Pokračujeme ve zkoumání nové cloudové platformy Check Point Management Platform pro správu ochrany uživatelských počítačů – SandBlast Agent. Popisujeme hlavní komponenty SandBlast Agent, seznamujeme se s architekturou Check Point Infinity a registrujeme aplikaci SandBlast Agent Management Platform na portálu Infinity Portal. Dnes se podrobně podíváme na webové rozhraní systému správy agentů – tento článek se stane praktickým průvodcem všemi funkcemi a možnostmi cloudové konzole. A jako přípravu na další článek nainstalujeme SandBlast Agent a seznámíme se s jeho rozhraním.
Struktura cloudové konzole správy Management Platform
Rozhraní SandBlast Agent Management Platform lze zjednodušeně rozdělit na tři složky:
- Řídicí panel — nachází se v horní části rozhraní a umožňuje plnit základní úkoly správy: spravovat účty, obracet se na technickou podporu Check Point a nastavovat profil administrátora;
- Navigační panel — nachází se vlevo a umožňuje se pohybovat mezi hlavními komponentami ovládacího panelu, jako jsou sekce nastavení politik, zobrazení protokolů apod.;
- Pracovní prostor — zabírá větší část konzole správy a zahrnuje možnosti nastavit sekce navigačního panelu, zobrazovat grafické informace (protokoly, zprávy) a konfigurovat globální parametry systému.
Podívejme se podrobněji na každý prvek systému SandBlast Agent Management Platform. Pracovní prostory budou podrobně popsány pro všechny komponenty navigačního panelu, zatímco začneme možnostmi ovládacího panelu.
Řídicí panel
Ovládací panel se skládá ze 6 komponentů, pojďme si je představit zleva doprava. Prvním je tlačítko „Menu“, po jehož stisknutí se zobrazí vaše aktuální služby portálu, a umožňuje přidávat nové služby z kategorií Cloud Protection, Network Protection a Endpoint Protection do vašeho účtu. Dále následuje název aktuální aplikace, ve které pracujete — v tomto případě je to SandBlast Agent Management Platform. Po kliknutí na ikonu aplikace se vždy můžete dostat do sekce „OVERVIEW“ navigačního panelu. Třetím prvkem je ikona správy účtů, která umožňuje rychle přepínat mezi účty společností, ve kterých jste administrátorem.
Čtvrtou komponentou ovládacího panelu je tlačítko nápovědy, které umožňuje kontaktovat technickou podporu Check Point přímo z konzole, přejít na pro sledování stavu cloudových a webových prostředků Check Point, a také získat přístup k „Příručkám administrátora“ pro SandBlast Agent Management Platform a Infinity Portal. Dalším prvkem je váš profil na Infinity Portal, po jehož stisknutí se můžete „prokousat“ k nastavení profilu nebo se odhlásit z aktuálního profilu. A nakonec, posledním prvkem ovládacího panelu je tlačítko pro přechod na web .
Nastavení profilu Infinity Portal
Po kliknutí na název vašeho profilu Infinity Portal se otevře pracovní prostor pro nastavení profilu: můžete změnit zobrazované jméno uživatele a telefonní číslo, stejně jako změnit jazyk rozhraní (v současné době jsou k dispozici angličtina a japonština) a vybrat účet, ke kterému je profil přiřazen. Kromě toho můžete změnit aktuální heslo profilu a aktivovat dvoufaktorovou autentizaci pomocí Google Authenticator nebo Twilio Authy pro přístup k portálu. Proces nastavení dvoufaktorové autentizace je velmi jednoduchý — pomocí aplikace se naskenuje QR kód, poté se zadá vygenerovaný přístupový token a potvrdí se aktivace 2FA.
