз, чтобы обеспечить максимальную защиту для наших конечных клиентов. На 2024 год Cato потребляет приблизительно 250 различных источников разведки угроз, содержащих около 20 миллионов индикаторов компрометации. Для получения дополнительной информации см. Управляемая Разведка Угроз в Облаке Cato.