Vi fortsætter med at studere den nye cloudplatform Check Point Management Platform til styring af beskyttelsesværktøjet til brugercomputere - SandBlast Agent. vi beskrev hovedkomponenterne i SandBlast Agent, stiftede bekendtskab med Check Point Infinity-arkitekturen og registrerede SandBlast Agent Management Platform-applikationen på Infinity-portalen. I dag vil vi studere i detaljer webgrænsefladen til agentstyringssystemet - denne artikel bliver en praktisk guide til alle funktioner og muligheder i skykonsollen. Og som forberedelse til den næste artikel, lad os installere SandBlast Agent og stifte bekendtskab med dens grænseflade.
Struktur af cloud-administrationskonsollen Management Platform
SandBlast Agent Management Platform-grænsefladen kan opdeles i tre komponenter:
- Kontrolpanel — placeret øverst på grænsefladen og giver dig mulighed for at udføre grundlæggende administrationsopgaver: administrere konti, kontakte Check Points tekniske support og oprette en administratorprofil;
- Navigations bar — placeret til venstre og giver dig mulighed for at navigere mellem kontrolpanelets hovedkomponenter, såsom afsnittet med politikindstillinger, visning af logfiler osv.;
- Arbejdsplads — optager det meste af administrationskonsollen og inkluderer muligheden for at konfigurere sektioner af navigationspanelet, vise grafiske oplysninger (logfiler, rapporter) og konfigurere globale systemparametre.
Lad os se nærmere på hvert enkelt element i SandBlast Agent Management Platform-systemet. Arbejdsområder vil blive beskrevet detaljeret for alle komponenter i navigationslinjen, men lad os nu starte med kontrolpanelets muligheder.
Kontrolpanel
Kontrolpanelet indeholder 6 komponenter, lad os se på dem fra venstre mod højre. Den første er knappen "Menu", som, når du klikker på den, viser dine nuværende portaltjenester og giver dig mulighed for at tilføje nye tjenester fra kategorierne Cloud Protection, Network Protection og Endpoint Protection til din konto. Dernæst kommer navnet på den aktuelle applikation, du arbejder i - i dette tilfælde er det SandBlast Agent Management Platform. Når du klikker på applikationsikonet, kan du altid komme til sektionen "OVERSIGT" i navigationspanelet. Det tredje element er kontostyringsikonet, som giver dig mulighed for hurtigt at skifte mellem konti hos virksomheder, hvor du er administrator.
Den fjerde komponent i kontrolpanelet er hjælpeknappen, som giver dig mulighed for at kontakte Check Points tekniske support direkte fra konsollen, gå til at overvåge status for Check Points cloud- og webressourcer samt få adgang til administratorvejledningerne til SandBlast Agent Management Platform og Infinity Portal. Det næste element er din profil på Infinity Portal, ved at klikke på som du kan "fejle" ind i profilindstillingerne eller forlade den aktuelle profil. Og endelig er det sidste element i kontrolpanelet en knap for at gå til webstedet .
Infinity Portal Profilindstillinger
Når du klikker på navnet på din Infinity Portal-profil, åbnes et arbejdsområde til opsætning af din profil: du kan ændre det viste brugernavn og telefonnummer, samt ændre grænsefladesproget (engelsk og japansk er i øjeblikket tilgængelige) og vælge konto, som profilen er knyttet til. Derudover kan du ændre din nuværende profiladgangskode og aktivere tofaktorautentificering ved hjælp af Google Authenticator eller Twilio Authy for at få adgang til portalen. Processen med at opsætte to-faktor autentificering er ekstrem enkel – ved hjælp af applikationen scanner du en QR-kode, hvorefter du indtaster det genererede adgangstoken og bekræfter, at 2FA er aktiveret.
