5. Платформа за управление на агента Check Point SandBlast. Дневници, отчети и криминалистика. Лов на заплахи

Добре дошли в петата статия от поредицата за решението на Check Point SandBlast Agent Management Platform. Предишни статии можете да намерите, като следвате съответната връзка: първи, втори, трети, четвърто. Днес ще разгледаме възможностите за наблюдение в платформата за управление, а именно работа с регистрационни файлове, интерактивни табла (View) и отчети. Също така ще засегнем темата за лов на заплахи, за да идентифицираме текущи заплахи и аномални събития на машината на потребителя.

Дневник

Основният източник на информация за наблюдение на събитията по сигурността е секцията Logs, която показва подробна информация за всеки инцидент и също така ви позволява да използвате удобни филтри, за да прецизирате критериите си за търсене. Например, когато щракнете с десния бутон върху параметър (Блейд, Действие, Тежест и т.н.) на регистрационния файл, който ви интересува, този параметър може да бъде филтриран като Филтър: "Параметър" или Филтриране: "Параметър". Също така за параметъра Source може да бъде избрана опцията IP Tools, където можете да стартирате ping към даден IP адрес/име или да стартирате nslookup, за да получите IP адреса на източника по име.

В секцията Дневници за филтриране на събития има подсекция Статистика, която показва статистика за всички параметри: времева диаграма с броя на логовете, както и проценти за всеки параметър. От този подраздел можете лесно да филтрирате регистрационни файлове, без да използвате лентата за търсене и да пишете изрази за филтриране - просто изберете параметрите, които ви интересуват, и веднага ще се покаже нов списък с регистрационни файлове.

Подробна информация за всеки дневник е налична в десния панел на секцията Регистри, но е по-удобно да отворите дневника чрез двукратно щракване, за да анализирате съдържанието. По-долу е даден пример за регистрационен файл (картината може да се кликне), който показва подробна информация за задействането на действието за предотвратяване на блейда за емулация на заплахи върху заразен файл ".docx". Регистърът има няколко подсекции, които показват подробности за събитието за сигурност: задействани политики и защити, подробности за криминалистика, информация за клиента и трафик. Докладите, достъпни от дневника, заслужават специално внимание - Threat Emulation Report и Forensics Report. Тези отчети могат да бъдат отворени и от клиента SandBlast Agent.

Доклад за емулация на заплахи

Когато използвате блейда Threat Emulation, след извършване на емулация в облака на Check Point, в съответния журнал се появява връзка към подробен отчет за резултатите от емулацията - Threat Emulation Report. Съдържанието на такъв доклад е описано подробно в нашата статия за анализ на злонамерен софтуер с помощта на криминалистиката на Check Point SandBlast Network. Струва си да се отбележи, че този отчет е интерактивен и ви позволява да се „потопите“ в подробностите за всеки раздел. Възможно е също да видите запис на процеса на емулация във виртуална машина, да изтеглите оригиналния злонамерен файл или да получите неговия хеш, както и да се свържете с екипа за реагиране при инциденти на Check Point.

Доклад от криминалистиката

За почти всяко събитие на сигурността се генерира Forensics Report, който включва подробна информация за злонамерения файл: неговите характеристики, действия, входна точка в системата и въздействие върху важни фирмени активи. Обсъдихме подробно структурата на отчета в статията за анализ на зловреден софтуер с помощта на криминалистиката на Check Point SandBlast Agent. Такъв доклад е важен източник на информация при разследване на събития, свързани със сигурността, и ако е необходимо, съдържанието на доклада може незабавно да бъде изпратено до екипа за реагиране при инциденти на Check Point.

SmartView

Check Point SmartView е удобен инструмент за създаване и преглед на динамични табла (View) и отчети в PDF формат. От SmartView можете също да преглеждате потребителски регистрационни файлове и одитни събития за администратори. Фигурата по-долу показва най-полезните отчети и табла за управление за работа с SandBlast Agent.

Справките в SmartView са документи със статистическа информация за събития за определен период от време. Поддържа качване на отчети в PDF формат на машината, където е отворен SmartView, както и редовно качване в PDF/Excel на имейла на администратора. Освен това поддържа импорт/експорт на шаблони за отчети, създаване на ваши собствени отчети и възможност за скриване на потребителски имена в отчетите. Фигурата по-долу показва пример за вграден отчет за предотвратяване на заплахи.

Таблата (изглед) в SmartView позволяват на администратора да получи достъп до регистрационните файлове за съответното събитие - просто щракнете два пъти върху обекта, който ви интересува, било то колона на диаграма или името на злонамерен файл. Както при отчетите, можете да създавате свои собствени табла за управление и да скривате потребителски данни. Таблата за управление също така поддържат импортиране/експортиране на шаблони, редовно качване в PDF/Excel на имейла на администратора и автоматични актуализации на данни за наблюдение на събитията за сигурност в реално време.

