ThreatSTOP DNS Firewall～脅威インテリジェンス活用してクリーンなインフラを目指す～
脅威インテリジェンス活用の現状• オペレーターが手動で危険な通信のあぶり出しをしている• 脅威インテリジェンスの収集• 脅威インテリジェンスの精査• 脅威インテリジェンスとの照らし合わせせっかくのセキュリティ人材をもっと有効に使えるように、脅威インテリジェンスの活用はシステム化しませんか？

アウトバンド通信の要、DNSで危険な通信を遮断/隔離する
ThreatSTOPが危険なIPアドレス、ドメインの情報を集め精査したリストを自動でDNSサーバーに配信。
DNSサーバーでの名前解決の際に、ThreatSTOPが持つ危険なIPアドレスもしくはドメイン名のリストと参照します。このときに、リストに該当する通信があれば、DNSサーバーへのクエリの無視もしくは通信の安全地帯への隔離を行います。
①
②
③
④
⑤

ポータル画面でポリシーと、アクションを選択
自動で最新のポリシーがDNSサーバーにアップデート
悪意を持ったアウトバウンド通信をブロック
ブロックされた通信のログをThreatSTOPへ送信
ログをもとに、レポートを作成

DNSサーバーへの要件：BIND 9.8以上もしくはWindows Server 2016

精度の高い脅威インテリジェンス
サービスプロバイダーが脅威インテリジェンスの採用を検討するときに最も重要な要素はインテリジェンスの精度です。
ThreatSTOP社では、世界各国50以上の情報ソースから脅威インテリジェンスの情報を集めています。ソースはDShieldのように一般に公開されているものから、創業者およびThreatSTOPの多くのセキュリティ専門家が共有する軍事機関でのセキュリティ担当者の経験から得られるプライベートな情報ソースまで幅広く情報を集めています。
集められたインテリジェンスは、相関分析にかけます。分析によって作成されたリストで確証がないものは更にThreatSTOPのセキュリティ専門家たちが手動で調査を行い、真偽を判断します。
一度脅威リストに入った情報も、リストに残しておくべきか、外すべきか定期的にセキュリティ専門家が調査を行い、判断します。
この収集→分析→専門家による調査→定期的な調査のサイクルをまわすことによって、常に最新の脅威状況を反映した、精度の高いリストを提供することができます。

データソース例••••••••••

DshieldFarsight
MS-ISAC
ShadowServer
AlienVault
PhishTank
DenyHosts
AutoShun
Team Cymru
Spamhausなどなど

脅威が脅威である裏づけ情報の提示
何故この通信はとめるべきなのか、を知らずに通信を止めるべきではありません。ThreatSTOPのレポート機能では、何故この通信の宛先は脅威と判断されたのか、という情報を示すことができます。
例えば、図1では同じIPアドレス宛に秒単位で通信が発生しています。通常の人間がアクセスしようとしているだけなら、このように短い間隔で通信をすることはできません。ボット化していると考えられます。
図2では、止められたIPアドレスに連なるドメイン情報を表示しています。1つのIPアドレスに約1万のドメインが作られていますが、通常悪意を持たない人物がこれだけのドメインを使用するとは考えにくいです。
↑図1

図2→

このほかにも、レポート画面には、SANSやWatchGuardなど他のセキュリティ調査機関、ベンダーが提供する情報へ飛べるリンクを設定しているので、第三者機関でそのIPアドレスがどのように判断されているのか確認することもできます。

世界1200社以上が採用！
2011年の製品販売開始以降、ThreatSTOPはアメリカ軍やイスラエル軍でのサイバーセキュリティの経験を持つセキュリティの専門家たちが、高い精度を持つ脅威インテリジェンスを提供してきました。2016
年にはDNSの生みの親Dr. Paul MockapetrisをChief Scientistに向かえ、DNSの名前解決の時点で脅威をとめるDNS Firewall に力をいれています。世界で1200社以上がThreatSTOPの脅威インテリジェンスを採用していること、またセキュリティの専門家であるVerizonやアメリカ政府関係機関での採用していることが、ThreatSTOPが提供する脅威インテリジェンスの優位性の証です。

株式会社ネットワークバリューコンポネンツ〒144-0035 東京都大田区南蒲田2-16-2
電話 03-5714-2050 Mail sales@nvc.co.jp Web http://www.nvc.co.jp/

ThreatSTOP Overview

ThreatSTOPFebruary 2016

Weaponize Your Threat Intelligence“Interesting” Times• “EternalBlue”: NSA Exploit from “The Equation Group”.
• CVE 2017-0144• https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-0144• Patched by MS on 14 March 2017 in MS17-010• https://technet.microsoft.com/en-us/library/security/ms17-010.aspx• Wannacry hits 12 May 2017
• We got lucky with the kill switch.

• Petya/GoldenEye hits today, using same vector• Initial vector was compromised update host for Ukrainian accounting SW using PHP vuln.
• Then spreads using EternalBlue Vulnerability• New ShadowBrokers Dump coming over next 2 weeks• “Between 07/01/2017 and 07/17/2017 a “mass email” will be send to the “delivery email address” of all‘confirmed subscribers’ ”

The Problem
Adding layers to a defense-in-depth strategy
has become increasingly complex and costly
Often requires adding expensive new software and hardwarethat needs to be managed by skilled resources
Rarely delivers synergy with other existing security solutions
Security solutions are becoming specialized to protect
against only certain threat types or vectors
Automating security usually requires sacrificing control