Navigations bar
SandBlast Agent Management Platform-administrationskonsollen har 9 sektioner i navigationspanelet, som vist i figuren nedenfor, hvilket giver dig mulighed for at udføre mange opgaver til implementering og administration af agenter samt styring af webkonsolindstillinger. Lad os kort se på hver af sektionerne, og for detaljeret information, klik på spoileren med navnet på den sektion, du er interesseret i. Lad os komme igang:
- OVERSIGT — en sektion bestående af flere dashboards, der viser den aktuelle tilstand for klientmaskiner og agenter fra et sundhedsmæssigt synspunkt (antal beskyttede maskiner, deres operativsystemversioner, agentstatus, fejlmeddelelser osv.) og fra et sikkerhedssynspunkt (data om angrebne og inficerede maskiner, aktive og blokerede angreb, angrebs tidslinje osv.);
OVERSIGT afsnit: detaljer
Dette afsnit består af to underafsnit: Operationel oversigt и SikkerhedsoversigtDen første, Driftsoversigt, viser oplysninger om status for brugermaskiner og agenter: antallet af beskyttede maskiner, brugercomputernes egenskaber (enhedstype - personlig computer/bærbar, operativsystemtype - Windows/MacOS), statistikker for agentinstallation, maskinens sundhedsstatus, oplysninger om antivirusdatabaseopdateringer på computere, samt de installerede SandBlast Agent-versioner og operativsystemversioner, og et område med aktive hændelser (advarsler). SandBlast Agent-klienten kan downloades fra dette underafsnit.
Det andet underafsnit, Sikkerhedsoversigt, viser oplysninger om beskyttelsesniveauet for brugermaskiner og angreb (aktive og blokerede). Denne undersektion giver dig mulighed for at filtrere den viste information efter tid, samt indstille søgeparametre for specifikke objekter. Hver af blokkene i afsnittet Sikkerhedsoversigt kan konfigureres individuelt - du kan tilføje diagrammer af forskellige typer, der viser information i overensstemmelse med det angivne filter. Underafsnittet kan downloades som rapport i Excel/PDF-formater. Du kan også downloade SandBlast Agent-klienten fra dette underafsnit.
- POLITIK — en sektion af navigationspanelet, hvor parametrene for en samlet sikkerhedspolitik (den såkaldte Unified Policy) er konfigureret, samt agentdistributionsregler og globale politikindstillinger er defineret;
POLITIK afsnit: detaljer
Første underafsnit Trusselforebyggelse, giver dig mulighed for at konfigurere sikkerhedspolitikregler, der angiver de objekter, som politikken vil blive anvendt på, samt finjustere driften af blade. Hver regel kan indeholde indstillinger for tre logiske komponenter i politikken til forebyggelse af trusler: Web- og filbeskyttelse, adfærdsbeskyttelse, Analyse og afhjælpning. Web- og filbeskyttelseskomponenten inkluderer indstillinger for URL-filtrering, downloadbeskyttelse, legitimationsbeskyttelse, filbeskyttelse. Behavioral Protection-komponenten består af Anti-Bot, Behavioral Guard & Anti-Ransomware, Anti-Exploit blade. Analyse og afhjælpning komponenten inkluderer automatiseret angrebsanalyse (forensics), afhjælpning og respons.
Der er 3 forudindstillede profiler, der regulerer indstillingerne af sikkerhedskomponenter: Tuning (alle blade er skiftet til registreringstilstand), Anbefalet (nogle blade er i registreringstilstand) og standard (kun URL-filtrering i registreringstilstand). Du kan også tilføje undtagelser i sektionen Threat Prevention (i Exclusions Center) for at omgå politikregler.
Andet underafsnit - Databeskyttelse, inkluderer indstillinger for fuld diskkryptering. Check Point-kryptering og BitLocker-kryptering understøttes for WindowsFile Vault til MacOS. Derudover kan du tilpasse krypteringsindstillinger, godkendelse før opstart og avancerede indstillinger. Windows Godkendelse.
Næste underafsnit - Deployment, som konfigurerer indstillingerne for installation af SandBlast Agent-komponenter på brugermaskiner. I dette underafsnit er det muligt at adskille installationen af forskellige blade for forskellige maskiner og agentversioner ved hjælp af politikregler.
Det sidste underafsnit Globale politikindstillinger, giver dig mulighed for at konfigurere en adgangskode til at fjerne SandBlast Agent fra en brugers maskine, ændre dataparametre til overførsel til Check Point og indstille adgangskodekarakteristika for fuld diskkryptering.
