Продължаваме да изучаваме новата облачна платформа Check Point Management Platform за управление на средства за защита на потребителските компютри — SandBlast Agent. Описание на основните компоненти на SandBlast Agent, запознанство с архитектурата на Check Point Infinity и регистриране на приложението SandBlast Agent Management Platform в портала Infinity Portal. Днес ще разгледаме подробно уеб интерфейса на системата за управление на агентите — тази статия ще бъде удобен пътеводител по всички функции и възможности на облачната конзола. И като подготовка за следващата статия — ще инсталираме SandBlast Agent и ще се запознаем с интерфейса му.
Структура на облачната конзола за управление Management Platform
Интерфейсът на SandBlast Agent Management Platform може условно да бъде разделен на три компонента:
- Контролният панел — разположен в горната част на интерфейса и позволява извършване на основни администраторски задачи: управление на акаунти, свързване с техническата поддръжка на Check Point и настройване на профила на администратора;
- Навигационна лента — разположена отляво и позволява преминаване между основните компоненти на контролния панел, като секция за настройки на политиката, показване на журнали и т.н.;
- Работна зона — заема по-голямата част от конзолата за управление и включва възможности за настройване на секции от навигационната лента, показване на графична информация (журнали, отчети) и конфигуриране на глобални параметри на системата.
Нека разгледаме по-подробно всеки елемент на системата SandBlast Agent Management Platform. Работните зони ще бъдат описани в детайли за всички компоненти на навигационната лента, а сега да започнем с възможностите на контролния панел.
Контролният панел
Контролният панел включва 6 компонента, които ще разгледаме отляво надясно. Първият е бутонът „Menu“, при натискане на който се показват текущите Ви услуги от портала, и който позволява добавяне на нови услуги от категориите Cloud Protection, Network Protection и Endpoint Protection към Вашия акаунт. Следва името на текущото приложение, с което работите — в този случай това е SandBlast Agent Management Platform. Като натиснете иконата на приложението, винаги можете да отидете в секцията „OVERVIEW“ на навигационната лента. Третият елемент е иконата за управление на акаунти, която позволява бързо превключване между акаунтите на компаниите, в които сте администратор.
Четвъртият компонент на контролния панел е бутонът за помощ, който позволява да се свържете с техническата поддръжка на Check Point директно от конзолата и да преминете към за проследяване състоянието на облачните и уеб ресурсите на Check Point, както и да получите достъп до „Ръководствата на администратора“ за SandBlast Agent Management Platform и Infinity Portal. Следващият елемент е Вашият профил в Infinity Portal, натискайки който можете да „преминете“ в настройките на профила или да излезете от текущия профил. И накрая, последният елемент на контролния панел е бутонът за преминаване към сайта .
Настройки на профила на Infinity Portal
При натискане на името на Вашия профил в Infinity Portal се отваря работното пространство за настройка на профила: можете да промените показваното име на потребителя и телефонния номер, както и да смените езика на интерфейса (в момента са налични английски и японски) и да изберете акаунта, с който е свързан профила. Освен това можете да промените текущата парола на профила и да активирате двуфакторна автентикация с помощта на Google Authenticator или Twilio Authy за достъп до портала. Процесът на настройка на двуфакторната автентикация е изключително прост — с помощта на приложението се сканира QR-код, след което се въвежда генерираният токен за достъп и се потвърдява активирането на 2FA.