Navigační panel
Ovládací panel platformy SandBlast Agent Management obsahuje 9 sekcí v navigačním panelu, jak ukazuje obrázek níže, které umožňují provádět řadu úkolů souvisejících s nasazením a správou agentů a také spravovat nastavení webového rozhraní. Podívejme se stručně na každou sekci a pro podrobnější informace klikněte na spoiler s názvem požadované sekce. Začněme:
- PŘEHLED — sekce složená z několika řídicích panelů, které zobrazují aktuální stav klientských strojů a agentů z hlediska funkčnosti (počet chráněných strojů, jejich verze operačních systémů, stav agentů, chybové zprávy atd.) a z hlediska bezpečnosti (údaje o napadených a infikovaných strojích, aktivní a zablokované útoky, časová osa útoků atd.);
Sekce PŘEHLED: podrobně
Tato sekce se skládá ze dvou podsekcí: Provozní přehled a Bezpečnostní přehled. V první podsekci, Provozní přehled, se zobrazuje informace o stavu uživatelských strojů a agentů: počet chráněných strojů, charakteristika uživatelských počítačů (typ zařízení — osobní počítač/notebook, typ operačního systému — Windows/MacOS), statistika procesu nasazení agentů, "zdravotní stav" strojů, informace o aktualizaci databází antiviru na počítačích, jakož i verze nainstalovaných agentů SandBlast a verze používaných operačních systémů, a oblast s aktivními událostmi (Upozornění). Z této podsekce lze stáhnout klienta SandBlast Agent.
Druhá podsekce, Bezpečnostní přehled, zobrazuje informace o úrovni ochrany uživatelských strojů a o útocích (aktivních a zablokovaných). Tato podsekce umožňuje filtrování zobrazených informací podle času a také nastavení parametrů vyhledávání podle konkrétních objektů. Každý z bloků sekce Bezpečnostní přehled může být nastaven individuálně — lze přidávat diagramy různých typů, které budou zobrazovat informace podle zadaného filtru. Podsekci lze vyexportovat jako zprávu ve formátech Excel/PDF. Z této podsekce také lze stáhnout klienta SandBlast Agent.
- POLITIKA — sekce navigačního panelu, kde se nastavují parametry jednotné bezpečnostní politiky (tzv. Unified Policy) a také se definují pravidla distribuce agentů a globální nastavení politik;
Sekce POLICY: podrobně
První podsekce, Prevence hrozeb, umožňuje nastavovat pravidla bezpečnostní politiky s uvedením objektů, k nimž bude politika aplikována, a také detailně konfigurovat fungování bblade. Každé pravidlo může obsahovat nastavení pro tři logické komponenty politiky Prevention hrozeb: Ochrana webu a souborů, Behaviorální ochrana, Analýza a náprava. Komponent Ochrana webu a souborů zahrnuje nastavení filtrování URL, ochranu stahování, ochranu přihlašovacích údajů a ochranu souborů. Komponent Behaviorální ochrana se skládá z bblade Anti-Bot, Behavior Guard a Anti-Ransomware, Anti-Exploit. Komponent Analýza a náprava zahrnuje automatizovanou analýzu útoků (forenzní analýzu), nápravu a reakci.
Existují 3 přednastavené profily, které upravují nastavení bezpečnostních komponent: Ladění (všechny bblady jsou převedeny do režimu Detekce), Doporučené (část bblade v režimu Detekce) a Výchozí (pouze filtrování URL v režimu Detekce). Také v sekci Prevence hrozeb je možné přidávat výjimky (v Exclusions Center) k obcházení pravidel politiky.
Druhá podsekce — Ochrana dat, zahrnuje nastavení šifrování disku Full Disk Encryption. Podporuje se šifrování Check Point a BitLocker pro Windows, File Vault pro MacOS. Kromě toho je možné dále konfigurovat parametry šifrování, Pre-Boot Authentication a pokročilá nastavení Windows Authentication.
Následující podsekce — Nasazení, v níž se nastavují parametry instalace komponent SandBlast Agent na uživatelské stroje. V této podsekci je možné oddělit pravidly politiky instalaci různých bblade pro různé stroje a verze agentů.
Poslední podsekce, Globální nastavení politiky, umožňuje nastavovat heslo pro odebrání SandBlast Agent z uživatelského stroje, měnit parametry dat pro přenos do Check Point a také nastavovat charakteristiky hesla pro Full Disk Encryption.
