Velkommen til den tredje artikel i rækken om den nye cloud-baserede kontroltjeneste til beskyttelse af personlige computere – Check Point SandBlast Agent Management Platform. Jeg vil minde om, at vi blev introduceret til Infinity Portal og oprettede en cloud-tjeneste til styring af Endpoint Management Service. I undersøgte vi webkonsolens grænseflade og installerede agenten med standardpolitikken på brugerens maskine. I dag vil vi se nærmere på indholdet af standard sikkerhedspolitikken for Trusselsforebyggelse og teste dens effektivitet imod populære angreb.
Standard Trusselsforebyggelsespolitik: beskrivelse
Billedet ovenfor viser den standardregel for Trusselsforebyggelse, der som standard gælder for hele organisationen (alle installerede agenter) og omfatter tre logiske grupper af beskyttelseskomponenter: Web & Files Protection, Behavioral Protection og Analysis & Remediation. Lad os se nærmere på hver af grupperne.
Web & Files Protection
URL Filtrering
URL Filtrering giver mulighed for at kontrollere brugernes adgang til webressourcer ved hjælp af forudindstillede 5 kategorier af websteder. Hver af de 5 kategorier indeholder et par mere specifikke underkategorier, hvilket gør det muligt at f.eks. blokere adgangen til underkategorien Spil og tillade adgang til underkategorien Instant Messaging, der begge indgår i en kategori om Produktivitetstab. URL-adresser, der hører til specifikke underkategorier, fastlægges af Check Point. Man kan tjekke, hvilken kategori en bestemt URL tilhører, eller anmode om en omklassificering af kategorien på en særlig ressource. .
Som handling kan man indstille Prevent, Detect eller Off. Derudover tilføjes der automatisk en indstilling, der gør det muligt for brugerne at omgå advarslen fra URL Filtrering og gå direkte til den interessante ressource, når handlingen Detect vælges. Ved handlingen Prevent kan denne indstilling fjernes, og brugeren vil ikke have adgang til den forbudte hjemmeside. En praktisk måde at kontrollere forbudte ressourcer på er ved at indstille en Block List, hvor man kan angive domæner, IP-adresser eller uploade en .csv-fil med en liste over domæner til at blokere.
I den standartpolitik for URL Filtering er handlingen indstillet til Detect, og der er valgt én kategori — Security, som vil blive brugt til at registrere hændelser. Denne kategori inkluderer forskellige anonymizere, sider med kritisk/høj/mellem risiko, phishing-websteder, spam og meget mere. Brugerne vil dog stadig have adgang til ressourcen takket være indstillingen «Tillad bruger at afvise URL Filtering-advarslen og få adgang til webstedet».
Download (web) Beskyttelse
Emulation & Extraction gør det muligt at emulere de downloadede filer i Check Points cloud-sandkasse og rense dokumenter «on the fly», ved at fjerne potentielt ondsindet indhold eller konvertere dokumentet til PDF. Der er tre driftsformer:
- Forebygge — giver mulighed for at få en kopi af det rensede dokument før den endelige afgørelse om emuleringen, eller vente på, at emuleringen er afsluttet, og downloade den originale fil med det samme;
- Registrere — udfører emulering i baggrunden, uden at forhindre brugeren i at få den originale fil, uanset afgørelsen;
- Fra — enhver fil er tilladt at downloade uden at gennemgå emulering og rengøring af potentielt ondsindede komponenter.
Der er også mulighed for at vælge en handling for filer, der ikke understøttes af Check Points emulerings- og rengøringsværktøjer — man kan tillade eller forbyde download af alle ikke-understøttede filer.
I den standartpolitik for Download Protection er handlingen indstillet til Forebygge med mulighed for at få en renset kopi af det originale dokument, der er fri for potentielt skadelig indhold, samt tilladelse til at downloade filer, som ikke understøttes af emulerings- og rengøringsværktøjerne.
Credential Protection
Komponenten Credential Protection beskytter brugernes legitimationsoplysninger og inkluderer to dele: Zero Phishing og Password Protection. Zero Phishing beskytter brugerne mod adgang til phishing-ressourcer, og Password Protection informerer brugeren om, at brugen af virksomhedens loginoplysninger uden for det beskyttede domæne ikke er tilladt. Zero Phishing kan være indstillet til Prevent, Detect eller Off. Når handlingen er indstillet til Prevent, er der mulighed for at lade brugerne ignorere advarslen om en potentiel phishing-ressource og få adgang til ressourcen, eller forbyde denne mulighed og altid blokere adgangen. Ved Detect har brugerne altid muligheden for at ignorere advarslen og få adgang til ressourcen. Password Protection gør det muligt at vælge de beskyttede domæner, som der vil blive tjekket passwords for, og en af tre handlinger: Detect & Alert (brugerinformation), Detect eller Off.