- COMPUTERSTYRING — et navigationspanelområde, der viser detaljerede oplysninger om alle klientmaskiner og giver dig også mulighed for at administrere logiske grupper af computere, udføre tvungne handlinger (Push Operation) og konfigurere diskkryptering (Fuld Disk Encryption Actions);
COMPUTER MANAGEMENT sektion: detaljer
COMPUTERSTYRING sektionen har tre hovedkomponenter: indstillingsikoner, et felt til visning af information om brugermaskiner, filtre til indstilling af displayparametre. Lad os se på indstillingsikonerne i rækkefølge fra venstre mod højre: opdatering af information; uploade en rapport på den valgte maskine i CSV-format; oprettelse af en Directory Scanner for at få oplysninger om brugere, maskiner, grupper fra Active Directory; gruppeledelse (oprettelse/redigering/sletning); oprettelse af en ny virtuel gruppe; tilføjelse af en brugermaskine til en eksisterende virtuel gruppe; tilføjelse af en tvungen handling fra kategorien Push Operation (diskuteret i detaljer i det tilsvarende afsnit); oprettelse af opgaver for at gendanne data fra en krypteret disk, hvis der opstår adgangsproblemer (Full Disk Encryption Actions).
Virtuelle grupper giver dig mulighed for at kombinere brugermaskiner i logiske grupper for fleksibel styring. Disse grupper kan bruges som et alternativ til Active Directory eller i forbindelse med AD. Der er flere virtuelle grupper, der automatisk tildeles brugermaskiner, for eksempel Desktops, Laptops, Servere og andre.
Brugermaskinens visningsfelt kan tilpasses i henhold til filtrene vist i figuren ovenfor. Første filter (af computere ejendom) har mange indbyggede kriterier og giver dig mulighed for at vise brugercomputere baseret på deres egenskaber, maskintilstand eller SandBlast Agent-komponenter. Andet filter (af virtuel gruppe) repræsenterer muligheden for sampling af virtuelle grupper, og den tredje (efter organisationsenhed) - ifølge Active Directory-parametre.
- LOGS — et logdisplaypanel, der viser statistik om mange parametre (blade, hændelseskritikitet, brugermaskiner osv.) og giver detaljerede oplysninger om hver log;
LOGS sektion: detaljer
Dette afsnit giver en praktisk grænseflade til at studere logfiler med mange filtreringsværktøjer. Konventionelt kan der i arbejdsområdet for LOGS-sektionen skelnes mellem 4 komponenter: den øverste søgelinje for forespørgsler og valg af en tidsperiode; venstre panel med statistik for forskellige kriterier; centralt område, der viser alle logfiler og grundlæggende oplysninger om dem; højre panel, der viser detaljerede oplysninger om den valgte log. Muligheden for at vise logfiler uden information om brugeren og maskinen (Skjul identiteter) og eksportere til en Excel-fil understøttes.
- PUSH OPERATIONER — en sektion, hvor opgaver, der udføres på klientmaskinen med magt, oprettes og overvåges (indsamling af logfiler, genstart eller lukning af maskinen, scanning for malware/filer osv.);
PUSH OPERATIONS sektion: detaljer
Dette afsnit har to hovedarbejdsområder: det øverste konfigurerer og viser tvungne opgaver for klientmaskiner, og det nederste viser detaljerede oplysninger om den valgte opgave.
Der er tre kategorier af håndhævelsesoperationer, som hver har flere opgaver: i kategorien Anti-Malware dette er Scan for Malware, Opdater malware-signaturdatabase, Gendan filer fra karantæne; i kategori Retsmedicin og afhjælpning dette er Analyse efter indikator, filafhjælpning; i kategori Agentindstillinger disse er Collect Client Logs, Repair Client, Shutdown Computer, Genstart Computer. Du kan også tildele et nøjagtigt starttidspunkt til hver tvungen opgave og tilføje en kommentar med en beskrivelse.