Навигационна лента
Конзолата за управление на SandBlast Agent Management Platform има в състава си 9 раздела в навигационната лента, както е показано на изображението по-долу, позволяващи извършването на множество задачи по внедряване и администриране на агентите, както и управление на параметрите на уеб конзолата. Нека разгледаме накратко всеки от разделите, а за получаване на подробна информация — натиснете на спойлера с името на интересуващия ви раздел. Да започваме:
- ОБЗОР — раздел, състоящ се от няколко дашборда, показващи текущото състояние на клиентските машини и агентите от гледна точка на работоспособността (брой защитени машини, техните версии на операционната система, състояние на агентите, съобщения за грешки и др.) и от гледна точка на сигурността (данни за атакувани и заразени машини, активни и блокирани атаки, времева линия на атаките и др.);
Раздел ОБЗОР: подробно
Този раздел се състои от два подраздела: Оперативен преглед и Преглед на сигурността. В първата секция, Operational Overview, се показва информация за състоянието на потребителските машини и агенти: брой защитени машини, характеристики на потребителските компютри (тип устройство – персонален компютър/лаптоп, тип операционна система – Windows/MacOS), статистика на процеса по разпространяване на агентите, „състояние на здравето“ на машините, информация за актуализация на антивирусните бази данни на компютрите, както и версии на инсталираните SandBlast Agent и версиите на използваните операционни системи, и област с активни събития (Alerts). От този подраздел можете да изтеглите клиента SandBlast Agent.
Вторият подраздел, Security Overview, показва информация за нивото на защита на потребителските машини и за атаките (активни и блокирани). Този подраздел позволява филтриране на изведените сведения по време, а също така задаване на параметри за търсене по конкретни обекти. Всеки от блоковете на раздела Security Overview може да бъде настроен индивидуално – можете да добавяте диаграми от различни типове, които ще изведат информация в съответствие с зададения филтър. Подразделът може да бъде експортиран в отчети в формат Excel/PDF. От този подраздел също можете да изтеглите клиента SandBlast Agent.
- POLICY – раздел от навигационната лента, в който се настройват параметрите на единната политика за сигурност (така наречената Unified Policy), както и определят правилата за разпространение на агентите и глобалните настройки на политиките;
Раздел POLICY: подробно
Първият подраздел, Превенция на заплахи, позволява да се настройват правилата на политиката за сигурност, указвайки обектите, към които ще бъде приложена политиката, а също така детайлно да се настройва работата на блейдовете. Всяко правило може да съдържа настройки за три логически компонента на политиката Threat Prevention: Web & Files Protection, Behavioral Protection, Analysis & Remediation. Компонентът Web & Files Protection включва настройки за URL Filtering, Download protection, Credential protection, Files Protection. Компонентът Behavioral Protection се състои от блейдове Anti-Bot, Behavioral Guard & Anti-Ransomware, Anti-Exploit. Компонентът Analysis & Remediation включва Automated attack analysis (forensics), Remediation & Response.
Съществуват 3 предварително зададени профила, регулиращи настройките на компонентите за сигурност: Tuning (всички блейдове са преведени в режим Detect), Recommended (част от блейдовете в режим Detect) и Default (само URL Filtering в режим Detect). Също така в раздела Threat Prevention могат да бъдат добавени изключения (в Exclusions Center) за заобикаляне на правилата на политиката.
Вторият подраздел — Data Protection, включва настройки за шифроване на диска Full Disk Encryption. Поддържа се шифроване Check Point и BitLocker за Windows, File Vault за MacOS. Освен това, има възможност за допълнителна настройка на параметрите на шифроването, Pre-Boot Authentication и разширени настройки за Windows Authentication.
Следващият подраздел — Deployment, в който се настройват параметрите за инсталиране на компонентите на SandBlast Agent на клиентски машини. В този подраздел е възможно да се разделят правилата на политиката за инсталиране на различни блейдове за различни машини и версии на агентите.
Последният подраздел, Настройки на глобалната политика, позволява настройка на парола за премахване на SandBlast Agent от клиентската машина, изменение на параметрите на данните за предаване в Check Point, както и задаване на характеристики на паролата за Full Disk Encryption.
