Vítejte u třetího článku cyklu o nové cloudové konzoli pro správu ochrany osobních počítačů — Check Point SandBlast Agent Management Platform. Připomínám, že v jsme se seznámili s portálem Infinity Portal a vytvořili cloudovou službu pro správu agentů Endpoint Management Service. Ve jsme prozkoumali rozhraní webové konzole pro správu a nainstalovali agenta se standardní politikou na uživatelský počítač. Dnes se podíváme na obsah standardní bezpečnostní politiky Threat Prevention a otestujeme její účinnost proti populárním útokům.
Standardní politika Threat Prevention: popis
Na obrázku výše je zobrazeno standardní pravidlo politiky Threat Prevention, které se od začátku vztahuje na celou organizaci (na všechny nainstalované agenty) a zahrnuje tři logické skupiny ochranných komponentů: Web & Files Protection, Behavioral Protection a Analysis & Remediation. Podívejme se podrobněji na každou ze skupin.
Web & Files Protection
URL Filtering
URL Filtering umožňuje kontrolovat přístup uživatelů k webovým zdrojům, přičemž se používá předem nastavených 5 kategorií webů. Každá z těchto 5 kategorií obsahuje několik specifických podkategorií, což umožňuje například blokaci přístupu k podkategorii Hry a povolení přístupu k podkategorii Instant Messaging, která spadá do jedné kategorie Ztráta produktivity. Adresy URL, které patří k určitým podkategoriím, jsou definovány společností Check Point. Zkontrolovat kategorii, do které konkrétní URL patří, nebo požádat o předefinování kategorie lze na speciálním zdroji. .
Jako akci je možné nastavit Prevent, Detect nebo Off. Při výběru akce Detect se automaticky přidává nastavení, které umožňuje uživatelům přeskočit upozornění URL Filtering a přejít na zajímavý zdroj. V případě akce Prevent lze toto nastavení odstranit a uživatel se nebude moci dostat na zakázanou stránku. Také užitečným způsobem kontroly zakázaných zdrojů je nastavení Block List, ve kterém lze uvádět domény, IP adresy nebo nahrávat soubor ve formátu .csv se seznamem domén k blokování.
Ve standardní politice pro URL Filtering je nastaveno akce Detekce a vybrána jedna kategorie — Bezpečnost, pro kterou bude probíhat detekce událostí. Tato kategorie zahrnuje různé anonymizéry, stránky s úrovní rizika Kritické/Vysoké/Střední, phishingové stránky, spam a mnohé další. Uživatelé však stále budou mít přístup k zdroji díky nastavení „Povolit uživateli zrušit upozornění na filtrování URL a přistupovat na webovou stránku“.
Stáhnout (web) Ochranu
Emulace & Extraction umožňuje provádět emulaci stahovaných souborů v cloudové pískovně Check Point a provádět čištění dokumentů „za chodu“, odstraňující potenciálně škodlivý obsah, nebo konvertovat dokument do PDF. Existují tři režimy fungování:
- Prevenci — umožňuje získat kopii vyčištěného dokumentu před konečným rozhodnutím emulace, nebo počkat na dokončení emulace a stáhnout najednou původní soubor;
- Detekce — provádí emulaci na pozadí, nebrání uživateli ve stažení původního souboru, bez ohledu na rozhodnutí;
- Vypnuto — všechny soubory jsou povoleny ke stažení bez procházení emulací a čištění potenciálně škodlivých komponentů.
Existuje také možnost vybrat akci pro soubory, které nejsou podporovány prostředky emulace a čištění Check Point — lze povolit nebo zakázat stahování všech nepodporovaných souborů.
Ve standardní politice pro Download Protection je nastaveno akce Prevenci s možností získat vyčištěnou od potenciálně škodlivého obsahu kopii původního dokumentu, stejně jako povolení stahování souborů, které nejsou podporovány prostředky emulace a čištění.
Ochrana přihlašovacích údajů
Komponenta Ochrana přihlašovacích údajů chrání přihlašovací údaje uživatelů a zahrnuje 2 složky: Zero Phishing a Ochrana hesel. Zero Phishing chrání uživatele před přístupem na phishingové zdroje, a Ochrana hesel informuje uživatele o nebezpečnosti používání firemních údajů mimo chráněnou doménu. Zero Phishing může být nastaven na Prevent, Detect nebo Off. Při nastavení Prevent je možnost umožnit uživatelům přeskočit varování o potenciálně phishingovém zdroji a získat přístup ke zdroji, nebo zakázat tuto možnost a vždy blokovat přístup. Při nastavení Detect mají uživatelé vždy možnost přeskočit varování a získat přístup k prostředku. Password Protection umožňuje vybrat chráněné domény, pro které se provádí kontrola hesel na shodu, a jednu ze tří akcí: Detect & Alert (informující uživatele), Detect nebo Off.
