5. Check Point SandBlast Agent Management Platform. Protokoly, zprávy & forenzní analýza. Lov na hrozby

Vítejte u pátého článku cyklu o řešení Check Point SandBlast Agent Management Platform. Se staršími články se můžete seznámit kliknutím na odpovídající odkaz: první, druhá, třetí, čtvrtá. Dnes se zaměříme na možnosti monitorování v Management Platform, konkrétně na práci s logy, interaktivními dashboardy (View) a reporty. Také se dotkneme tématu Threat Hunting pro identifikaci aktuálních hrozeb a anomálních událostí na uživatelském stroji.

Protokoly

Hlavním zdrojem informací pro monitorování bezpečnostních událostí je sekce Logs, která zobrazuje podrobnosti o každém incidentu a také umožňuje používat pohodlné filtry pro upřesnění kritérií hledání. Například kliknutím pravým tlačítkem myši na parametr (Blade, Action, Severity atd.) požadovaného logu lze tento parametr filtrovat jako Filtr: «Parameter» nebo Filtrovat: «Parameter». Pro parametr Source lze také zvolit možnost IP Tools, v níž lze spustit ping na tuto IP adresu/jméno nebo provést nslookup pro získání IP adresy zdroje podle jména.

V sekci Logs pro filtrování událostí je podsekce Statistics, kde se zobrazuje statistika ke všem parametrům: časový graf s počtem logů a procentní podíly podle každého z parametrů. Z této podsekce lze snadno filtrovat logy bez nutnosti oslovovat vyhledávací pole a psát výrazy filtru — stačí vybrat zajímavé parametry a nový seznam logů se okamžitě zobrazí.

Podrobné informace o každém logu jsou k dispozici na pravém panelu sekce Logs, avšak pohodlnější je otevřít log dvojitým kliknutím pro analýzu obsahu. Níže je příklad logu (obrázek je klikací), na kterém jsou zobrazeny podrobnosti o aktivaci akce Prevent Blade Threat Emulation na infikovaný soubor ".docx". Log má několik podsekcí, které ukazují detaily bezpečnostní události: aktivovaná politika a ochrana, podrobnosti forenziky, informace o klientovi a provozu. Zvláštní pozornost zasluhují dostupné reporty z logu — Threat Emulation Report a Forensics Report. Tyto reporty lze také otevřít ze zákaznického rozhraní SandBlast Agent.

Threat Emulation Report

Použití modulu Threat Emulation po provedení emulace v cloudu Check Point zobrazí v příslušném logu odkaz na podrobnou zprávu o výsledcích emulace — Threat Emulation Report. Obsah této zprávy je podrobně popsán v našem článku o analýze malwaru pomocí forenziky Check Point SandBlast Network. Je třeba poznamenat, že tato zpráva je interaktivní a umožňuje "procházet" podrobnostmi každé sekce. Dále je možné si prohlédnout záznam procesu emulace ve virtuálním stroji, stáhnout původní škodlivý soubor nebo získat jeho hash, stejně jako kontaktovat tým Incident Response Team Check Point.

Forensics Report

Téměř pro každou bezpečnostní událost je generována zpráva Forensics Report, která zahrnuje podrobné informace o škodlivém souboru: jeho charakteristiky, akce, místo vstupu do systému a vliv na důležité aktiva společnosti. Strukturu zprávy jsme podrobně probrali v článku o analýze malwaru pomocí forenziky Check Point SandBlast Agent. Taková zpráva je důležitým zdrojem informací při vyšetřování bezpečnostních událostí, a pokud je to nutné, lze okamžitě odeslat obsah zprávy do týmu Incident Response Team Check Point.

SmartView

Check Point SmartView je pohodlný nástroj pro vytváření a prohlížení dynamických dashboardů (View) a zpráv ve formátu PDF. Z SmartView lze také zobrazovat uživatelské logy a auditní události pro administrátory. Na obrázku níže jsou uvedeny nejužitečnější zprávy a dashboardy pro práci se SandBlast Agent.

Zprávy ve SmartView představují dokumenty se statistickými informacemi o událostech za určité časové období. Podporuje se export zpráv ve formátu PDF na stroj, kde je otevřen SmartView, a také pravidelný export do PDF/Excel na e-mail administrátora. Kromě toho se podporuje import/export šablon zpráv, vytváření vlastních zpráv a možnost skrývat jména uživatelů ve zprávách. Na obrázku níže je uveden příklad vestavěné zprávy Threat Prevention.

Dashboards (View) v SmartView umožňují správci přístup k protokolům k příslušnému události — stačí dvakrát kliknout na zajímavý objekt, ať už je to sloupec diagramu nebo název škodlivého souboru. Stejně jako v případě zpráv můžete vytvářet vlastní dashboardy a skrývat uživatelská data. Pro dashboardy je také podporován import/export šablon, pravidelný export do PDF/Excel na e-mail správce a automatické aktualizace dat pro sledování bezpečnostních událostí v reálném čase.