- ENDPUNTSINDSTILLINGER — en sektion af navigationspanelet, hvor integration med Active Directory er konfigureret, systemmeddelelsesparametre (alarmer), logeksport ved hjælp af Syslog er aktiveret, og det er også muligt at overvåge status for licenser og vælge typen af aktuel politik (bruger) -baseret eller computerbaseret);
Sektionen ENDPOINT INDSTILLINGER: detaljer
Første underafsnit AD scannere, giver dig mulighed for at konfigurere fuld synkronisering af portalen med din organisations Active Directory for at få oplysninger om alle brugere og maskiner. Som standard er tilstanden Organization Distributed Scan aktiveret, hvor maskiner med SandBlast Agent installeret sender data om deres sti til administrationskonsollen for yderligere visning i COMPUTER MANAGEMENT sektionen. Du kan også ændre tilstanden til Full Active Directory Sync, hvor alle data fra Active Directory vil blive trukket ind i administrationskonsollen. For at scanne skal du have en konto med fulde læserettigheder til: Active Directory-roden, alle underordnede beholdere og objekter og beholderen med slettede objekter.
Andet underafsnit er Advarsler, hvor du konfigurerer indstillinger for meddelelser om kritiske situationer, for eksempel om en infektion af en maskine eller problemer med agentimplementering. På højre side af arbejdsområdet er indstillinger konfigureret til 12 foruddefinerede kritiske situationer, inklusive tærskler for aktivering og deaktivering af meddelelser. I dette underafsnit kan du også konfigurere mailserverindstillingerne til at sende meddelelser via mail.
Underafsnit følger Eksporter begivenheder, som giver dig mulighed for at konfigurere overførsel af logfiler i forskellige formater (Syslog, CEF, LEEF, Generic) til din logserver. Denne mulighed giver dig også mulighed for at konfigurere overførslen af logfiler til dit SIEM-system, hvor Syslog-agenten kan startes.
Næste underafsnit - Licenser, som viser licensoplysninger: unik nøgle, licensstatus, antal aktive agenter og kvotestørrelse. Licenser administreres i indstillingerne for GLOBAL SETTINS.
Det sidste underafsnit er Politikdriftstilstand, hvor den aktive politiktype er valgt: Brugerbaseret politik eller Computerbaseret politik. Som det fremgår af beskrivelsen af politikker i nedenstående figur, adskiller de sig i anvendelsen af politikker enten udelukkende i forhold til maskiner, eller politikken anvendes i en blandet ordning i forhold til brugere og maskiner.
- SERVICELEDELSE — et navigationspanelområde, der giver dig mulighed for at administrere Endpoint Management Platform-tjenesten og bruge SmartView til at se detaljerede rapporter om sikkerhedshændelser, og fra dette afsnit kan du downloade installationsfiler til SmartConsole-applikationen og SandBlast Agent-klienten;
SERVICE MANAGEMENT sektion: detaljer
Arbejdsområdet for SERVICE MANAGEMENT sektionen består af tre komponenter: servicestyring og visning af servicedata samt adgang til SmartView (grænsefladen er vist på billedet nedenfor) til analyse af logfiler og rapporter; panel til download af SmartConsole R80.40 - Check Point produktstyringsprogrammer, inklusive SandBlast Agent; panel til download af SandBlast Agent-klienten.
- TRUSSELSJAGT — et afsnit, hvor regler for proaktiv trusselsdetektion er konfigureret (aktuelt betaversion);
sektionen om trusseljagt: detaljer
Threat Hunting-tilgangen giver dig mulighed for proaktivt at søge efter unormal eller ondsindet aktivitet på brugermaskiner med SandBlast Agent installeret - for eksempel opkald til domæner, som Check Point anser for ondsindede, processer lanceret ved hjælp af WMI osv. Det er muligt at bruge forudinstalleret søgning filtre, eller opret egne. Denne teknologi bruger Check Point ThreatCloud, en konstant opdateret tjeneste, der er et globalt netværk af trusselsdetektionssensorer og virksomheder, der sender trusselsinformation til Check Point. Threat Hunting er i øjeblikket under udvikling, og adgang til betaversionen er tilgængelig efter anmodning fra Check Point. Vi vil helt sikkert se nærmere på dette værktøj i en af de næste artikler i serien.
- GLOBALE INDSTILLINGER — en sektion med globale indstillinger for alle dine applikationer på Infinity Portal, som giver dig mulighed for at ændre firmakontoindstillingerne på portalen, administrere administratorkonti og spore deres handlinger, se status for kontrakter for forskellige kontoapplikationer samt administrere API nøgler og eksporter logfiler fra CloudGuard SaaS til din lokale logserver.