Standardní politika pro Credential Protection předpokládá Prevent pro jakékoli phishingové zdroje s nemožností, aby uživatelé získali přístup k potenciálně škodlivé stránce. Zahrnutá je také ochrana proti používání firemních hesel, nicméně bez uvedených domén tato funkce nebude fungovat.
Files Protection
Files Protection zajišťuje ochranu souborů, které jsou uloženy na uživatelské stroji, a zahrnuje dvě komponenty: Anti-Malware a Files Threat Emulation. Anti-Malware je nástroj, který pravidelně skenuje všechny uživatelské a systémové soubory pomocí signaturní analýzy. V nastavení této komponenty lze nastavit parametry pravidelného skenování nebo náhodného času jeho provedení, období aktualizace signatur a také možnost, aby uživatelé mohli zrušit naplánované skenování. Files Threat Emulation umožňuje emulaci souborů uložených na uživatelské stroji v cloudové pískovně Check Point, nicméně tato bezpečnostní funkce funguje pouze v režimu Detect.
Ve standardní politice pro Files Protection je zahrnuta ochrana pomocí Anti-Malware a detekce škodlivých souborů pomocí Files Threat Emulation. Pravidelné skenování probíhá každý měsíc a signatury na uživatelské stroji se aktualizují každé 4 hodiny. Přitom byla nastavena možnost, aby uživatelé mohli zrušit naplánované skenování, ale ne později než 30 dní od posledního úspěšného skenování.
Behavioral Protection
Anti-Bot, Behavioral Guard & Anti-Ransomware, Anti-Exploit
Skupina komponentů ochrany Behavioral Protection zahrnuje tři složky: Anti-Bot, Behavioral Guard & Anti-Ransomware a Anti-Exploit. Anti-Bot umožňuje sledovat a blokovat spojení C&C pomocí neustále aktualizované databáze Check Point ThreatCloud. Behavioral Guard & Anti-Ransomware neustále sleduje aktivitu (souborů, procesů, síťových interakcí) na uživatelském počítači a zabraňuje útokům ransomware v počátečních fázích. Kromě toho tato ochrana umožňuje obnovit soubory, které byly zašifrovány škodlivým softwarem. Soubory se obnovují ve svých původních adresářích, nebo lze specifikovat konkrétní cestu, kde budou uchovávány všechny obnovené soubory. Anti-Exploit umožňuje odhalovat útoky nultého dne. Pro všechny komponenty Behavioral Protection jsou podporovány tři režimy provozu: Prevent, Detect a Off.
Standardní politika pro Behavioral Protection předpokládá Prevent pro komponenty Anti-Bot a Behavioral Guard & Anti-Ransomware, s obnovou zašifrovaných souborů ve svých původních adresářích. Komponenta Anti-Exploit je vypnuta a není používána.
Analýza & Obnova
Automatizovaná analýza útoků (forenzní analýzy), obnova & reakce
Pro analýzu a vyšetřování bezpečnostních incidentů jsou k dispozici dva bezpečnostní komponenty: Automatizovaná analýza útoků (forenzní analýzy) a Obnova & reakce. Automatizovaná analýza útoků (forenzní analýzy) umožňuje generovat zprávy o výsledcích odražení útoků s podrobným popisem – až po rozbor procesu provádění škodlivého softwaru na uživatelském počítači. Také existuje možnost využít funkci Threat Hunting, která umožňuje provádět proaktivní vyhledávání anomálií a potenciálně škodlivého chování pomocí přednastavených nebo vytvářených filtrů. Obnova & reakce umožňuje nastavit parametry obnovy a karantény souborů po provedení útoku: reguluje interakci uživatelů s karanténními soubory, a také je možné uchovávat soubory v karanténě v určeném adresáři administrátorem.
Ve standardní politice Analýzy & Obnovy je zahrnuta ochrana, která zahrnuje automatizovaná opatření pro obnovu (ukončení procesů, obnovení souborů a další), a také je aktivní možnost odesílat soubory do karantény, přičemž uživatelé mohou pouze odstraňovat soubory z karantény.
Standardní politika prevence hrozeb: testování
Check Point CheckMe Endpoint
Nejrychlejší a nejjednodušší způsob, jak zkontrolovat zabezpečení uživatelského počítače proti nejběžnějším typům útoků, je provést test pomocí zdroje , který provádí řadu typových útoků různých kategorií a umožňuje získat zprávu o výsledcích testování. V tomto případě byla použita varianta testování Endpoint, při které se na počítač stáhne a spustí spustitelný soubor, a poté začne proces ověřování.
