Добре дошли в третата статия от поредицата за новата облачна конзола за управление на защита на персонални компютри — Check Point SandBlast Agent Management Platform. Напомням ви, че в се запознахме с портала Infinity Portal и създадохме облачен сервис за управление на агенти Endpoint Management Service. В изучихме интерфейса на уеб-конзолата за управление и инсталирахме агент с стандартната политика на потребителска машина. Днес ще разгледаме съдържанието на стандартната политика за безопасност Threat Prevention и ще тестваме ефективността ѝ срещу популярни атаки.
Стандартната политика Threat Prevention: описание
На картината по-горе е представено стандартното правило на политиката Threat Prevention, което по подразбиране се прилага за цялата организация (всички инсталирани агенти) и включва три логически групи компоненти за защита: Web & Files Protection, Behavioral Protection и Analysis & Remediation. Нека разгледаме по-подробно всяка от групите.
Web & Files Protection
URL Filtering
URL Filtering позволява контрол на достъпа на потребителите до уеб ресурси, за което се използват предварително зададени 5 категории сайтове. Всяка от 5-те категории съдържа няколко по-специфични подкатегории, което позволява настройка, например, за блокиране на достъпа до подкатегория Games и разрешаване на достъпа до подкатегория Instant Messaging, които попадат в една категория Productivity Loss. URL адресите, свързани с конкретни подкатегории, се определят от компанията Check Point. Можете да проверите категорията, към която принадлежи конкретен URL, или да поискате преопределение на категорията на специален ресурс. .
Като действие можете да настроите Prevent, Detect или Off. Също така, при избора на действие Detect автоматично се добавя настройка, която позволява на потребителите да пропуснат предупреждението URL Filtering и да преминат към интересуващия ги ресурс. В случай на действие Prevent, тази настройка може да бъде премахната и потребителят няма да може да получи достъп до забранения сайт. Удобен начин за контрол на забранените ресурси е настройката Block List, в която можете да посочите домейни, IP адреси или да качите файл с формат .csv с списък на домейни за блокиране.
В стандартната политика за URL Filtering е зададено действието Detect и е избрана една категория — Security, за която ще се извършва откритие на събития. Тази категория включва различни анонимайзери, сайтове с ниво на риск Critical/High/Medium, фишинг сайтове, спам и много други. Потребителите все още ще могат да получат достъп до ресурса благодарение на настройката „Allow user to dismiss the URL Filtering alert and access the website“.
Изтегляне (уеб) Защита
Emulation & Extraction позволява да се проведе емуляция на изтегляни файлове в облачната песочница на Check Point и да се извърши почистване на документи "на лето", премахвайки потенциално злонамерено съдържание или конвертирайки документа в PDF. Съществуват три режима на работа:
- Prevent — позволява да получите копие на почистен документ преди окончателната присъда на емуляцията или да изчакате завършването на емуляцията и да изтеглите веднага оригиналния файл;
- Detect — извършва емуляция във фонов режим, без да пречи на потребителя да получи оригиналния файл, независимо от присъдата;
- Off — всички файлове са разрешени за изтегляне без преминаване през емуляция и почистване на потенциално злонамерени компоненти.
Има също така възможност да се избере действие за файлове, които не се поддържат от средствата за емуляция и почистване на Check Point — можете да разрешите или забраните изтеглянето на всички неподдържани файлове.
В стандартната политика за Download Protection е зададено действието Prevent с възможност да получите почистена от потенциално злонамерено съдържание копия на оригиналния документ, а също така е разрешено изтеглянето на файлове, които не се поддържат от средствата за емуляция и почистване.
Credential Protection
Компонентът Credential Protection защитава данните за вход на потребителите и включва 2 съставни части: Zero Phishing и Password Protection. Zero Phishing защитава потребителите от достъп до фишинг ресурси, а Password Protection уведомява потребителя за недопустимостта на използването на корпоративни идентификационни данни извън защитения домейн. Zero Phishing може да бъде настроен на Prevent, Detect или Off. При активиране на Prevent, потребителите имат възможност да пропуснат предупреждението за потенциален фишингов ресурс и да получат достъп до ресурса, или да забранят тази опция и да блокират достъпа винаги. При режима Detect, потребителите винаги могат да пропуснат предупреждението и да получат достъп до ресурса. Password Protection позволява да се изберат защитените домейни, за които ще се извършва проверка на паролите, и едно от трите действия: Detect & Alert (уведомяваща потребителя), Detect или Off.