Standardpolitikken for Credential Protection foreskriver Prevent for alle phishing-ressourcer, så brugerne ikke kan få adgang til potentielt skadelige websteder. Derudover er der beskyttelse mod brugen af virksomhedens passwords, men uden de angivne domæner vil denne funktion ikke fungere.
Files Protection
Files Protection har ansvaret for at beskytte filer, der er gemt på brugerens maskine, og omfatter to komponenter: Anti-Malware og Files Threat Emulation. Anti-Malware er et værktøj, der regelmæssigt scanner alle bruger- og systemfiler ved hjælp af signaturanalyse. I indstillingerne for denne komponent kan man angive parametre for regelmæssig scanning eller tilfældige scanningstidspunkter, perioden for signaturopdateringer samt muligheden for, at brugerne kan annullere den planlagte scanning. Files Threat Emulation muliggør emulering af filer gemt på brugerens maskine i Check Points cloud sandbox, men denne sikkerhedsfunktion fungerer kun i Detect-tilstand.
I standardpolitikken for Files Protection er der inkluderet beskyttelse ved hjælp af Anti-Malware og detektion af skadelige filer ved hjælp af Files Threat Emulation. Regelmæssig scanning udføres hver måned, og signaturer på brugerens maskine opdateres hver 4. time. Der er indstillet mulighed for, at brugerne kan annullere den planlagte scanning, men ikke senere end 30 dage efter den sidste vellykkede scanning.
Behavioral Protection
Anti-Bot, Behavioral Guard & Anti-Ransomware, Anti-Exploit
Gruppen af beskyttelseskomponenter Behavioral Protection omfatter tre elementer: Anti-Bot, Behavioral Guard & Anti-Ransomware og Anti-Exploit. Anti-Bot muliggør overvågning og blokering af C&C-forbindelser ved hjælp af den konstant opdaterede Check Point ThreatCloud-database. Behavioral Guard & Anti-Ransomware overvåger konstant aktiviteten (filer, processer, netværksinteraktioner) på brugerens maskine og gør det muligt at forhindre angreb fra ransomware i de tidlige faser. Desuden kan denne beskyttelseskomponent genskabe filer, der allerede er blevet krypteret af ondsindet software. Filene gendannes i deres oprindelige mapper, eller der kan angives en specifik sti, hvor alle genskabte filer vil blive gemt. Anti-Exploit muliggør opdagelse af zero-day angreb. For alle komponenter af Behavioral Protection understøttes der tre driftsmetoder: Prevent, Detect og Off.
Den standardpolitik, der gælder for Behavioral Protection, foreskriver Prevent for komponenterne Anti-Bot og Behavioral Guard & Anti-Ransomware, med gendannelse af krypterede filer i deres oprindelige mapper. Komponentet Anti-Exploit er deaktiveret og bruges ikke.
Analyse & Afhjælpning
Automatiseret Angrebsanalyse (Retsteknik), Afhjælpning & Respons
Til analyse og efterforskning af sikkerhedshændelser er der to sikkerhedskomponenter tilgængelige: Automatiseret Angrebsanalyse (Retsteknik) og Afhjælpning & Respons. Automatiseret Angrebsanalyse (Retsteknik) muliggør generering af rapporter om resultaterne af angrebsafvisningen med detaljerede beskrivelser — helt ned til analysen af det ondsindede programs udførelsesproces på brugerens maskine. Der er også mulighed for at bruge funktionen Threat Hunting, som giver mulighed for proaktivt at søge efter anomalier og potentielt skadelig adfærd ved hjælp af forudindstillede eller brugerdefinerede filtre. Afhjælpning & Respons muliggør konfiguration af genskabelses- og karantæneindstillinger for filer efter et angreb: der reguleres interaktionen mellem brugere og karantænefiler, og der er mulighed for at opbevare filer i karantæne i en angivet mappe af administratoren.
Den standardpolitik, der gælder for Analyse & Afhjælpning, inkluderer beskyttelse, som omfatter automatiske handlinger til genopretning (afslutning af processer, gendannelse af filer osv.), og der er også aktiv mulighed for at sende filer til karantæne, hvor brugerne kun kan slette filer fra karantæne.
Standard politik for trusselsforebyggelse: testning
Check Point CheckMe Endpoint
Den hurtigste og nemmeste måde at teste sikkerheden på brugerens maskine mod de mest populære typer angreb er at udføre en test ved hjælp af ressourcen , som udfører en række typiske angreb af forskellige kategorier og giver en rapport baseret på testresultaterne. I dette tilfælde blev der anvendt en endpoint-test, hvor en eksekverbar fil downloades og køres på computeren, hvorefter processen med at kontrollere påbegyndes.
