PROTECTION BEYOND THE OS

La nostra proposta è una nuova soluzione per la lotta al problema, in continua crescita, di APT (Advanced Persistent Threats), 0-day e nuovi malware. La tecnologia adottata è stata sviluppata assumendo che per lottare contro i nuovi malware che sfruttano le più sofisticate tecniche è necessario disporre di un sistema di protezione in grado di operare ad un livello completamente differente.
Per ottenere questo risultato, sono stati individuati I punti deboli dei sistemi oggi disponibili. In due parole:

• i monitor di rete non sono in grado di analizzare traffico cifrato
• gli antivirus non sono più in grado di intercettare nuovi malware o exploit
• gli antivirus sono facilmente aggirabili dai malware (diventano superficie d'attacco)
• le tecniche di sandbox sono facilmente identificabili e aggirabili
• i SIEM sono robusti tanto quanto lo sono le tecnologie precedenti
• nessuna tecnologia attuale offre una difesa reattiva ed una risposta continua

Per risolvere i problemi sopra elencati è stato sviluppato un nuovo concetto: un sistema di protezione che viene eseguito fuori dal Sistema Operativo. E' perciò completamente invisibile e non rintracciabile dai malware. Questo approccio ha alcuni vantaggi unici rispetto alle normali protezioni:

• malware, sensibili all'ambiente in cui vengono eseguiti, non possono individuare il sistema di difesa
  
• essendo inaccessibile dal sistema operativo non diventa attaccabile (parte della superficie d'attacco)
  
• dati e traffico cifrato sono facilmente ispezionabili
• tecniche di aggiramento delle sandbox sono inefficaci in questo contesto

L'intero sistema viene monitorato da un piccolo componente software posizionato fra l'hardware e il sistema operativo. Non importa quanto sia sofisticato un malware, per eseguire una qualsiasi delle sue funzioni avrà bisogno di accedere all'hardware.

L'infrastruttura è composta da 3 componenti:

• client installato sulle postazioni di lavoro
• modulo di invio dei dati dal client verso il server
• modulo di memorizzazione e analisi dei dati ricevuti dal modulo precedente
  

Principali caratteristiche

Questa soluzione collega fra loro diversi livelli di protezione differenti che operano indipendentemente uno dall'altro, aumentando la capacità di reazione del sistema.
Livelli di protezione differenti:

• Explois: un sitema in tempo reale intercetta tutte le tecniche note usate dalle vulnerabilità note e non
• Malware: la posizione privilegiata del prodotto permette un completo isolamento del processo. E' quindi in grado di esaminare qualsiasi attività venga richiesta. Se un malware tenta di nascondersi o di aggirare una sandbox, viene comunque intercettato e bloccato
• Data exfiltration: ogni accesso ai dati è monitorato e ogni tentativo di esportare informazioni anche con sistemi di cifratura viene intercettato e bloccato
• A.I.: la quantità di dati da analizzare è tale che è stato implementato un sistema di Intelligenza Artificiale che, sia sul client che sul server, analizza e correla i dati. La parte sul server lavora sui dati ricevuti da tutti i client, mantenendo così molto aggiornato l'intero sistema.

Ogni eseguibile identificato come malware viene bloccato ed immediatamente isolato (messo in quarantena). Una copia è inviata al server per ulteriori analisi. E' poi possibile eliminarlo o rimetterlo al suo posto.