Velkommen til den femte artikel i serien om Check Point SandBlast Agent Management Platform. Du kan læse de tidligere artikler ved at følge det relevante link: , , , . I dag vil vi se på overvågningsmulighederne i Management Platform, især arbejdet med logfiler, interaktive dashboards (View) og rapporter. Vi vil også berøre emnet Threat Hunting for at identificere aktuelle trusler og unormale aktiviteter på brugerens maskine.
Logs
Den primære kilde til information til overvågning af sikkerhedshændelser er sektionen Logs, som viser detaljeret information om hver hændelse samt giver mulighed for at bruge praktiske filtre til at præcisere søgekriterierne. For eksempel kan du ved at højreklikke på en parameter (Blade, Action, Severity osv.) for en interessant log filtrere denne parameter som Filter: «Parameter» eller Filter Out: «Parameter». For parameteren Source kan muligheden IP Tools vælges, hvor du kan køre ping til denne IP-adresse/navn eller udføre nslookup for at få IP-adressen for kilden efter navn.
I sektionen Logs er der et underafsnit Statistics til filtrering af hændelser, hvor statistikken for alle parametre vises: et tidsdiagram med antallet af logfiler samt procentandele for hver parameter. Fra dette underafsnit kan du nemt filtrere logs uden at skulle bruge søgefeltet og skrive filtreringsudtryk — det er blot nødvendigt at vælge de interessante parametre, og den nye liste over logs vises med det samme.
Detaljerede oplysninger om hver log er tilgængelige i højre panel i sektionen Logs, men det er mere praktisk at åbne loggen med dobbeltklik for at analysere indholdet. Nedenfor ses et eksempel på en log (billedet er klikbart), som viser detaljerede oplysninger om udløsningen af handlingen Prevent fra Threat Emulation-bladet på en inficeret fil ".docx". Loggen har flere underafsnit, der viser detaljer om sikkerhedshændelsen: udløste politikker og beskyttelse, foreningsdetaljer, information om klienten og trafikken. Særligt opmærksomhed skal rettes mod de tilgængelige rapporter fra loggen — Threat Emulation Report og Forensics Report. Disse rapporter kan også åbnes fra SandBlast Agent-klienten.
Threat Emulation Report
Ved brug af Threat Emulation-bladet vises der et link til den detaljerede rapport om emuleringens resultater — Threat Emulation Report — i den relevante log efter emuleringen i Check Point's cloud. Indholdet af en sådan rapport er beskrevet i vores artikel om Det skal bemærkes, at denne rapport er interaktiv og giver mulighed for at "dykke ned" i detaljerne i hver sektion. Det er også muligt at se optagelsen af emuleringsprocessen på en virtuel maskine, downloade den originale ondsindede fil eller få dens hash, samt kontakte Check Point Incident Response Team.
Forensics Report
For næsten alle sikkerhedshændelser genereres der en Forensics Report, som indeholder detaljerede oplysninger om den ondsindede fil: dens egenskaber, handlinger, indgangspunktet i systemet og indvirkningen på vigtige virksomhedsmidler. Rapportens struktur blev grundigt behandlet i vores artikel om En sådan rapport er en vigtig informationskilde ved efterforskning af sikkerhedshændelser, og om nødvendigt kan indholdet af rapporten sendes direkte til Check Point Incident Response Team.
SmartView
Check Point SmartView er et praktisk værktøj til opbygning og visning af dynamiske dashboards (View) og rapporter i PDF-format. Fra SmartView kan man også se brugerlogs og revisionshændelser for administratorer. Nedenfor er de mest nyttige rapporter og dashboards til arbejde med SandBlast Agent.
Rapporter i SmartView er dokumenter med statistisk information om hændelser over en bestemt tidsperiode. Der understøttes eksport af rapporter i PDF-format til den maskine, hvor SmartView er åbent, samt regelmæssig eksport til PDF/Excel til administratorens e-mail. Desuden understøttes import/eksport af rapportskabeloner, oprettelse af egne rapporter og muligheden for at skjule brugernavne i rapporterne. Nedenfor er et eksempel på en indbygget rapport om Threat Prevention.
Dashboards (View) i SmartView giver administratoren adgang til logs for den relevante hændelse — du skal blot dobbeltklikke på det ønskede objekt, hvad enten det er en søjle i diagrammet eller navnet på en ondsindet fil. Ligesom med rapporterne kan du oprette dine egne dashboards og skjule brugerdata. Dashboards understøtter også import/eksport af skabeloner, regelmæssig eksport til PDF/Excel til administratorens e-mail og automatisk opdatering af data for overvågning af sikkerhedshændelser i realtid.
