5. পয়েন্ট স্যান্ডব্লাস্ট এজেন্ট ম্যানেজমেন্ট প্ল্যাটফর্ম চেক করুন। লগ, রিপোর্ট এবং ফরেনসিক। হুমকি শিকার

চেক পয়েন্ট স্যান্ডব্লাস্ট এজেন্ট ম্যানেজমেন্ট প্ল্যাটফর্ম সমাধান সম্পর্কে সিরিজের পঞ্চম নিবন্ধে স্বাগতম। পূর্ববর্তী নিবন্ধগুলি উপযুক্ত লিঙ্ক অনুসরণ করে পাওয়া যাবে: প্রথম, দ্বিতীয়, তৃতীয়, চতুর্থ. আজ আমরা ম্যানেজমেন্ট প্ল্যাটফর্মে নিরীক্ষণের ক্ষমতা দেখব, যেমন লগ, ইন্টারেক্টিভ ড্যাশবোর্ড (ভিউ) এবং রিপোর্টগুলির সাথে কাজ করা। ব্যবহারকারীর মেশিনে বর্তমান হুমকি এবং অস্বাভাবিক ইভেন্টগুলি সনাক্ত করতে আমরা থ্রেট হান্টিংয়ের বিষয়টিতেও স্পর্শ করব।

লগ

নিরাপত্তা ইভেন্টগুলি নিরীক্ষণের জন্য তথ্যের প্রধান উৎস হল লগস বিভাগ, যা প্রতিটি ঘটনার বিস্তারিত তথ্য প্রদর্শন করে এবং আপনার অনুসন্ধানের মানদণ্ডকে পরিমার্জিত করার জন্য আপনাকে সুবিধাজনক ফিল্টার ব্যবহার করার অনুমতি দেয়। উদাহরণস্বরূপ, যখন আপনি আগ্রহের লগের একটি প্যারামিটারে (ব্লেড, অ্যাকশন, তীব্রতা, ইত্যাদি) ডান-ক্লিক করেন, তখন এই প্যারামিটারটি ফিল্টার করা যেতে পারে ফিল্টার: "প্যারামিটার" বা ফিল্টার আউট: "প্যারামিটার". এছাড়াও উত্স প্যারামিটারের জন্য আইপি টুল বিকল্পটি নির্বাচন করা যেতে পারে যেখানে আপনি একটি প্রদত্ত আইপি ঠিকানা/নামে একটি পিং চালাতে পারেন বা নাম অনুসারে উত্স আইপি ঠিকানা পেতে একটি nslookup চালাতে পারেন।

লগস বিভাগে, ইভেন্টগুলি ফিল্টার করার জন্য, একটি পরিসংখ্যান উপবিভাগ রয়েছে, যা সমস্ত প্যারামিটারের পরিসংখ্যান প্রদর্শন করে: লগের সংখ্যা সহ একটি সময় চিত্র, সেইসাথে প্রতিটি প্যারামিটারের শতাংশ। এই উপবিভাগ থেকে আপনি অনুসন্ধান বার ব্যবহার না করে এবং ফিল্টারিং এক্সপ্রেশন না লিখে সহজেই লগগুলি ফিল্টার করতে পারেন - শুধুমাত্র আগ্রহের প্যারামিটারগুলি নির্বাচন করুন এবং লগগুলির একটি নতুন তালিকা অবিলম্বে প্রদর্শিত হবে৷

লগস বিভাগের ডান প্যানেলে প্রতিটি লগের বিশদ তথ্য পাওয়া যায়, তবে বিষয়বস্তু বিশ্লেষণ করতে ডাবল-ক্লিক করে লগটি খুলতে আরও সুবিধাজনক। নীচে একটি লগের একটি উদাহরণ (ছবিটি ক্লিকযোগ্য), যা একটি সংক্রামিত ".docx" ফাইলে থ্রেট এমুলেশন ব্লেডের প্রতিরোধ অ্যাকশনের ট্রিগারিং সম্পর্কে বিস্তারিত তথ্য প্রদর্শন করে। লগটিতে বেশ কয়েকটি উপবিভাগ রয়েছে যা নিরাপত্তা ইভেন্টের বিশদ বিবরণ প্রদর্শন করে: ট্রিগার করা নীতি এবং সুরক্ষা, ফরেনসিক বিবরণ, ক্লায়েন্ট এবং ট্র্যাফিক সম্পর্কে তথ্য। লগ থেকে পাওয়া রিপোর্টগুলি বিশেষ মনোযোগের দাবি রাখে - থ্রেট ইমুলেশন রিপোর্ট এবং ফরেনসিক রিপোর্ট। এই প্রতিবেদনগুলি স্যান্ডব্লাস্ট এজেন্ট ক্লায়েন্ট থেকেও খোলা যেতে পারে।