- COMPUTER MANAGEMENT — област на навигационната лента, показваща подробна информация за всички клиентски машини, а също така позволяваща управление на логическите групи компютри, извършване на принудителни действия (Push Operation) и настройка на шифроване на диска (Full Disk Encryption Actions);
Раздел COMPUTER MANAGEMENT: подробно
В раздел COMPUTER MANAGEMENT има три основни компонента: икони за настройки, поле за показване на информация за клиентските машини и филтри за настройка на параметрите на показване. Нека разгледаме иконите за настройки по ред отляво надясно: обновяване на информацията; изтегляне на отчет за избраната машина във формат CSV; създаване на Directory Scanner, за да получите информация за потребители, машини, групи от Active Directory; управление на групи (създаване/редактиране/изтриване); създаване на нова виртуална група; добавяне на клиентска машина в съществуваща виртуална група; добавяне на принудително действие от категорията Push Operation (разгледано детайлно в съответния раздел); създаване на задачи за възстановяване на данни от шифрован диск при възникване на проблеми с достъпа (Full Disk Encryption Actions).
Виртуални групи позволяват обединяването на потребителските машини в логически групи за гъвкаво управление. Тези групи могат да бъдат използвани като алтернатива на Active Directory или в сътрудничество с AD. Съществуват няколко виртуални групи, които автоматично се назначават на потребителските машини, например Desktops, Laptops, Servers и други.
Полето за показване на потребителските машини може да бъде настроено в съответствие с филтрите, показани на горната илюстрация. Първият филтър (по собственост на компютрите) има множество вградени критерии и позволява показването на потребителските компютри в зависимост от техните характеристики, състоянието на машината или компонентите на SandBlast Agent. Вторият филтър (по виртуална група) предлага опция за избор по виртуални групи, а третият (по организационна единица) — по параметри на Active Directory.
- LOGS — панел за показване на логовете, демонстриращ статистика по множество параметри (блейдове, критичност на събития, потребителски машини и др.), предоставящ детайлна информация за всеки лог;
Раздел LOGS: подробно
Този раздел предоставя удобен интерфейс за изучаване на логовете с множество инструменти за филтриране. Условно, в работната област на раздел LOGS могат да се отличат 4 компонента: горна лента за търсене по заявки и избор на времеви интервал; лява панел със статистика по различни критерии; централна област с показване на всички логове и основната информация за тях; дясна панел с извеждане на детайлна информация за избрания лог. Поддържа се възможност за извеждане на логове без информация за потребителя и машината (Hide Identities) и експортиране в Excel-файл.
- PUSH OPERATIONS — раздел, в който се създават и проследяват задачи, изпълнявани на клиентската машина принудително (събиране на логове, рестартиране или изключване на машината, сканиране за зловредни програми/файлове и др.);
Раздел PUSH OPERATIONS: подробно
В този раздел съществуват две основни работни области: в горната се настройват и показват принудителни задачи за клиентските машини, а в долната се извежда детайлна информация за избраната задача.
Има три категории принудителни операции, в които всяка съдържа няколко задачи: в категорията Anti-Malware са Scan for Malware, Update malware signature Database, Restore files from quarantine; в категорията Forensics And Remediation Анализ по индикатору, восстановление файла; в категории Настройки агента Это Сбор клиентских журналов, Ремонт клиента, Выключение компьютера, Перезапуск компьютера. Каждой принудительной задаче также можно назначить точное время запуска и добавить комментарий с описанием.
- НАСТРОЙКИ ENDPOINT — раздел панели навигации, в котором настраивается интеграция с Active Directory, параметры системных сообщений (Alerts), включается экспорт логов с помощью Syslog, а также есть возможность отслеживать состояние лицензий и выбирать тип действующей политики (основанной на пользователе или на компьютере);
Раздел НАСТРОЙКИ ENDPOINT: подробно
Първият подраздел, Сканеры AD, позволяет настроить полную синхронизацию портала с Active Directory Вашей организации для получения информации о всех пользователях и машинах. По умолчанию включен режим Организационного Распределенного Сканирования, при котором машины с установленными SandBlast Agent отправляют данные о своём пути в консоль управления для дальнейшего отображения в разделе УПРАВЛЕНИЕ КОМПЬЮТЕРАМИ. Также можно сменить режим на Полную Синхронизацию Active Directory, при которой все данные из Active Directory подтянутся в консоль управления. Для успешного сканирования необходимо учётная запись с полными правами на чтение для: корня Active Directory, всех дочерних контейнеров и объектов, контейнера удалённых объектов.