Yderligere overvågningsafsnit
Beskrivelsen af overvågningsværktøjerne i Management Platform vil være ufuldstændig uden at nævne afsnittene Øversigt, Computer Management, Endpoint Settings og Push Operations. Disse afsnit er beskrevet i detaljer i , men det vil være nyttigt at se på deres muligheder for at løse overvågningsopgaver. Lad os starte med Øversigt, der består af to underafsnit — Operationel Oversigt og Sikkerhedsoversigt, som er dashboards med information om tilstanden på de beskyttede brugercomputer og sikkerhedshændelser. Som ved interaktion med ethvert andet dashboard tillader underafsnittene Operationel Oversigt og Sikkerhedsoversigt ved dobbeltklik på den ønskede parameter at komme ind i afsnittet Computer Management med det valgte filter (f.eks. „Desktops“ eller „Pre-Boot Status: Enabled“), eller til afsnittet Logs for en specifik hændelse. Underafsnittet Sikkerhedsoversigt er et dashboard „Cyber Attack View – Endpoint“, som kan tilpasses „efter behov“ og indstilles til automatisk opdatering af data.
Fra afsnittet Computer Management kan du overvåge tilstanden af agenten på brugercomputerne, status for opdateringen af Anti-Malware-databasen, stadier af disk-kryptering og meget mere. Alle data opdateres automatisk, og for hver af filtrene vises procentdelen af passende brugercomputere. Data om computere kan også eksporteres i CSV-format.
En vigtig aspekt ved overvågning af sikkerheden på arbejdsstationer er indstillingen af meddelelser om kritiske hændelser (Alerts) og eksport af logs (Export Events) til opbevaring på virksomhedens log-server. Begge indstillinger udføres i afsnittet Endpoint Settings, og for Alerts Der er mulighed for at tilslutte en mailserver til at sende meddelelser om begivenheder til administratoren og konfigurere tærskelværdier for aktivering/deaktivering af meddelelser afhængigt af procentdelen/antal enheder, der opfylder begivenhedskriterierne. Eksportér Begivenheder giver mulighed for at konfigurere videresendelse af logfiler fra Management Platform til virksomhedens logserver til yderligere behandling. SYSLOG, CEF, LEEF, SPLUNK formater understøttes, TCP/UDP protokoller, enhver SIEM-løsning med en fungerende syslog-agent, brug af TLS/SSL kryptering og syslog-klientautentificering.
For dybdegående analyse af begivenheder på klienten eller i tilfælde af henvendelse til teknisk support, kan logs fra SandBlast Agent hurtigt samles ved hjælp af en tvungen operation i sektionen Push Operations. Det er muligt at konfigurere videresendelse af det dannede logarkiv til Check Point-servere eller til virksomhedens servere, og logarkivet gemmes også på brugerens maskine i mappen C:UsersusernameCPInfo. Det understøttes at starte logindsamlingsprocessen på et angivet tidspunkt og mulighed for at udsætte operationen af brugeren.
Trusseljagt
Trusseljagtsmetoden bruges til proaktivt at søge efter ondsindede handlinger og unormal adfærd i systemet til videre undersøgelse af potentielle sikkerhedshændelser. Trusseljagtssektionen i Management Platform muliggør søgning efter begivenheder med angivne parametre i dataene fra brugerens maskine.
Trusselsjagtværktøjet har flere forudindstillede forespørgsler, for eksempel til klassificering af ondsindede domæner eller filer, sporing af sjældne anmodninger til bestemte IP-adresser (i forhold til den samlede statistik). Struktur af forespørgslen består af tre parametre: en indikator (netværksprotokol, proces-id, filtype osv.), en operatør ("er", "er ikke", "inkluderer", "en af" osv.) og forespørgselskroppen. I forespørgselskroppen kan der anvendes regulære udtryk, og det understøttes at anvende flere filtre samtidigt i søgelinjen.
Efter at have valgt filteret og afsluttet behandlingen af anmodningen, bliver der givet adgang til alle relevante hændelser, med mulighed for at se detaljerede oplysninger om hændelsen, sætte anmodningsobjektet i karantæne eller generere en detaljeret rapport Forensics Report med beskrivelse af hændelsen. I øjeblikket er dette værktøj i beta-version, og der planlægges i fremtiden udvidelse af funktionssættet, f.eks. tilføjelse af hændelsesinformation i form af Mitre Att&ck-matrixen.
Konklusion
Lad os opsummere: I denne artikel har vi set på mulighederne for overvågning af sikkerhedshændelser i SandBlast Agent Management Platform, undersøgt det nye værktøj til proaktivt at opdage ondsindede handlinger og anomalier på brugermaskiner – Threat Hunting. Den næste artikel vil være den afsluttende i denne cyklus, hvor vi vil se på de mest almindelige spørgsmål vedrørende Management Platform og fortælle om mulighederne for test af dette produkt.
. For ikke at gå glip af de næste publikationer om emnet SandBlast Agent Management Platform — hold øje med opdateringerne på vores sociale medier (, , , , ).
Kilde: habr.com