- SPRÁVA POČÍTAČŮ — oblast navigačního panelu, která zobrazuje podrobné informace o všech klientských strojích a také umožňuje spravovat logické skupiny počítačů, provádět nucené akce (Push Operation) a nastavovat šifrování disku (Akce Full Disk Encryption);
Sekce SPRÁVA POČÍTAČŮ: podrobně
V sekci COMPUTER MANAGEMENT jsou tři hlavní součásti: ikony nastavení, zobrazení informací o uživatelských strojích a filtry pro nastavení parametrů zobrazení. Pojďme se podívat na ikony nastavení postupně zleva doprava: aktualizace informací; export zprávy o vybraném stroji ve formátu CSV; vytvoření Directory Scanner pro získání informací o uživatelích, strojích a skupinách z Active Directory; správa skupin (vytváření/úprava/odstranění); vytvoření nové virtuální skupiny; přidání uživatelského stroje do existující virtuální skupiny; přidání nucené akce z kategorie Push Operation (podrobněji popsána v příslušné sekci); vytváření úloh pro obnovení dat z šifrovaného disku v případě problémů s přístupem (Full Disk Encryption Actions).
Virtuální skupiny umožňují spojení uživatelských strojů do logických skupin pro flexibilní řízení. Tyto skupiny mohou být použity jako alternativa k Active Directory, nebo ve spojení s AD. Existuje několik virtuálních skupin, které jsou automaticky přiřazovány uživatelským strojům, například Desktops, Laptops, Servers a další.
Zobrazení uživatelských strojů lze přizpůsobit podle filtrů zobrazených na obrázku výše. První filtr (by computers property) má mnoho integrovaných kritérií a umožňuje zobrazovat uživatelské počítače podle jejich vlastností, stavu stroje nebo komponentů SandBlast Agent. Druhý filtr (by virtual group) nabízí možnost výběru podle virtuálních skupin, a třetí (by organization unit) podle parametrů Active Directory.
- LOGS — panel zobrazení logů, který zobrazuje statistiky na základě mnoha parametrů (blades, závažnost události, stroje uživatelů atd.) a poskytuje podrobné informace k jednotlivým logům;
Sekce LOGS: podrobně
Tato sekce poskytuje pohodlné rozhraní pro prozkoumání logů s množstvím filtrovacích nástrojů. V pracovním prostoru sekce LOGS se dají rozlišit čtyři složky: horní řádek pro vyhledávání dotazů a výběr časového rámce; levý panel se statistikou podle různých kritérií; centrální oblast s zobrazením všech logů a hlavními informacemi o nich; pravý panel s výstupem podrobných informací o vybraném logu. Je podporována možnost výstupu logů bez informací o uživateli a stroji (Hide Identities) a export do Excel souboru.
- PUSH OPERATIONS — sekce, ve které jsou vytvářeny a sledovány úkoly, které jsou prováděny na klientském stroji násilně (sběr logů, restartování nebo vypnutí stroje, skenování na přítomnost škodlivých programů/souborů atd.);
Sekce PUSH OPERATIONS: podrobnosti
V této sekci jsou dvě hlavní pracovní oblasti: v horní části se konfigurují a zobrazují donucovací úkoly pro klientské stroje, zatímco ve spodní části se zobrazují podrobné informace o vybraném úkolu.
Existují tři kategorie donucovacích operací, z nichž každá má několik úkolů: v kategorii Anti-Malware to jsou Scan for Malware, Update malware signature Database, Restore files from quarantine; v kategorii Forensics And Remediation to jsou Analyze by Indicator, File Remediation; v kategorii Agent Settings to jsou Collect Client Logs, Repair Client, Shutdown Computer, Restart Computer. Také každému donucovacímu úkolu lze přiřadit přesný čas spuštění a přidat komentář s popisem.