Under kontrol af sikkerheden på arbejdscomputeren signalerer SandBlast Agent identificerede og afværgede angreb på brugerens computer, for eksempel: Anti-Bot-bladet rapporterer om opdaget infektion, Anti-Malware-bladet opdagede og fjernede den skadelige fil CP_AM.exe, og Threat Emulation-bladet fastslog efter emuleringen, at filen CP_ZD.exe er skadelig.
Ved testen med CheckMe Endpoint har vi følgende resultater: ud af 6 kategorier af angreb klarede den standardiserede politik for trusselsforebyggelse kun én kategori — Browser Exploit. Dette skyldes, at den standardiserede politik for trusselsforebyggelse ikke inkluderer Anti-Exploit-bladet. Det skal bemærkes, at uden den installerede SandBlast Agent bestod brugerens computer kun testen for kategorien Ransomware.
KnowBe4 RanSim
For at teste Anti-Ransomware-bladets funktion kan der anvendes en gratis løsning , der kører en række tests på brugerens maskine: 18 scenarier for infektion med ransomware og 1 scenarie for infektion med cryptojacker. Det skal bemærkes, at tilstedeværelsen af mange blade i den standardiserede politik (Threat Emulation, Anti-Malware, Behavioral Guard) med Prevent-handling gør det umuligt at køre denne test korrekt. Men selv med et reduceret sikkerhedsniveau (Threat Emulation i Off-tilstand) viser test af Anti-Ransomware-bladet høje resultater: 18 ud af 19 tests blev bestået (1 kunne ikke udføres).
Skadelige filer og dokumenter
En demonstrativ test blev gennemført for at kontrollere virkningerne af forskellige blade i standard politik for trusselforebyggelse ved hjælp af ondsindede filer af populære formater, der blev downloadet til brugerens maskine. I denne test deltog 66 filer i formaterne PDF, DOC, DOCX, EXE, XLS, XLSX, CAB, RTF. Testresultaterne viste, at SandBlast Agent var i stand til at blokere 64 ondsindede filer ud af 66. De inficerede filer blev fjernet efter download, eller renset for skadelig indhold ved hjælp af Threat Extraction og modtaget af brugeren.
Anbefalinger til forbedring af politikken for trusselforebyggelse
1. URL Filtering
Det første, der skal rettes i standardpolitikken for at øge sikkerheden på kundesystemet, er at ændre blade URL Filtering til Prevent og angive de relevante kategorier for blokering. I vores tilfælde blev alle kategorier valgt bortset fra General Use, da de omfatter de fleste ressourcer, som brugerne på arbejdspladsen skal have begrænset adgangen til. Desuden bør der for sådanne websteder fjernes muligheden for, at brugerne kan ignorere advarselsvinduet ved at fjerne fluebenet fra indstillingen "Allow user to dismiss the URL Filtering alert and access the website."
2. Download Protection
Det andet parameter, som bør overvejes, er mulighed for, at brugere kan downloade filer, som ikke understøttes af Check Points emulering. Da vi i dette afsnit ser på forbedringer af den standard politik for trusselforebyggelse med henblik på sikkerhed, vil den bedste løsning være at forbyde download af ikke-understøttede filer.
3. Files Protection
Det er også nødvendigt at være opmærksom på indstillingerne for filbeskyttelse — især mulighederne for periodisk scanning og muligheden for, at brugerne kan udsætte den tvungne scanning. I dette tilfælde bør der tages hensyn til brugerens arbejdstid, og en god løsning set fra sikkerheds- og ydeevnesynspunkt er at indstille tidspunkterne for den tvungne scanning til hver dag, hvor tidspunktet vælges tilfældigt (fra kl. 00:00 til 08:00), og brugeren kan udsætte scanningen maksimalt i en uge.
4. Anti-Exploit
En væsentlig mangel ved den standardiserede Threat Prevention-politik er den deaktiverede Anti-Exploit-blade. Det anbefales at aktivere denne blade med handlingen Prevent for at beskytte arbejdsstationen mod angreb, der bruger exploits. Med denne rettelse gennemføres den gentagne CheckMe-test med succes uden at opdage sårbarheder på brugerens arbejdsstation.
Konklusion
Lad os opsummere: I denne artikel har vi blevet bekendt med komponenterne i den standardiserede Threat Prevention-politik, testet denne politik ved hjælp af forskellige metoder og værktøjer, samt givet anbefalinger til forbedring af indstillingerne i den standardiserede politik for at øge sikkerhedsniveauet på brugerens maskine. I den næste artikel i rækken vil vi gå videre til studiet af Data Protection-politikken og gennemgå indstillingerne for Global Policy Settings.
. For ikke at gå glip af de næste publikationer om emnet SandBlast Agent Management Platform — hold øje med opdateringerne på vores sociale medier (, , , , ).
Kilde: habr.com