থ্রেট এমুলেশন রিপোর্ট

থ্রেট ইমুলেশন ব্লেড ব্যবহার করার সময়, চেক পয়েন্ট ক্লাউডে ইমুলেশন করা হলে, ইমুলেশন ফলাফলের একটি বিস্তারিত রিপোর্টের একটি লিঙ্ক - থ্রেট এমুলেশন রিপোর্ট - সংশ্লিষ্ট লগে উপস্থিত হয়। এই ধরনের একটি প্রতিবেদনের বিষয়বস্তু সম্পর্কে আমাদের নিবন্ধে বিস্তারিত বর্ণনা করা হয়েছে চেক পয়েন্ট স্যান্ডব্লাস্ট নেটওয়ার্ক ফরেনসিক ব্যবহার করে ম্যালওয়্যার বিশ্লেষণ. এটি লক্ষণীয় যে এই প্রতিবেদনটি ইন্টারেক্টিভ এবং আপনাকে প্রতিটি বিভাগের বিশদ বিবরণ "এ ডুব দিতে" অনুমতি দেয়। ভার্চুয়াল মেশিনে এমুলেশন প্রক্রিয়ার একটি রেকর্ডিং দেখা, আসল ক্ষতিকারক ফাইল ডাউনলোড করা বা এর হ্যাশ পাওয়া এবং চেক পয়েন্ট ইনসিডেন্ট রেসপন্স টিমের সাথে যোগাযোগ করাও সম্ভব।

ফরেনসিক রিপোর্ট

প্রায় যেকোনো নিরাপত্তা ইভেন্টের জন্য, একটি ফরেনসিক রিপোর্ট তৈরি করা হয়, যাতে দূষিত ফাইল সম্পর্কে বিস্তারিত তথ্য থাকে: এর বৈশিষ্ট্য, ক্রিয়া, সিস্টেমে প্রবেশের বিন্দু এবং গুরুত্বপূর্ণ কোম্পানির সম্পদের উপর প্রভাব। আমরা প্রতিবেদনের কাঠামো সম্পর্কে নিবন্ধে বিস্তারিত আলোচনা করেছি চেক পয়েন্ট স্যান্ডব্লাস্ট এজেন্ট ফরেনসিক ব্যবহার করে ম্যালওয়্যার বিশ্লেষণ. নিরাপত্তা ইভেন্টগুলি তদন্ত করার সময় এই ধরনের একটি প্রতিবেদন তথ্যের একটি গুরুত্বপূর্ণ উৎস, এবং প্রয়োজনে রিপোর্টের বিষয়বস্তু অবিলম্বে চেক পয়েন্ট ইনসিডেন্ট রেসপন্স টিমের কাছে পাঠানো যেতে পারে।

স্মার্টভিউ

চেক পয়েন্ট স্মার্টভিউ পিডিএফ ফরম্যাটে ডায়নামিক ড্যাশবোর্ড (দেখুন) এবং রিপোর্ট তৈরি এবং দেখার জন্য একটি সুবিধাজনক টুল। স্মার্টভিউ থেকে আপনি প্রশাসকদের জন্য ব্যবহারকারীর লগ এবং অডিট ইভেন্টগুলিও দেখতে পারেন। নীচের চিত্রটি স্যান্ডব্লাস্ট এজেন্টের সাথে কাজ করার জন্য সবচেয়ে দরকারী প্রতিবেদন এবং ড্যাশবোর্ডগুলি দেখায়।