Стандартната политика за Credential Protection предвижда Prevent за всякакви фишингови ресурси, като не позволява на потребителите да получават достъп до потенциално злонамерен сайт. Включена е и защита от използване на корпоративни пароли, но без зададени домени тази функция няма да работи.
Files Protection
Files Protection отговаря за защитата на файловете, които се съхраняват на потребителската машина, и включва два компонента: Anti-Malware и Files Threat Emulation. Anti-Malware е средство, което редовно сканира всички потребителски и системни файлове с помощта на сигнатурен анализ. В настройките на този компонент можете да настроите параметрите за редовно сканиране или случайно време за сканиране, период на обновление на сигнатурите, както и възможността потребителите да отменят планирано сканиране. Files Threat Emulation позволява да се извърши емуляция на файловете, съхранявани на потребителската машина, в облачна пясъчница Check Point, но тази функция за защита работи само в режим Detect.
В стандартната политика за Files Protection е включена защита с помощта на Anti-Malware и откриване на злонамерени файлове с помощта на Files Threat Emulation. Редовното сканиране се извършва всеки месец, а сигнатурите на потребителската машина се обновяват на всеки 4 часа. Като настройка е предвидена възможността потребителите да отменят планирано сканиране, но не по-късно от 30 дни след последното успешно сканиране.
Behavioral Protection
Anti-Bot, Behavioral Guard & Anti-Ransomware, Anti-Exploit
Групата на компонентите за защита Behavioral Protection включва три съставящи: Anti-Bot, Behavioral Guard & Anti-Ransomware и Anti-Exploit. Противодействие на ботове позволява проследяване и блокиране на C&C свързвания с помощта на постоянно обновяваната база Check Point ThreatCloud. Behavioral Guard & Anti-Ransomware постоянно следи активността (файлове, процеси, мрежови взаимодействия) на потребителската машина и позволява предотвратяване на атаки на шифрователи в ранните етапи. Освен това, този компонент на защита позволява възстановяване на файлове, които вече са били шифровани от злонамерен софтуер. Файловете се възстановяват в техните оригинални директории, или може да се зададе специфичен път, където ще се съхраняват всички възстановени файлове. Противодействие на експлойти позволява откриване на атаки нулев ден. За всички компоненти на Behavioral Protection се поддържат три режима на работа: Prevent, Detect и Off.
Стандартната политика за Behavioral Protection предвижда Prevent за компонентите Anti-Bot и Behavioral Guard & Anti-Ransomware, с възстановяване на шифрованите файлове в техните оригинални директории. Компонентът Anti-Exploit е деактивиран и не се използва.
Анализ и Възстановяване
Автоматизиран анализ на атаки (съдебна експертиза), възстановяване и реакция
За анализ и разследване на инциденти с безопасност са налични два компонента на сигурността: Автоматизиран анализ на атаки (съдебна експертиза) и възстановяване и реакция. Автоматизиран анализ на атаки (съдебна експертиза) позволява генериране на отчети на основата на резултатите от отразяването на атаки с подробни описания — до анализа на изпълнението на вредоносен софтуер на потребителската машина. Също така е възможно да се използва функцията Threat Hunting, която позволява проактивно търсене на аномалии и потенциално злонамерено поведение с помощта на предварително зададени или създадени филтри. Възстановяване и Реакция позволява настройване на параметрите за възстановяване и карантина на файлове след атака: регулира се взаимодействието на потребителите с карантинни файлове, а също така има възможност за съхраняване на файлове в карантина в указана от администратора директория.
В стандартната политика за анализ и възстановяване е включена защита, която обхваща автоматични действия за възстановяване (завършване на процеси, възстановяване на файлове и др.), както и активна опция за изпращане на файлове в карантина, при това потребителите могат само да изтриват файлове от карантина.
Стандартна политика за предотвратяване на заплахи: тестване
Check Point CheckMe Endpoint
Най-бързият и лесен начин да проверите сигурността на потребителската машина срещу най-популярните видове атаки е да проведете тест с помощта на ресурса , който извършва редица стандартни атаки от различни категории и позволява да получите отчет за резултатите от тестването. В този случай се използва вариант на тестване на Endpoint, при което на компютъра се изтегля и стартира изпълним файл, след което започва процесът на проверка.