- ENDPOINT SETTINGS — sekce navigačního panelu, ve které se nastavuje integrace s Active Directory, parametry systémových zpráv (Alerts), aktivuje se export logů pomocí Syslog, a také je možné sledovat stav licencí a vybírat typ aktuální politiky (uživatelské nebo počítačové);
Sekce ENDPOINT SETTINGS: podrobnosti
První podsekce, AD Scanners, umožňuje nastavit plnou synchronizaci portálu s Active Directory vaší organizace pro získání informací o všech uživatelích a strojích. Ve výchozím nastavení je aktivní režim Organization Distributed Scan, ve kterém stroje se nainstalovaným SandBlast Agentem odesílají údaje o své cestě do konzoly pro správu pro další zobrazení v sekci COMPUTER MANAGEMENT. Můžete také změnit režim na Full Active Directory Sync, ve kterém se všechna data z Active Directory načtou do konzoly pro správu. Pro úspěšné skenování je potřeba účet s plnými právy pro čtení k: Active Directory root, všechny podřízené kontejnery a objekty, kontejner odstraněných objektů.
Druhým pododdělením je Upozornění, ve kterém se nastavují parametry pro oznámení o kritických situacích, například o nakažení stroje nebo problémech s nasazením agenta. V pravé části pracovní oblasti se nastavují parametry pro 12 přednastavených kritických situací, včetně prahových hodnot aktivace a deaktivace oznámení. V tomto pododdělení je také možné nastavit parametry poštovního serveru pro odesílání oznámení na e-mail.
Následuje pododdělení Export událostí, které umožňuje nastavit přenos logů různých formátů (Syslog, CEF, LEEF, Generic) na váš logový server. Tato možnost také umožňuje nastavit přenos logů do vaší SIEM systému, na kterém může být spuštěn Syslog agent.
Následující podsekce — Licences, ve kterém se zobrazuje informace o licencích: unikátní klíč, status licence, počet aktivních agentů a velikost kvóty. Správa licencí se provádí v nastaveních GLOBAL SETTINGS.
Posledním pododdělením je Režim provozu politiky, ve kterém se vybírá aktivní typ politiky: Users based Policy nebo Computers based Policy. Jak je vidět z popisu politik na obrázku níže — liší se použitím politik buď výhradně pro stroje, nebo politika se používá smíšeně pro uživatele a stroje.
- SPRÁVA SLUŽEB — oblast panelu navigace, která umožňuje spravovat službu Endpoint Management Platform a používat SmartView pro zobrazení podrobných zpráv o bezpečnostních událostech, a také z této sekce si můžete stáhnout instalační soubory pro aplikaci konzole SmartConsole a klienta SandBlast Agent;
Oddíl SPRÁVA SLUŽEB: podrobně
Pracovní oblast sekce MANAGEMENT SLUŽEB se skládá ze tří komponentů: správa služby a zobrazení dat o službě, stejně jako přístup k SmartView (rozhraní je zobrazeno na obrázku níže) pro analýzu logů a zpráv; panel pro stažení SmartConsole R80.40 — programu pro správu produktů Check Point, včetně SandBlast Agenta; panel pro stažení klienta SandBlast Agenta.
- PROAKTIVNÍ HLEDÁNÍ HROZEB — sekce, ve které se nastavují pravidla pro proaktivní hledání hrozeb (zatím beta verze);
Sekce PROAKTIVNÍ HLEDÁNÍ HROZEB: podrobně
Přístup k proaktivnímu hledání hrozeb umožňuje uskutečnit proaktivní vyhledávání anomální nebo škodlivé aktivity na uživatelských strojích s nainstalovaným SandBlast Agentem — například přístupy k doménám, které jsou považovány Check Pointem za škodlivé, procesy spuštěné pomocí WMI, atd. Je zde možnost používat přednastavené filtry pro vyhledávání, nebo vytvářet vlastní. Tato technologie využívá Check Point ThreatCloud — neustále aktualizovanou službu, která představuje globální síť senzorů detekujících hrozby a společností, které zasílají informace o hrozbách do Check Pointu. V současné době je proaktivní hledání hrozeb ve fázi dokončování a přístup k beta verzi je poskytován na vyžádání u Check Pointu. Tento nástroj podrobně prozkoumáme v jednom z následujících článků cyklu.