স্মার্টভিউ-তে প্রতিবেদনগুলি একটি নির্দিষ্ট সময়ের মধ্যে ইভেন্টগুলির পরিসংখ্যানগত তথ্য সহ নথি। এটি মেশিনে পিডিএফ ফর্ম্যাটে রিপোর্ট আপলোড করা সমর্থন করে যেখানে স্মার্টভিউ খোলা আছে, সেইসাথে অ্যাডমিনিস্ট্রেটরের ইমেলে পিডিএফ/এক্সেল-এ নিয়মিত আপলোড করা। উপরন্তু, এটি রিপোর্ট টেমপ্লেট আমদানি/রপ্তানি, আপনার নিজস্ব প্রতিবেদন তৈরি এবং প্রতিবেদনে ব্যবহারকারীর নাম লুকানোর ক্ষমতা সমর্থন করে। নীচের চিত্রটি বিল্ট-ইন থ্রেট প্রিভেনশন রিপোর্টের একটি উদাহরণ দেখায়।

SmartView-এ ড্যাশবোর্ড (ভিউ) অ্যাডমিনিস্ট্রেটরকে সংশ্লিষ্ট ইভেন্টের লগগুলি অ্যাক্সেস করার অনুমতি দেয় - শুধুমাত্র আগ্রহের বস্তুতে ডাবল-ক্লিক করুন, এটি একটি চার্ট কলাম বা দূষিত ফাইলের নাম হোক। রিপোর্টের মতো, আপনি নিজের ড্যাশবোর্ড তৈরি করতে পারেন এবং ব্যবহারকারীর ডেটা লুকাতে পারেন। ড্যাশবোর্ডগুলি টেমপ্লেটগুলির আমদানি/রপ্তানি, প্রশাসকের ইমেলে PDF/Excel-এ নিয়মিত আপলোড এবং রিয়েল টাইমে নিরাপত্তা ইভেন্টগুলি নিরীক্ষণের জন্য স্বয়ংক্রিয় ডেটা আপডেটগুলিকেও সমর্থন করে৷

অতিরিক্ত পর্যবেক্ষণ বিভাগ

ওভারভিউ, কম্পিউটার ম্যানেজমেন্ট, এন্ডপয়েন্ট সেটিংস এবং পুশ অপারেশন বিভাগগুলি উল্লেখ না করে ম্যানেজমেন্ট প্ল্যাটফর্মে পর্যবেক্ষণ সরঞ্জামগুলির একটি বিবরণ অসম্পূর্ণ হবে। এই বিভাগগুলি বিস্তারিতভাবে বর্ণনা করা হয়েছে দ্বিতীয় নিবন্ধতবে, পর্যবেক্ষণ সমস্যা সমাধানের জন্য তাদের ক্ষমতা বিবেচনা করা দরকারী হবে। চলুন শুরু করা যাক ওভারভিউ দিয়ে, যার মধ্যে দুটি উপ-বিভাগ রয়েছে - অপারেশনাল ওভারভিউ এবং সিকিউরিটি ওভারভিউ, যা সুরক্ষিত ব্যবহারকারী মেশিনের অবস্থা এবং নিরাপত্তা ইভেন্টগুলির তথ্য সহ ড্যাশবোর্ড। অন্য কোনো ড্যাশবোর্ডের সাথে ইন্টারঅ্যাক্ট করার সময়, অপারেশনাল ওভারভিউ এবং সিকিউরিটি ওভারভিউ সাবসেকশন, যখন আগ্রহের প্যারামিটারে ডাবল-ক্লিক করা হয়, তখন আপনাকে নির্বাচিত ফিল্টার সহ কম্পিউটার ম্যানেজমেন্ট বিভাগে যেতে দেয় (উদাহরণস্বরূপ, "ডেস্কটপ" বা "প্রি- বুট স্থিতি: সক্রিয়”), অথবা একটি নির্দিষ্ট ইভেন্টের জন্য লগ বিভাগে। সিকিউরিটি ওভারভিউ সাবসেকশন হল একটি "সাইবার অ্যাটাক ভিউ - এন্ডপয়েন্ট" ড্যাশবোর্ড, যা কাস্টমাইজ করা যায় এবং স্বয়ংক্রিয়ভাবে ডেটা আপডেট করতে সেট করা যায়।

