Скорость обнаружения уязвимостей с помощью моделей Frontier AI и OpenWeight, таких как Cisco Anteras, беспрецедентна, и защитникам требуется больше времени. Все вендоры сталкиваются с притоком уязвимостей и устраняют их как можно быстрее. 13 октября Microsoft выпустила 1411 патчей, из которых 70 были критическими уязвимостями, а 3 — уязвимостями нулевого дня! Это включало 317 уязвимостей удаленного выполнения кода, 677 уязвимостей повышения привилегий и 40 уязвимостей функций безопасности. Отдадим должное Microsoft за устранение этих уязвимостей; Cisco и другие компании также не защищены от уязвимостей, но со временем мы все должны увидеть их уменьшение. 🤞Помните, что каждую закрывающуюся дверь злоумышленник пытается заменить новой — игра в кошки-мышки продолжится.

Организациям по-прежнему требуется до 43 дней на установку патчей, и в этом кроется проблема. Нам нужны варианты!

Cisco предоставляет клиентам дополнительные возможности снижения рисков, чтобы выиграть для всех защитников столь необходимое время.

Виртуальный патчинг против Live Protect (защиты)

Live Protect — это отличительная возможность, мы устроены иначе.

Виртуальный патчинг — это защита на сетевом уровне, и мы никогда не касаемся уязвимого хоста. Talos пишет правила Snort, которые соответствуют трафику эксплойта, эти правила помещаются в политику вторжений на Secure Firewall, и все, что пересекает брандмауэр, подвергается проверке.

Соответствующие пакеты регистрируются и/или отбрасываются. Если вам требуется более строгий контроль, Secure Workload может провести инвентаризацию того, что фактически работает на рабочих нагрузках, отправить отфильтрованную карту CVE в FMC, а рекомендации Firepower активируют только те сигнатуры, которые важны для этих конкретных хостов.

Это работает для стороннего программного обеспечения, АСУ ТП и всего остального, чей трафик вы можете направить через точку проверки. Talos может отправить правило задолго до того, как вендор выпустит бинарный патч, и одна политика может охватывать множество хостов с помощью точки управления Secure Firewall. Компромисс очевиден, как только вы его запустили: он видит только то, что попадает на брандмауэр, новый вариант может ускользнуть от сигнатуры, а CVE все еще находится на диске. SnortML создает предписывающую сеть, которая улавливает варианты для определенных протоколов и обеспечивает видимость зашифрованного трафика без расшифровки. Когда требуется расшифровка, мы используем прокси TLS и QUIC.

Рабочая нагрузка в среде по-прежнему остается уязвимой, и именно здесь можно расширить Secure Workload для управления средствами контроля на основе CVE непосредственно в рабочей нагрузке с использованием встроенных возможностей, а после установки патча средство контроля исчезает. Это пример рабочего процесса «виртуального патчинга». Предписывающий и многоуровневый подход к безопасности, но это еще не все.

Защита с помощью Live Protect

Защита с помощью Live Protect устроена иначе. Это временный защитный экран среды выполнения, который устанавливается на самом устройстве Cisco, начиная с NX-OS на Nexus 9000, и расширяется дальше. После того как PSIRT раскрывает уязвимость, Talos и инженеры проверяют небольшую политику eBPF (Tetragon), которая может перехватывать определенный системный вызов, процесс или доступ к файлам. Вы развертываете ее из Nexus Dashboard или SD-WAN Manager, начинаете с мониторинга, переходите к принудительному применению, а затем выводите защиту из эксплуатации при установке реального образа. Никакого обновления образа, никакой перезагрузки.

Ценность заключается в сокращении дней уязвимости, пока постоянный патч все еще проходит процедуру контроля изменений. Это не патч, и Cisco заявляет об этом прямо. Он охватывает ошибки, которые никогда не проявляются в виде чистого сетевого трафика — злоупотребление локальными файлами, некоторые проблемы с плоскостью управления, повышение привилегий на самом коммутаторе. Поскольку политика узкая и проверена Cisco, риск ложных срабатываний невелик. Функции смягчения последствий могут быть расширены с помощью средств защиты среды выполнения Isovalent на различные рабочие нагрузки, такие как контейнеры.

На практике я рассматриваю их как взаимодополняющие. Истинное свидетельство глубоко эшелонированной защиты. Виртуальный патчинг дает вам время и покрытие для систем, которые вы не можете или не хотите быстро пропатчить. Live Protect дает вам время на самих инфраструктурных устройствах без необходимости выделения окна для экстренного обновления. Средства защиты рабочей нагрузки и среды выполнения внедряют элементы контроля непосредственно в саму рабочую нагрузку. Ни одно из них не заменяет настоящий патч; все они просто сокращают окно уязвимости, пока вы к нему идете.