- GLOBÁLNÍ NASTAVENÍ — sekce globálních nastavení pro všechny vaše aplikace na portálu Infinity Portal, která umožňuje měnit nastavení firemního účtu na portále, spravovat účty administrátorů a sledovat jejich činnosti, prohlížet stav smluv pro různé aplikace účtu, stejně jako spravovat API klíče a exportovat logy z CloudGuard SaaS na váš lokální log server.
Sekce GLOBÁLNÍ NASTAVENÍ: podrobně
První podsekce, Nastavení účtu, zobrazuje název vašeho účtu a ID účtu, a také umožňuje nastavování parametrů pro donucující autentizaci a časový limit nečinnosti. Kromě toho v této podsekci můžete uvést parametry pro autorizaci SSO a změnit typ účtu (klient, partner kategorie Distributor/Reseller nebo partner kategorie MSSP).
Další podsekce, Uživatelé, zobrazuje informace o správcích vašeho portálu — kontaktní údaje, jakož i datum a čas registrace a posledního přihlášení do portálu. V této sekci lze přidávat uživatele dvou typů — správce a uživatele pouze pro čtení.
Následuje pododdělení Audity, umožňuje sledovat akce správců portálu. Jak je znázorněno na obrázku níže — záznamy o aktivitě správců obsahují uživatelské jméno, datum a čas události, službu, kategorii a typ události, jakož i stručný popis záznamu. Například v níže uvedených záznamech byly zaznamenány události přihlášení do portálu (Login), změny typu účtu (Account Updated) na “Distributor”, jakož i přidání dvoufaktorové autentizace pro přístup na portál konkrétnímu uživateli (User Updated).
Čtvrtým pododdílem je Smlouvy, který zobrazuje informace o smlouvách pro vaše aplikace na portálu — doba platnosti smlouvy, počet smluv a využití kvóty (pokud existuje). Také v tomto pododdílu lze spravovat přidružené účty Check Point z položky PŘIDRUŽENÉ ÚČTY.
Následující podsekce — API Klíče, ve kterém se spravují klíče API pro všechny dostupné aplikace Infinity Portal. Při generování klíče se vytváří Client ID a Secret Key, které lze následně používat pro přístup k portálu z externích aplikací.
Poslední dva pododdíly — Export událostí a Nastavení partnera, přičemž první z nich popisuje proces exportu záznamů z CloudGuard SaaS na váš lokální log-server, a druhý umožňuje prohlížet informace o účtech a přidávat nové (pouze pro účty kategorie Partner).
SandBlast Agent: instalace a seznámení s rozhraním
Možnosti distribuce agentů
Check Point popisuje dva způsoby distribuce agentů na uživatelské počítače: automatický a manuální. Automatické nasazení — provádí se pomocí instalace počátečního klienta (Initial Client) s využitím cizích řešení (například skupinové politiky Active Directory) a následným automatikým nahráním politik na agenta. Manuální nasazení — stahuje se klient se zabudovanými politikami prevence hrozeb a/nebo ochrany dat, který se poté distribuuje na uživatelská zařízení pomocí třetích stran. První způsob je pohodlnější, protože verze Initial Client je několikanásobně menší než plnohodnotná verze se všemi politikami, což umožňuje agentovi být například distribuován e-mailem jako příloha. Na druhou stranu, manuální nasazení nevyžaduje čas na proces načítání politik a břitů do agenta po instalaci — všechny komponenty jsou již součástí balíčku SandBlast Agent.
Využijeme automatické nasazení agenta. Verzi Initial Client je možné stáhnout ze dvou sekcí konzole: Service Management a Overview. V sekci Service Management, při výběru možnosti Download Initial Client, se stáhne začáteční klient. Při stahování ze sekce Overview existují tři varianty sestavení SandBlast Agent: Quick Install (Initial), Threat Prevention Agent a Data Protection & Threat Prevention. Druhá a třetí varianta jsou určeny pro manuální nasazení, zatímco první je sestavení Initial Client.
Stažený soubor EPS.msi se přenese na uživatelský stroj, po čemž je nutné spustit proces instalace. Po úspěšné instalaci se na hlavním panelu objeví ikona Check Point Endpoint Security, což signalizuje, že agent je odpojen od serveru správy.