কম্পিউটার ম্যানেজমেন্ট বিভাগ থেকে আপনি ব্যবহারকারী মেশিনে এজেন্টের অবস্থা, অ্যান্টি-ম্যালওয়্যার ডাটাবেসের আপডেট অবস্থা, ডিস্ক এনক্রিপশনের পর্যায় এবং আরও অনেক কিছু নিরীক্ষণ করতে পারেন। সমস্ত ডেটা স্বয়ংক্রিয়ভাবে আপডেট হয়, এবং প্রতিটি ফিল্টারের জন্য ব্যবহারকারী মেশিনের মিলের শতাংশ প্রদর্শিত হয়। CSV ফর্ম্যাটে কম্পিউটার ডেটা রপ্তানিও সমর্থিত।

ওয়ার্কস্টেশনের নিরাপত্তা পর্যবেক্ষণের একটি গুরুত্বপূর্ণ দিক হল কোম্পানির লগ সার্ভারে স্টোরেজের জন্য ক্রিটিক্যাল ইভেন্ট (সতর্কতা) এবং রপ্তানি লগ (এক্সপোর্ট ইভেন্ট) সম্পর্কে বিজ্ঞপ্তি সেট আপ করা। উভয় সেটিংস এন্ডপয়েন্ট সেটিংস বিভাগে তৈরি করা হয়, এবং এর জন্য সতর্কতা প্রশাসকের কাছে ইভেন্ট বিজ্ঞপ্তি পাঠাতে এবং ইভেন্টের মানদণ্ড পূরণকারী ডিভাইসের শতাংশ/সংখ্যার উপর নির্ভর করে বিজ্ঞপ্তিগুলি ট্রিগার/অক্ষম করার জন্য থ্রেশহোল্ড কনফিগার করতে একটি মেল সার্ভারের সাথে সংযোগ করা সম্ভব। ইভেন্টগুলি রফতানি করুন আপনাকে আরও প্রক্রিয়াকরণের জন্য ম্যানেজমেন্ট প্ল্যাটফর্ম থেকে কোম্পানির লগ সার্ভারে লগ স্থানান্তর কনফিগার করতে দেয়। SYSLOG, CEF, LEEF, SPLUNK ফরম্যাট, TCP/UDP প্রোটোকল, চলমান syslog এজেন্ট সহ যেকোনো SIEM সিস্টেম, TLS/SSL এনক্রিপশন এবং syslog ক্লায়েন্ট প্রমাণীকরণের ব্যবহার সমর্থন করে।

এজেন্টের ঘটনাগুলির একটি গভীর বিশ্লেষণের জন্য বা প্রযুক্তিগত সহায়তার সাথে যোগাযোগের ক্ষেত্রে, আপনি পুশ অপারেশন বিভাগে জোরপূর্বক অপারেশন ব্যবহার করে স্যান্ডব্লাস্ট এজেন্ট ক্লায়েন্ট থেকে লগ সংগ্রহ করতে পারেন। আপনি চেক পয়েন্ট সার্ভার বা কর্পোরেট সার্ভারগুলিতে লগ সহ জেনারেট করা সংরক্ষণাগারের স্থানান্তর কনফিগার করতে পারেন এবং লগ সহ সংরক্ষণাগারটি ব্যবহারকারীর মেশিনে C:UsersusernameCPInfo ডিরেক্টরিতে সংরক্ষিত হয়। এটি একটি নির্দিষ্ট সময়ে লগ সংগ্রহ প্রক্রিয়া চালু করা এবং ব্যবহারকারীর দ্বারা অপারেশন স্থগিত করার ক্ষমতা সমর্থন করে।

হুমকি শিকার

থ্রেট হান্টিং একটি সম্ভাব্য নিরাপত্তা ইভেন্টের আরও তদন্ত করার জন্য একটি সিস্টেমে দূষিত কার্যকলাপ এবং অস্বাভাবিক আচরণের জন্য সক্রিয়ভাবে অনুসন্ধান করতে ব্যবহৃত হয়। ম্যানেজমেন্ট প্ল্যাটফর্মের থ্রেট হান্টিং বিভাগ আপনাকে ব্যবহারকারীর মেশিন ডেটাতে নির্দিষ্ট পরামিতি সহ ইভেন্টগুলি অনুসন্ধান করতে দেয়।