В процеса на проверка на сигурността на работния компютър SandBlast Agent сигнализира за идентифицирани и отразени атаки на компютъра на потребителя, например: блейд Anti-Bot съобщава за открито заразяване, блейд Anti-Malware откри и премахна злонамерен файл CP_AM.exe, а блейд Threat Emulation по резултатите от емуляцията установи, че файлът CP_ZD.exe е вредоносен.
По резултатите от тестването с CheckMe Endpoint имаме следния резултат: от 6 категории атаки стандартната политика Threat Prevention не се справи само с една категория — Browser Exploit. Това се обяснява с факта, че стандартната политика Threat Prevention не включва блейд Anti-Exploit. Трябва да се отбележи, че без инсталиран SandBlast Agent, потребителският компютър премина проверката само по категория Ransomware.
KnowBe4 RanSim
За тестване на работата на блейда Anti-Ransomware може да се използва безплатно решение , което изпълнява редица тестове на потребителската машина: 18 сценария на заразяване с шифровалки и 1 сценарий на заразяване с криптомайнер. Трябва да се отбележи, че наличието на много блейдовете (Threat Emulation, Anti-Malware, Behavioral Guard) с действие Prevent в стандартната политика не позволява коректно стартиране на този тест. Въпреки това, дори със снижено ниво на сигурност (Threat Emulation в режим Off), тестът на блейда Anti-Ransomware показва високи резултати: 18 от 19 теста са преминати успешно (1 не е стартиран).
Вредоносни файлове и документи
Представителен е тестът на работата на различни блейдове в стандартната политика за предотвратяване на заплахи с помощта на зловредни файлове от популярни формати, които се изтеглят на клиентския компютър. В този тест участваха 66 файла с формати PDF, DOC, DOCX, EXE, XLS, XLSX, CAB, RTF. Резултатите от теста показаха, че SandBlast Agent успя да блокира 64 зловредни файла от 66. Инфектираните файлове бяха изтрити след изтегляне или почистени от зловредно съдържание с помощта на Threat Extraction и получени от потребителя.
Препоръки за подобряване на политиката за предотвратяване на заплахи
1. URL Filtering
Първото, което трябва да се коригира в стандартната политика за повишаване на нивото на защита на клиентския компютър, е да се преведе блейдът URL Filtering в режим Prevent и да се зададат съответните категории за блокиране. В нашия случай бяха избрани всички категории с изключение на General Use, тъй като те включват повечето ресурси, до които е необходимо да се ограничи достъпът на потребителите на работното място. Също така за подобни сайтове е желателно да се премахне възможността потребителите да пропускат предупредителното съобщение, като се премахне отметката от параметъра "Allow user to dismiss the URL Filtering alert and access the website."
2. Download Protection
Вторият параметър, на който трябва да се обърне внимание, е възможността на потребителите да изтеглят файлове, които не се поддържат от емулатора на Check Point. Тъй като в този раздел разглеждаме подобренията в стандартната политика за предотвратяване на заплахи от гледна точка на сигурността, най-добрият вариант ще бъде забраната за изтегляне на неподдържани файлове.
3. Files Protection
Също така е необходимо да се обърне внимание на настройките за защита на файловете — в частност на параметрите за периодично сканиране и възможността на потребителя да отложи принудителното сканиране. В този случай е необходимо да се вземе предвид времевият интервал на работа на потребителя, и добър вариант от гледна точка на сигурността и производителността е настроението за принудително сканиране всеки ден, като времето се избира случайно (от 00:00 до 08:00), и потребителят може да отложи сканирането максимум за една седмица.
4. Anti-Exploit
Значителен недостатък на стандартната политика Threat Prevention – изключен е блейдът Anti-Exploit. Препоръчва се да се включи този блейд с действие Prevent, за да се защити работната станция от атаки с използване на експлойти. С това подобрение повторният тест CheckMe успешно завършва без открития на уязвимости на работната машина на потребителя.
Заключение
Нека обобщим: в тази статия се запознахме с компонентите на стандартната политика Threat Prevention, тествали сме тази политика с помощта на различни методи и инструменти и също така сме описали препоръки за подобряване на настройките на стандартната политика с цел повишаване на нивото на защита на потребителската машина. В следващата статия от цикъла ще преминем към изучаване на политиката Data Protection и ще разгледаме настройките на Global Policy Settings.
. За да не пропуснете следващите публикации по темата SandBlast Agent Management Platform — следете обновленията в нашите социални мрежи (, , , , ).
Източник: habr.com