V tuto chvíli se klient automaticky pokouší připojit k cloudovému serveru správy prostřednictvím vestavěné adresy. Je to poměrně rychlý proces a za pár minut se objeví nová notifikace naznačující naplánovanou instalaci agenta. Tato zpráva označuje úspěšné spojení agenta s cloudovým serverem správy.
Pokud kliknete pravým tlačítkem myši na ikonu Endpoint Security, můžete získat podrobnější informace o připojení k serveru správy, například název serveru správy, ke kterému se klient připojil, a aktuální stav připojení.
Po úspěšném připojení k řídicímu serveru začíná proces stahování potřebných komponentů (v souladu s bezpečnostní politikou) na uživatelský stroj. Administrátor může sledovat stav procesu instalace agenta v sekci Správa počítače webové konzole řízení — po úspěšném připojení uživatelského stroje k cloudovému řídicímu serveru se jeho status v sekci Správa počítače změní z Plánováno na Stahování. Po stažení a ověření všech komponentů je uživateli nabídnuta instalace agenta ihned nebo odložení procesu instalace. Pokud agent nebude uživateli nainstalován během 2 dnů od počátku procesu — agent se nainstaluje automaticky, o čemž je informováno v okně s nabídkou zahájení instalace.
Po zahájení instalace agenta se uživatelský stroj v sekci Správa počítače konzole řízení změní na status Instalace. Po dokončení procesu instalace agenta lze otevřít jeho rozhraní kliknutím pravým tlačítkem myši na ikonu Endpoint Security a výběrem možnosti Zobrazit přehled.
Po instalaci se doporučuje stisknout „Aktualizovat nyní“, aby se inicioval proces aktualizace politik a databází na agentovi. První aktualizace databáze Anti-Malware může trvat nějakou dobu. Jakmile se všechny databáze aktualizují, spustí se automatické první skenování systému. V tomto okamžiku by měl být stroj klienta v konzole řízení zobrazen ve statusu Dokončeno, což svědčí o úspěšné instalaci agenta.
Pojďme se seznámit s rozhraním agenta. V levním dolním rohu je zobrazen status agenta (Online/Odpojeno) a název Vašeho cloudového řídicího serveru — v našem případě je to status „Online“ a název serveru řízení „matssolution“. V pravém dolním rohu je uvedena aktuální verze agenta — máme nainstalovanou verzi E83.11 (83.11.2702). Navigační panel agenta se skládá z několika sekcí:
- Přehled — hlavní sekce, která zobrazuje informace o stavu všech bladeů a shodě počítače uživatele s bezpečnostní politikou. Také z této sekce lze „proniknout“ do každého bladeu pro získání podrobnějších informací o stavu a bezpečnostních událostech;
- Aktualizovat nyní — umožňuje spustit proces kontroly aktuálnosti platných bezpečnostních politik a databází na agentovi;
- Naskenujte systém nyní — spouští proces skenování systému na přítomnost škodlivého softwaru nebo souborů;
- Advanced — pokročilé nastavení agenta, které umožňuje zobrazit nainstalovanou politiku, prohlédnout nebo shromáždit protokoly a také použít počítač uživatele jako nasazovacího agenta.
Jelikož nebyly provedeny žádné změny v počáteční politice, agent momentálně obsahuje pouze výlisky politiky prevence hrozeb se standardními hodnotami. Podrobněji se obsahem počáteční politiky prevence hrozeb budeme zabývat v našem dalším článku tohoto cyklu.
Závěr
Je čas shrnout vykonanou práci: v tomto článku jsme se podrobně seznámili s rozhraním webové konzole správy platformy SandBlast Agent, nainstalovali agenta na uživatelský počítač a prozkoumali jeho rozhraní.
V naši další části cyklu prozkoumáme standardní politiku prevence hrozeb a otestujeme ji na nejpopulárnějších útocích. Také vytvoříme vlastní pravidla politiky pro zvýšení úrovně zabezpečení uživatelského počítače.
. Abyste nezmeškali další publikace na téma SandBlast Agent Management Platform — sledujte naše aktualizace na sociálních médiích (, , , , ).
Zdroj: habr.com