GLOBALE INDSTILLINGER sektion: detaljer
Første underafsnit Kontoindstillinger, viser dit kontonavn og konto-id og giver dig også mulighed for at konfigurere tvungen godkendelsesindstillinger og timeout for inaktivitet. Derudover kan du i dette underafsnit angive parametre for SSO-autorisation og ændre kontotypen (klient, partner i kategorien Distributør/Forhandler eller partner i MSSP-kategorien).
Næste underafsnit Brugere, viser information om administratorerne af din portal - kontaktoplysninger, samt dato og tidspunkt for registrering og sidste login til portalen. I samme afsnit kan du tilføje to typer brugere - administrator og skrivebeskyttet bruger.
Underafsnit følger Revision, som giver dig mulighed for at spore portaladministratorers handlinger. Som vist i figuren nedenfor inkluderer administratoraktivitetslogs brugernavn, dato og klokkeslæt for begivenheden, service, kategori og type begivenhed, samt en kort beskrivelse af loggen. For eksempel registrerer loggene nedenfor hændelser med at logge ind på portalen (Login), ændre kontotypen (Konto opdateret) til "Distributor", samt tilføje to-faktor autentificering for adgang til portalen for en bestemt bruger (Bruger opdateret) ).
Fjerde underafsnit er Kontrakter, som viser kontraktoplysninger for dine applikationer i portalen - kontraktudløbsdato, antal kontrakter og kvoteforbrug (hvis nogen). Også i dette underafsnit kan du administrere tilknyttede Check Point-konti fra punktet TILKNYTTEDE KONTI.
Næste underafsnit - API nøgler, som administrerer API-nøgler til alle tilgængelige Infinity Portal-applikationer. Ved generering af en nøgle oprettes et klient-id og en hemmelig nøgle, som senere kan bruges til at få adgang til portalen af tredjepartsapplikationer.
De sidste to underafsnit er Eksporter begivenheder и Partnerindstillinger, hvoraf den første beskriver processen med at eksportere logfiler fra CloudGuard SaaS til din lokale logserver, og den anden giver dig mulighed for at se oplysninger om konti og tilføje nye (kun for konti i partnerkategorien).
SandBlast Agent: installation og fortrolighed med grænsefladen
Agent distributionsmuligheder
Check Point beskriver to måder at distribuere agenter til brugercomputere på: automatisk og manuel. Automatisk implementering — udføres ved at installere den oprindelige klient (Initial Client) ved hjælp af tredjepartsløsninger (f.eks. Active Directory-gruppepolitikker) og derefter automatisk downloade politikkerne til agenten. Manuel implementering — en klient med indbygget trusselforebyggelse og/eller databeskyttelsespolitikker downloades, som derefter distribueres til brugermaskiner ved hjælp af tredjepartsløsninger. Den første metode er mere praktisk, fordi Initial Client-versionen vejer titusinder mindre end den fuldgyldige version med alle politikker, hvilket giver dig mulighed for at distribuere agenten, for eksempel via e-mail som en vedhæftet fil. På den anden side kræver manuel implementering ikke tid til at indlæse politikker og blade i agenten efter installationen - alle komponenter er allerede inkluderet i SandBlast Agent-pakken.
Lad os bruge automatisk agentimplementering. Den oprindelige klientversion kan downloades fra to sektioner af konsollen: Service Management og Overview. Hvis du vælger indstillingen Download Initial Client i afsnittet Service Management, downloades den oprindelige klient. Når du downloader fra oversigtssektionen, er der tre muligheder for at bygge SandBlast Agent: Hurtig installation (initial), Threat Prevention Agent og Data Protection & Threat Prevention. Den anden og tredje mulighed er velegnet til manuel implementering, og den første er en initial klient-build.
Den downloadede EPS.msi-fil overføres til brugerens maskine, hvorefter installationsprocessen skal startes. Efter vellykket installation vises Check Point Endpoint Security-ikonet i systembakken, hvilket indikerer, at agenten er blevet afbrudt fra administrationsserveren.