An Opportunity
Applications

ServicesEncryption

Ethernet
WIFILTE/MobileAvian carriers• Everything converges at IP andDNS• The only things that CANNOT beencrypted and still haveconnections complete.
• Used regardless of how the user
connects, or what they are doing.
• Ubiquitous, well understood, andsupported on all platforms andnetworks.
• The correct foundation to enforce
policy throughout the network

Every System Uses DNS…and Increasingly, so Does Malware• Every device / application relies on
DNS infrastructure
FQDN Lookup

IP Address• Most DNS servers do little or nofiltering to determine whether thedomain or IP is malicious• Cybercriminals use DNS to create
more sophisticated threats and forcommand & control infrastructure

7 | 2016 ThreatSTOP All Rights ReservedThreatSTOP DNS Firewall: Solution Overview
PlatformThreat intelligencedatabase

Passthru
DNS RPZ

Policy configuration

Reporting &analytics

RedirectLogs

Block

Admin portal &reporting

8 | 2016 ThreatSTOP All Rights ReservedUse Case: Compromised Host in the Network
Malware relies on DNS to establish communication channels
phonehome.com
phoneotherhome.com
Ima.badactor.ru
commandcenter.com
…
…
…
…
…
…

…
…
…
207.158.45.5

ThreatSTOP DNS Firewall prevents malware from communicatingwith its command and control infrastructure
9 | 2016 ThreatSTOP All Rights Reserved

How It Works

6/29/2017

How ThreatSTOP Delivers
DNS Firewall Service•

Compatible with BIND andMicrosoft (2016) DNS Servers•

Block malicious domain requests
and IP responses at the DNS-layer•

Choose to block, redirect, or passthru based on domain or IPIP Firewall Service•••

Compatible with Firewalls,Routers, Switches and LoadBalancers
Block malicious connections,inbound or out, at the TCP/IP-layer
Choose to block or allow by IP

Roaming Endpoint Service•

Block or redirect malicious DNS
queries in real-time•

Local DNS resolution, no VPN or3rd party DNS servers needed•

Compatible with Windows andMac OSX devices

Shared Functionality•Customize security policies by selecting from 185+ threat categories, plus your own
feeds and user-defined lists. Centrally manage all policies and devices.

•Includes web-based reporting of blocked threats across all devices, Check IoC
security research tools, and easy-to-use email alerts and notifications

Add Security Layers
FirewallThreatSTOP is not a replacement, but anaddition to your existing security layers

RouterSwitches
DNS Server

ThreatSTOP increases the effectivenessof security you already have by reducing
the volume of threats reaching them

C&C

ThreatSTOP

ThreatSTOP

Internet

Geo Blocking

MalwareBranch/Dept.
Policies

ThreatSTOP

ThreatSTOP

ThreatSTOP

Roaming Devices

Endpoint

Easy as 1, 2, 312

3

Customize a security policy,
choosing from 180+ categories
including your own lists or feeds

Run the ThreatSTOP service on
your existing firewalls, routers,load balancers & DNS servers

ThreatSTOP updates the IPs anddomains in your policy automatically,using real-time threat intelligence

✓✓✓✓✓
✓

Ransomware
Botnets
Phishing
DGA DomainsRussia
China

Global Threat IntelWeb Reportingof blocks
plus dozens more…

Network Device
Integration

Complete Security Solution

Web-based ReportingThreat Research Tools

Configurable Alerts

Deploy ThreatSTOP Everywhere
Protect every square inchof your hybrid network

Fully Integrated
Trying to replicate ThreatSTOP’s end-to-end

solution is expensive and difficult to manage
Aggregated ThreatIntelligence+Firewall Rule
Management+

Reporting andVisibility

Affordable, Easy to Implement
Focused on preventing infections and breaches• Not content filtering, not a web proxy, not reactive security. Blocking by IP at
the first packet, and DNS at the queried name, means no tearing apart or
redirecting traffic.

Not Just Another Threat Intel Feed
• Our platform operationalizes threat intelligence data by automatically piping
newest malicious IPs and Domains to existing enforcement devices that
control the flow of DNS and TCP/IP traffic.

No Heavy Lifting Required• SaaS platform deploys native as an RPZ (DNSFW) and via CLI or API (IPFW) asa cloud service. No new software or hardware to manage.

The Company
Cloud-based SaaS: protect networks
using live threat intelligence to block
malicious connections in real-time

Funded by the two original investors
in Google

1,200+ customers ranging from SMB
to F10 across all industries

Seasoned management team & deep
security expertise. Chief Scientist Paul
Mockapetris invented DNS

Patents on using DNS for
dissemination of network security
policy data – scalable and reliable

Partnerships with leading cloud,firewall, router, DNS server, switch
and load balancer vendors

2016 CONFIDENTIAL ThreatSTOP All Rights Reserved

概要
性能コスト
保守・移行

製品名

ThreatStop DNS Firewall

コンセプト

脅威情報をDNSサーバへ配信(RPZ形式)

棲み分け/強み

日本のキャリアにも採用された情報の精度の高さ

役割

キャッシュサーバ

提供形態

クラウドサービス

権威サーバ
キャッシュサーバ
課金モデル

デバイス単位年間ライセンス

初期コスト(最小構成)

450万円（定価）

継続コスト
サポート体制

平日9時～17時(日本語対応)

脆弱性対応

一斉メールアナウンス

EOLポリシーマイグレーション

設定への追加ゾーンデータ保持形式
ローカルゾーン保持

可

水責め対策
毒入れ対策
DDoS対策サポートするRR Type管理

インターフェイス
統合管理
ロギング
クエリログ検索

権威署名更新
鍵更新
鍵更新方式

HSM対応
Validation

キャッシュ

DNSSEC

機能・仕様

IPv6トランスポート対応

TA更新
NTA対応

RPZ