Během kontroly zabezpečení pracovního počítače Signalizuje SandBlast Agent o identifikovaných a odražených útocích na počítači uživatele, například: blade Anti-Bot informuje o detekovaném nakažení, blade Anti-Malware detekoval a odstranil škodlivý soubor CP_AM.exe, a blade Threat Emulation na základě emulace určil, že soubor CP_ZD.exe je škodlivý.
Na základě provedeného testování pomocí CheckMe Endpoint máme následující výsledek: ze 6 kategorií útoků standardní politika Threat Prevention nezvládla pouze jednu kategorii — Browser Exploit. To je způsobeno tím, že standardní politika Threat Prevention neobsahuje blade Anti-Exploit. Je zajímavé, že bez nainstalovaného SandBlast Agent prošel uživatelský počítač testem pouze v kategorii Ransomware.
KnowBe4 RanSim
Pro testování funkčnosti blade Anti-Ransomware lze využít bezplatné řešení , které spouští řadu testů na uživatelském počítači: 18 scénářů nákazy ransomwarem a 1 scénář nákazy kryptoměnovým těžařem. Je třeba poznamenat, že přítomnost mnoha blade v standardní politice (Threat Emulation, Anti-Malware, Behavioral Guard) s preventivním účinkem neumožňuje správné spuštění tohoto testu. Nicméně, i při snížené úrovni zabezpečení (Threat Emulation v režimu Off) ukazuje test blade Anti-Ransomware vysoké výsledky: 18 z 19 testů bylo úspěšně splněno (1 se nespustil).
Škodlivé soubory a dokumenty
Ukázkovým testem je prověření funkce různých bladeů standardní politiky Prevence Hrozeb pomocí škodlivých souborů populárních formátů stahovaných na uživatelský počítač. V tomto testu bylo použito 66 souborů formátů PDF, DOC, DOCX, EXE, XLS, XLSX, CAB, RTF. Výsledky testu ukázaly, že SandBlast Agent dokázal zablokovat 64 škodlivých souborů ze 66. Infikované soubory byly po stažení buď odstraněny, nebo vyčištěny od škodlivého obsahu pomocí Extrakce Hrozeb a obdrženy uživatelem.
Doporučení pro zlepšení politiky Prevence Hrozeb
1. Filtrace URL
První věcí, kterou je třeba opravit ve standardní politice pro zvýšení úrovně zabezpečení uživatelského počítače, je přepnutí bladeu Filtrace URL do režimu Prevent a uvedení odpovídajících kategorií pro blokaci. V našem případě byly vybrány všechny kategorie kromě Obecného používání, protože zahrnují většinu zdrojů, které je třeba omezit pro uživatele na pracovišti. Také pro podobné stránky je žádoucí odstranit možnost, aby uživatelé mohli přeskočit varovné okno, odebráním zaškrtnutí u parametru „Allow user to dismiss the URL Filtering alert and access the website”.
2. Ochrana při stahování
Druhým parametrem, na který bychom se měli zaměřit, je možnost, aby uživatelé mohli stahovat soubory, které nejsou podporovány emulací Check Point. Vzhledem k tomu, že v této části zkoumáme zlepšení standardní politiky Prevence Hrozeb z hlediska bezpečnosti, nejlepší variantou bude zakázat stahování nepodporovaných souborů.
3. Ochrana souborů
Je také důležité zaměřit se na nastavení ochrany souborů — konkrétně na parametry pravidelného skenování a možnost pro uživatele odložit nucené skenování. V tomto případě je nutné brát v úvahu časové rámce práce uživatele, a dobrým řešením z pohledu bezpečnosti a výkonu je nastavit provádění nuceného skenování každý den, přičemž čas je vybírán náhodně (od 00:00 do 8:00), a uživatel může odložit skenování maximálně na jeden týden.
4. Ochrana proti exploitům
Významnou nevýhodou standardní politiky Threat Prevention je vypnutý blade Anti-Exploit. Doporučuje se tento blade zapnout s akcí Prevent, aby se pracovní stanice chránila před útoky využívajícími exploit. S tímto opravením opakovaný test CheckMe úspěšně končí bez zjištění zranitelností na pracovním stroji uživatele.
Závěr
Shrňme to: v tomto článku jsme se seznámili s komponentami standardní politiky Threat Prevention, otestovali tuto politiku pomocí různých metod a prostředků a také jsme popsali doporučení pro zlepšení nastavení standardní politiky za účelem zvýšení úrovně ochrany uživatelského stroje. V následujícím článku cyklu se přesuneme k prozkoumání politiky Data Protection a probereme nastavení Global Policy Settings.
. Abyste nezmeškali další publikace na téma SandBlast Agent Management Platform — sledujte naše aktualizace na sociálních médiích (, , , , ).
Zdroj: habr.com