Допълнителни секции за наблюдение

Описанието на инструментите за наблюдение в Платформата за управление би било непълно, без да се споменат разделите Преглед, Управление на компютъра, Настройки на крайна точка и Push операции. Тези раздели са описани подробно в втора статия, обаче ще бъде полезно да се разгледат техните възможности за решаване на проблеми с мониторинга. Нека започнем с Общ преглед, който се състои от два подраздела – Оперативен преглед и Общ преглед на сигурността, които са табла с информация за състоянието на защитените потребителски машини и събитията по сигурността. Както при взаимодействие с всяко друго табло, подсекциите Оперативен преглед и Преглед на сигурността, когато щракнете двукратно върху параметъра, който ви интересува, ви позволяват да стигнете до раздела Управление на компютъра с избрания филтър (например „Настолни компютри“ или „Предварително Boot Status: Enabled”), или към секцията Регистри за конкретно събитие. Подразделът „Преглед на сигурността“ е табло за управление „Изглед на кибератака – крайна точка“, което може да бъде персонализирано и настроено да актуализира автоматично данните.

От секцията Управление на компютъра можете да наблюдавате състоянието на агента на потребителските машини, състоянието на актуализация на базата данни на Anti-Malware, етапите на криптиране на диска и много други. Всички данни се актуализират автоматично и за всеки филтър се показва процентът на съответстващите потребителски машини. Поддържа се и експортиране на компютърни данни във формат CSV.

Важен аспект от наблюдението на сигурността на работните станции е настройването на известия за критични събития (предупреждения) и експортиране на регистрационни файлове (експортиране на събития) за съхранение на лог сървъра на компанията. И двете настройки се правят в секцията Настройки на крайната точка и за Сигнали Възможно е да свържете пощенски сървър, за да изпращате известия за събития до администратора и да конфигурирате прагове за задействане/деактивиране на известия в зависимост от процента/броя устройства, които отговарят на критериите за събитие. Експортиране на събития ви позволява да конфигурирате прехвърлянето на регистрационни файлове от платформата за управление към регистрационния сървър на компанията за по-нататъшна обработка. Поддържа SYSLOG, CEF, LEEF, SPLUNK формати, TCP/UDP протоколи, всякакви SIEM системи с работещ syslog агент, използването на TLS/SSL криптиране и syslog клиентско удостоверяване.

За задълбочен анализ на събитията на агента или в случай на свързване с техническа поддръжка, можете бързо да събирате регистрационни файлове от клиента на SandBlast Agent, като използвате принудителна операция в секцията Push Operations. Можете да конфигурирате прехвърлянето на генерирания архив с регистрационни файлове към сървъри на Check Point или корпоративни сървъри, а архивът с регистрационни файлове се записва на машината на потребителя в директорията C:UsersusernameCPInfo. Той поддържа стартиране на процеса на събиране на регистрационни файлове в определено време и възможност за отлагане на операцията от потребителя.

Лов на заплахи

Threat Hunting се използва за проактивно търсене на злонамерени дейности и необичайно поведение в системата за по-нататъшно разследване на потенциално събитие за сигурност. Разделът Threat Hunting в платформата за управление ви позволява да търсите събития с определени параметри в данните на потребителската машина.

Инструментът за лов на заплахи има няколко предварително дефинирани заявки, например: за класифициране на злонамерени домейни или файлове, проследяване на редки заявки до определени IP адреси (спрямо общата статистика). Структурата на заявката се състои от три параметъра: индикатор (мрежов протокол, идентификатор на процес, тип файл и т.н.), оператор („е“, „не е“, „включва“, „един от“ и т.н.) и тяло на заявката. Можете да използвате регулярни изрази в тялото на заявката и можете да използвате няколко филтъра едновременно в лентата за търсене.

След като изберете филтър и завършите обработката на заявката, имате достъп до всички съответни събития, с възможност да видите подробна информация за събитието, да поставите под карантина обекта на заявката или да генерирате подробен криминалистичен доклад с описание на събитието. В момента този инструмент е в бета версия и в бъдеще се планира да се разшири наборът от възможности, например добавяне на информация за събитието под формата на матрица Mitre Att&ck.

Заключение

Нека обобщим: в тази статия разгледахме възможностите за наблюдение на събитията по сигурността в платформата за управление на агент SandBlast и проучихме нов инструмент за проактивно търсене на злонамерени действия и аномалии на потребителски машини - Threat Hunting. Следващата статия ще бъде последната в тази серия и в нея ще разгледаме най-често задаваните въпроси относно решението Management Platform и ще говорим за възможностите за тестване на този продукт.

Голям избор от материали за Check Point от TS Solution. За да не пропуснете следващите публикации по темата SandBlast Agent Management Platform, следете актуализациите в нашите социални мрежи (Telegram, Facebook, VK, Блог за TS Solution, Yandex Zen).

Източник: www.habr.com