ИИ ускоряет обнаружение уязвимостей и сокращает окна для реагирования, подвергая критически важные активы большему риску, чем когда-либо. PHP2Shell — это один из недавних примеров срочности, с которой сталкиваются группы безопасности по мере эволюции угроз на базе ИИ и их влияния на организации по всему миру. При таком темпе службы безопасности с трудом успевают применять патчи и планировать обновления до появления новых угроз.

Организациям необходимы правильные инструменты, аналитика угроз и опыт для быстрой адаптации. Именно поэтому у наших клиентов была защита от попыток эксплойта PHP2Shell еще до раскрытия информации, сигнатуры, готовые к нулевому дню, и расширенные средства обнаружения в Splunk для отслеживания активности атак.

Впервые столкнулись с PHP2Shell? Посмотрите 2-минутное видео.

Покрытие обнаружением для клиентов до нулевого дня

Менее чем через 24 часа после раскрытия уязвимостей PHP2Shell система SnortML зафиксировала новую попытку эксплойта в телеметрии межсетевого экрана клиента. В дополнение к сигнатурам, доступным в день нулевого дня для уязвимостей PHP, SnortML распознала закономерности в полезной нагрузке новой атаки, которым она научилась на других атаках, и смогла выявить и заблокировать попытки удаленного выполнения кода прямо в потоке. SnortML заблокировала подозрительный трафик в нулевой день для оценки командой межсетевого экрана, закрывая брешь в защите, пока команды работали над исправлением, что, конечно, является первым шагом.

Клиенты Cisco Firewall, использующие ПО версии 10.1, автоматически получают SnortML. Встроенная в механизм предотвращения вторжений, SnortML определяет шаблоны атак и блокирует попытки эксплойтов в режиме реального времени, даже новые. Сигнатуры Snort и машинное обучение работают в тандеме, защищая клиентов межсетевых экранов от возникающих угроз на базе ИИ.

Примечание: Клиенты, использующие Cisco Firewall version 10.1 и применяющие политику безопасности поверх связности, имеют включенную по умолчанию SnortML.

Splunk обнаруживает поствирусную активность с помощью Snort

Мы будем и дальше наблюдать, как злоумышленники объединяют уязвимость PHP2Shell с другими уязвимостями в будущих атаках, поэтому мы помогаем нашим клиентам объединять свои средства защиты в ответ. Исследователи Cisco и Splunk связывают правила Snort IPS/IDS с механизмами обнаружения Splunk. Таким образом, Splunk сопоставляет отдельные оповещения межсетевого экрана, чтобы понять, вписываются ли они в общую картину известной подозрительной активности.

Теперь клиентам доступна more than 10 Splunk detections для защиты от активности после эксплойта PHP2Shell, включая средства обнаружения, специфичные для межсетевых экранов Cisco. Межсетевые экраны Cisco блокируют вредоносный трафик атак PHP2Shell, в то время как Splunk предоставляет командам SOC видимость активности после эксплойта PHP2Shell. Угрозы на базе ИИ не оставляют практически времени на реакцию, поэтому инструменты, которые мы используем для защиты от неизвестных угроз, должны быть взаимосвязаны.

Получите ресурсы для защиты от PHP2Shell

Добавьте в закладки блог с рекомендациями по угрозам Cisco Talos — этот блог Talos является вашим источником достоверной информации обо всех текущих обновлениях и рекомендациях по снижению рисков во время установки исправлений.
Загрузите сигнатуры IPS 67359, 67360 и 67375, если вы являетесь клиентом Cisco Firewall с активной подпиской на угрозы, или получите их бесплатно с помощью открытого исходного кода Snort Community Ruleset.
Узнайте, как работает SnortML, прочитав вступительный блог, или посмотрите видео о начале работы (для версий до 10.1).
Ознакомьтесь со средствами обнаружения Splunk, которые теперь доступны в Enterprise Security Content Update, охватывающими попытки эксплуатации и поствирусную активность.
Попробуйте некоторые из возможностей, рассмотренных сегодня, в ходе тест-драйва Cisco Firewall.

Наша работа — это ваша защита, и наша глобальная команда аналитиков угроз превращает возникающие угрозы в четкие рекомендации и более надежную защиту для наших клиентов, чтобы вы могли защитить то, что важно, по мере эволюции атак на базе ИИ и быть готовыми к тому, что ждет впереди.