Další sekce monitorování

Popis prostředků monitorování v Management Platform bude neúplný bez zmínky o sekcích Overview, Computer Management, Endpoint Settings a Push Operations. Tyto sekce byly podrobně popsány ve druhém článku, nicméně užitečné bude prozkoumat jejich možnosti pro monitoring. Začněme s Overview, které se skládá ze dvou podsekcí — Operational Overview a Security Overview, které představují dashboardy s informacemi o stavu chráněných uživatelských strojů a bezpečnostních událostech. Stejně jako při interakci s jakýmkoli jiným dashboardem, podsekce Operational Overview a Security Overview umožňují při dvojitém kliknutí na zajímavý parametr vstoupit do sekce Computer Management s vybraným filtrem (například „Desktops“ nebo „Pre-Boot Status: Enabled“), nebo do sekce Logs podle konkrétní události. Podsekce Security Overview představuje dashboard „Cyber Attack View – Endpoint“, který lze nastavit „podle sebe“ a nastavit automatické aktualizace dat.

Z sekce Computer Management lze sledovat stav agenta na uživatelských strojích, stav aktualizace databáze Anti-Malware, fáze šifrování disku a mnoho dalšího. Všechna data se automaticky aktualizují a pro každý z filtrů se zobrazuje procentuální ukazatel odpovídajících uživatelských strojů. Také je podporován export dat o počítačích ve formátu CSV.

Důležitým aspektem monitorování zabezpečení pracovních stanic je nastavení upozornění na kritické události (Alerts) a export logů (Export Events) pro uchování na logovém serveru společnosti. Obě nastavení se provádějí v sekci Endpoint Settings, a pro Upozornění existuje možnost připojit poštovní server pro zasílání upozornění o událostech administrátorovi a nakonfigurovat prahové hodnoty spouštění/vypínání upozornění v závislosti na procentu/počtu zařízení splňujících kritéria události. Export událostí umožňuje nastavit přesměrování logů z Management Platform na log server společnosti pro další zpracování. Podporovány jsou formáty SYSLOG, CEF, LEEF, SPLUNK, protokoly TCP/UDP, jakékoli SIEM systémy s funkčním syslog agentem, použití šifrování TLS/SSL a autentizaci syslog klienta.

Pro hloubkovou analýzu událostí na agentovi nebo v případě kontaktu s technickou podporou lze rychle shromáždit logy z klienta SandBlast Agent pomocí vynucené akce v sekci Push Operations. Lze nastavit přesměrování vytvořeného archivu s logy na servery Check Point nebo na podnikové servery, také archiv s logy se ukládá na uživatelské zařízení v adresáři C:UsersusernameCPInfo. Podporováno je zahájení procesu sběru logů ve stanoveném čase a možnost odložení operace uživatelem.

Threat Hunting

Metoda Threat Hunting se používá k proaktivnímu vyhledávání zlovolných činností a anomálního chování v systému pro další vyšetřování potenciálních bezpečnostních událostí. Sekce Threat Hunting v Management Platform umožňuje vyhledávat události s určenými parametry v datech uživatelského zařízení.

Nástroj Threat Hunting má několik přednastavených dotazů, například: pro klasifikaci zlovolných domén nebo souborů, sledování vzácných přístupů k některým IP adresám (ve srovnání s celkovou statistikou). Struktura dotazu se skládá ze tří parametrů: indikátor (síťový protokol, identifikátor procesu, typ souboru atd.), operátor („je“, „není“, „obsahuje“, „jeden z“ atd.) a tělo dotazu. V těle dotazu lze použít regulární výrazy, podporuje se použití několika filtrů současně v řádku vyhledávání.

Po výběru filtru a dokončení zpracování žádosti se zobrazí všechny vhodné události, s možností zobrazit podrobnosti o události, umístit objekt žádosti do karantény nebo vygenerovat podrobnou zprávu Forensics Report s popisem události. V této chvíli je tento nástroj v beta verzi a do budoucna se plánuje rozšíření funkčností, například přidání informací o události ve formě matice Mitre Att&ck.

Závěr

Zrekapitulujeme: v tomto článku jsme prozkoumali možnosti sledování událostí bezpečnosti na platformě SandBlast Agent Management, prozkoumali nový nástroj pro proaktivní vyhledávání škodlivých činností a anomálií na uživatelských strojích – Threat Hunting. Následující článek bude závěrečný v této sérii a podíváme se na nejčastější dotazy k řešení Management Platform a představíme možnosti testování tohoto produktu.

Velká sbírka materiálů o Check Point od TS Solution. Abyste nezmeškali další publikace na téma SandBlast Agent Management Platform — sledujte naše aktualizace na sociálních médiích (Telegram, Facebook, VK, TS Solution Blog, Yandex.Zen).

Zdroj: habr.com