Вторым подразделом является Alerts, в котором настраиваются параметры для уведомлений о критичных ситуациях, например, о заражении машины или проблемах с разворачиванием агента. В правой части рабочей области настраиваются параметры для 12 предустановленных критичных ситуаций, в том числе пороговые значения активации и деактивации уведомлений. В данном подразделе также можно настроить параметры почтового сервера для отправки уведомлений на почту.
Далее следует подраздел Export Events, который позволяет настроить передачу логов различных форматов (Syslog, CEF, LEEF, Generic) на Ваш лог-сервер. Также данная опция позволяет настроить передачу логов на Вашу SIEM-систему, на которой может быть запущен Syslog-агент.
Следващият подраздел — Лицензии, в котором отображается информация о лицензиях: уникальный ключ, статус лицензии, количество активных агентов и размер квоты. Управление лицензиями осуществляется в настройках ГЛОБАЛЬНЫЕ НАСТРОЙКИ.
Последним подразделом является Режим операции политик, в който се избира активният тип политика: Users based Policy или Computers based Policy. Както е видно от описанието на политиките на изображението по-долу — те се различават по приложението на политиките единствено спрямо машините, или политиката се прилага по смесен начин спрямо потребителите и машините.
- УПРАВЛЕНИЕ НА УСЛУГИ — област на навигационната панел, позволяваща управление на услугата Endpoint Management Platform и използване на SmartView за преглед на детайлни отчети за събитията по сигурността, а също от този раздел можете да изтеглите инсталационни файлове за приложението SmartConsole и клиента SandBlast Agent;
Раздел УПРАВЛЕНИЕ НА УСЛУГИ: подробно
Работната област на раздела УПРАВЛЕНИЕ НА УСЛУГИ се състои от три компонента: управление на услугата и показване на данни за услугата, а също и достъп до SmartView (интерфейсът е показан на изображението по-долу) за анализ на журналите и отчетите; панел за изтегляне на SmartConsole R80.40 — програма за управление на продуктите на Check Point, включително SandBlast Agent; панел за изтегляне на клиента SandBlast Agent.
- ТЪРСЕНЕ НА ЗАПЛАХИ — раздел, в който се конфигурират правилата за проактивно търсене на заплахи (все още в Beta-версия);
Раздел ТЪРСЕНЕ НА ЗАПЛАХИ: подробно
Подходът за Търсене на Заплахи позволява извършване на проактивно търсене на аномална или злонамерена активност на клиентските машини с инсталиран SandBlast Agent — например, достъпи до подозрителни домейни, процеси, стартирани чрез WMI и др. Има възможност да се използват предварително зададени филтри за търсене или да се създават собствени. Тази технология използва Check Point ThreatCloud — постоянно обновяван сервис, представляващ глобална мрежа от сензори за откриване на заплахи и компании, които изпращат информация за заплахи в Check Point. В момента Търсенето на Заплахи е в процес на разработка и достъп до Beta-версията се предоставя по заявка в Check Point. Ние задължително ще разгледаме този инструмент подробно в една от следващите статии от цикъла.
- ГЛОБАЛНИ НАСТРОЙКИ — раздел за глобалните настройки за всички ваши приложения на портала Infinity Portal, позволяващ да променяте настройките на акаунта на компанията, да управлявате администраторските акаунти и да проследявате действията им, да преглеждате състоянието на контрактите за различни приложения на акаунта, както и да управлявате API ключовете и да експортирате логовете от CloudGuard SaaS на вашия локален лог сървър.