På dette tidspunkt forsøger klienten automatisk at oprette forbindelse til cloud management-serveren ved hjælp af den indbyggede adresse. Dette er en ret hurtig proces, og efter et par minutter indikerer en ny advarsel, at en agentinstallation er planlagt. Denne meddelelse angiver, at agenten har oprettet forbindelse til cloud-administrationsserveren.
Hvis du højreklikker på Endpoint Security-ikonet, kan du få mere detaljerede oplysninger om forbindelsen, der er etableret med administrationsserveren, såsom navnet på administrationsserveren, som klienten har forbindelse til, og den aktuelle forbindelsesstatus.
Efter vellykket forbindelse til administrationsserveren begynder processen med at downloade de nødvendige komponenter (i overensstemmelse med sikkerhedspolitikken) til brugermaskinen. Administratoren kan overvåge status for agentinstallationsprocessen i Computer Management-sektionen på webadministrationskonsollen - efter at have tilsluttet brugermaskinen til cloud-administrationsserveren, ændres dens status i Computer Management-sektionen fra Planlagt til Downloading. Efter at have downloadet og kontrolleret alle komponenter, tilbydes brugeren at installere agenten med det samme, eller udskyde installationsprocessen. Hvis agenten ikke er installeret af brugeren inden for 2 dage fra starten af processen, vil agenten blive installeret med magt, hvilket er angivet i vinduet, der beder installationen om at begynde.
Når agentinstallationen begynder, skifter brugermaskinen i sektionen Computeradministration på administrationskonsollen til statussen Deployer. Når agentinstallationsprocessen er fuldført, kan du åbne dens grænseflade ved at højreklikke på Endpoint Security-ikonet og vælge Vis Oversigt.
Efter installationen anbefales det at klikke på "Opdater nu" for at starte processen med at opdatere politikker og databaser på agenten. Den første opdatering af Anti-Malware-databasen kan tage noget tid. Så snart alle databaser er opdateret, starter en automatisk første scanning af systemet. I dette øjeblik skal klientmaskinen i administrationskonsollen vises i fuldført-status, hvilket indikerer den succesfulde installation af agenten.
Lad os begynde at udforske agentgrænsefladen. I nederste venstre hjørne vises agentstatus (Online/Disconnected) og navnet på din cloud management server - i vores tilfælde er status "Online" og navnet på administrationsserveren er "matssolution". Den aktuelle version af agenten er angivet i nederste højre hjørne - vi har version E83.11 (83.11.2702) installeret. Agentnavigationspanelet består af flere sektioner:
- Oversigt — hovedafsnittet, der viser oplysninger om status for alle blade og overholdelse af brugerens computer med sikkerhedspolitikken. Også fra dette afsnit kan du "dykke" ned i hver blade for at få mere detaljeret information om status og sikkerhedshændelser;
- Opdatere nu — giver dig mulighed for at starte processen med at kontrollere relevansen af de gældende sikkerhedspolitikker og databaser på agenten;
- Scan systemet nu — starter processen med at scanne systemet for tilstedeværelsen af skadelig software eller filer;
- Avanceret — avancerede agentindstillinger, der giver dig mulighed for at se den installerede politik, se eller indsamle logfiler og også bruge brugerens computer som en implementeringsagent.
Da der ikke blev foretaget ændringer i den oprindelige politik, indeholder agenten i øjeblikket kun politikker for trusselsforebyggelse med standardværdier. Indholdet af den indledende trusselsforebyggelsespolitik vil blive diskuteret mere detaljeret i vores næste artikel i serien.
Konklusion
Det er tid til at opsummere det udførte arbejde: I denne artikel satte vi os detaljeret ind i grænsefladen til SandBlast Agent Management Platforms webadministrationskonsol, installerede agenten på brugermaskinen og studerede dens grænseflade.
I vores næste artikel i serien vil vi studere standardpolitikken for forebyggelse af trusler og teste den for at imødegå de mest populære angreb. Vi vil også oprette vores egne politikregler for at øge sikkerhedsniveauet på brugermaskinen.
. For ikke at gå glip af de næste publikationer om emnet SandBlast Agent Management Platform, følg opdateringerne på vores sociale netværk (, , , , ).
Kilde: www.habr.com