থ্রেট হান্টিং টুলটিতে বেশ কয়েকটি পূর্বনির্ধারিত প্রশ্ন রয়েছে, উদাহরণস্বরূপ: দূষিত ডোমেন বা ফাইলগুলিকে শ্রেণীবদ্ধ করতে, নির্দিষ্ট আইপি ঠিকানাগুলির (সাধারণ পরিসংখ্যানের সাথে সম্পর্কিত) বিরল অনুরোধগুলি ট্র্যাক করুন৷ অনুরোধের কাঠামোটি তিনটি পরামিতি নিয়ে গঠিত: সূচকটি (নেটওয়ার্ক প্রোটোকল, প্রক্রিয়া শনাক্তকারী, ফাইলের ধরন, ইত্যাদি), অপারেটর (“হয়”, “হয় না”, “অন্তর্ভুক্ত”, “একটি”, ইত্যাদি) এবং অনুরোধ শরীরের. আপনি অনুরোধের বডিতে রেগুলার এক্সপ্রেশন ব্যবহার করতে পারেন এবং সার্চ বারে একসাথে একাধিক ফিল্টার ব্যবহার করতে পারেন।

একটি ফিল্টার নির্বাচন এবং অনুরোধ প্রক্রিয়াকরণ সম্পূর্ণ করার পরে, আপনি সমস্ত প্রাসঙ্গিক ইভেন্টে অ্যাক্সেস পাবেন, ইভেন্ট সম্পর্কে বিশদ তথ্য দেখতে, অনুরোধের বস্তুটিকে পৃথকীকরণ করতে বা ঘটনার বিবরণ সহ একটি বিশদ ফরেনসিক রিপোর্ট তৈরি করার ক্ষমতা সহ। বর্তমানে, এই টুলটি বিটা সংস্করণে রয়েছে এবং ভবিষ্যতে এটি সক্ষমতার সেট প্রসারিত করার পরিকল্পনা করা হয়েছে, উদাহরণস্বরূপ, একটি Miter Att&ck ম্যাট্রিক্স আকারে ইভেন্ট সম্পর্কে তথ্য যোগ করা।

উপসংহার

আসুন সংক্ষিপ্ত করা যাক: এই নিবন্ধে আমরা স্যান্ডব্লাস্ট এজেন্ট ম্যানেজমেন্ট প্ল্যাটফর্মে নিরাপত্তা ইভেন্টগুলি পর্যবেক্ষণ করার ক্ষমতাগুলি দেখেছি, এবং ব্যবহারকারীর মেশিনে দূষিত ক্রিয়া এবং অসঙ্গতিগুলির জন্য সক্রিয়ভাবে অনুসন্ধান করার জন্য একটি নতুন টুল অধ্যয়ন করেছি - থ্রেট হান্টিং৷ পরবর্তী নিবন্ধটি এই সিরিজের চূড়ান্ত একটি হবে এবং এতে আমরা ম্যানেজমেন্ট প্ল্যাটফর্ম সমাধান সম্পর্কে প্রায়শই জিজ্ঞাসিত প্রশ্নগুলি দেখব এবং এই পণ্যটি পরীক্ষা করার সম্ভাবনা সম্পর্কে কথা বলব৷

টিএস সলিউশন থেকে চেক পয়েন্টে উপকরণের বড় নির্বাচন. স্যান্ডব্লাস্ট এজেন্ট ম্যানেজমেন্ট প্ল্যাটফর্ম বিষয়ে পরবর্তী প্রকাশনাগুলি মিস না করার জন্য, আমাদের সামাজিক নেটওয়ার্কগুলিতে আপডেটগুলি অনুসরণ করুন (Telegram, ফেসবুক, VK, টিএস সমাধান ব্লগ, ইয়ানডেক্স জেন).

উত্স: www.habr.com