Раздел ГЛОБАЛНИ НАСТРОЙКИ: подробно
Първият подраздел, Настройки на акаунта, показва заглавието на вашия акаунт и Account ID, а също така позволява настройването на параметрите за принудителна аутентификация и тайм-аут при неактивност. Освен това, в този подсекция можете да зададете параметри за SSO авторизация и да промените типа на акаунта (клиент, партньор категория Дистрибутор/Реселър или партньор категория MSSP).
Следващият подсекция, Потребители, показва информация за администраторите на вашия портал — контактни данни, както и дата и час на регистрация и последно влизане в портала. В този раздел можете да добавяте потребители от два типа — администратор и потребител с достъп само за четене.
Далее следует подраздел Аудити, позволяващ да се проследяват действията на администраторите на портала. Както е показано на изображението по-долу — логовете за активността на администраторите включват потребителското име, датата и часа на събитието, услугата, категорията и типа на събитието, както и кратко описание на логовете. Например, в логовете по-долу са регистрирани събития на влизане в портала (Login), промяна на типа на акаунта (Account Updated) на „Distributor“, а също така добавянето на двуфакторна аутентификация за достъп до портала на конкретен потребител (User Updated).
Четвъртият подсекция е Contracts, която показва информация за контрактите за вашите приложения на портала — срок на действие на контракта, брой контракти и използване на квота (ако такава съществува). В този подсекция можете също да управлявате свързаните акаунти Check Point от точката СВЪЗАНИ АКАУНТИ.
Следващият подраздел — API Ключове, в който се управляват ключовете API за всички налични приложения на Infinity Portal. При генериране на ключ се създават Client ID и Secret Key, които впоследствие могат да се използват за достъп до портала от трети приложения.
Последните два подсекции — Export Events и Настройки на партньора, първият от които описва процеса на експортиране на логовете от CloudGuard SaaS към Вашия локален лог-сървър, а вторият позволява преглед на информацията за акаунтите и добавяне на нови (само за акаунти от категорията Partner).
SandBlast Agent: инсталиране и запознаване с интерфейса
Варианти за разпространение на агентите
Check Point описва два начина за разпространение на агентите на клиентските компютри: автоматичен и ръчен. Автоматично разгръщане — осъществява се чрез инсталиране на началния клиент (Initial Client) с помощта на странични решения (например, групови политики на Active Directory) и последвалото автоматично зареждане на политики на агента. Ръчно разгръщане — клиентът се изтегля с вградени политики за защита от заплахи и/или защита на данни, който след това се разпространява на клиентските машини с помощта на странични решения. Първият метод е по-удобен, тъй като версията на Initial Client е десетки пъти по-малка от пълната версия със всички политики, което позволява разпространение на агента например по имейл като прикачен файл. От друга страна, ръчното разгръщане не изисква време за процеса на зареждане на политики и плейнове в агента след инсталацията — всички компоненти вече са включени в пакета SandBlast Agent.
Нека използваме автоматичното разгръщане на агента. Версията на Initial Client може да бъде изтеглена от две секции на конзолата: Service Management и Overview. В секцията Service Management, при избиране на опцията Download Initial Client, се изтегля началният клиент. При зареждане от секцията Overview има три варианта на сборката SandBlast Agent: Quick Install (Initial), Threat Prevention Agent и Data Protection & Threat Prevention. Вторият и третият вариант са подходящи за ръчно разгръщане, а първият представлява сборка на Initial Client.
Изтегленият файл EPS.msi се предава на клиентската машина, след което е необходимо да се стартира процесът на инсталиране. След успешно завършване на инсталацията, иконата Check Point Endpoint Security се появява в Панел с инструменти, сигнализираща, че агентът е отключен от сървъра за управление.
В този момент клиентът автоматично се опитва да се свърже с облачния управленски сървър чрез вграден адрес. Това е сравнително бърз процес, и след няколко минути ново известие указва на планирано инсталиране на агент. Това съобщение свидетелства за успешно свързване на агента с облачния управленски сървър.
Ако щракнете с десния бутон върху иконата Endpoint Security, можете да получите по-подробна информация относно установената връзка със сървъра за управление, например, името на сървъра за управление, към който е свързан клиентът, и текущия статус на връзката.
След успешно свързване с управленския сървър започва процесът на сваляне на необходимите компоненти (в съответствие с политиката за сигурност) на потребителската машина. Администраторът може да проследява състоянието на инсталирането на агента в секцията Computer Management на уеб конзолата за управление — след успешно свързване на потребителската машина с облачния управленски сървър, нейният статус в секцията Computer Management се променя от Scheduled на Downloading. След сваляне и проверка на всички компоненти на потребителя се предлага да инсталира агента веднага или да отложи процеса на инсталиране. Ако агентът не бъде инсталиран от потребителя в продължение на 2 дни от момента на иницииране на процеса — агентът ще бъде инсталиран принудително, за което ще бъде съобщено в предлаганото за започване на инсталацията прозорче.
След започване на инсталирането на агента, потребителската машина в секцията Computer Management на конзолата за управление преминава в статус Deploying. След завършване на процеса на инсталиране на агента можете да отворите интерфейса му, като щракнете с десния бутон върху иконата Endpoint Security и изберете опцията Display Overview.
След инсталирането е препоръчително да натиснете «Update now», за да инициирате процеса на обновление на политиките и базите данни на агента. Първото обновление на базата данни Anti-Malware може да отнеме известно време. В момента, в който всички бази се обновят, ще стартира автоматично първото сканиране на системата. В този момент машината на клиента в консолата за управление трябва да се показва в статус Completed, което свидетелства за успешното инсталиране на агента.
Ще започнем с изучаването на интерфейса на агента. В левия долен ъгъл се показва статусът на агента (Online/Disconnected) и името на Вашия облачен управляващ сървър — в нашия случай това е статус «Online» и името на управляващия сървър «matssolution». В десния долен ъгъл е указана текущата версия на агента — имаме инсталирана версия E83.11 (83.11.2702). Навигационната панел на агента се състои от няколко раздела:
- Overview — основен раздел, който показва информация за статуса на всички блейдове и съответствието на компютъра на потребителя с политиката за безопасност. Също от този раздел можете да „влезете“ в всеки блейд за получаване на по-подробна информация за статуса и събитията по безопасност;
- Актуализирайте сега — позволява да стартирате процеса на проверка на актуалността на действащите на агента политики за безопасност и бази данни;
- Сканирайте системата сега — инициира процеса на сканиране на системата за наличие на зловреден софтуер или файлове;
- Advanced — разширени настройки на агента, позволяващи преглед на установената политика, преглед или събиране на логове, а също така да използвате компютъра на потребителя като Deployment Agent.
Тъй като не са внесени никакви промени в началната политика — в момента агентът съдържа само блейдове на политиката за предотвратяване на заплахи с стандартни стойности. По-подробно съдържанието на началната политика за предотвратяване на заплахи ще бъде разгледано в нашата следваща статия.
Заключение
Време е да обобщим извършената работа: в тази статия подробно се запознахме с интерфейса на уеб конзолата за управление на SandBlast Agent Management Platform, инсталирахме агента на потребителската машина и изучихме неговия интерфейс.
В следващата ни статия от цикъла ще разгледаме стандартната политика за предотвратяване на заплахи и ще я тестваме за противодействие на най-популярните атаки. Също така ще създадем собствени правила на политиката, за да повишим нивото на защита на потребителската машина.
. За да не пропуснете следващите публикации по темата SandBlast Agent Management Platform — следете обновленията в нашите социални мрежи (, , , , ).
Източник: habr.com
