{"id":92913,"date":"2020-09-01T13:42:56","date_gmt":"2020-09-01T11:42:56","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/5-check-point-sandblast-agent-management-platform-logs-reports-forensics-threat-hunting"},"modified":"2020-09-01T13:42:56","modified_gmt":"2020-09-01T11:42:56","slug":"5-check-point-sandblast-agent-management-platform-logs-reports-forensics-threat-hunting","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/5-check-point-sandblast-agent-management-platform-logs-reports-forensics-threat-hunting","title":{"rendered":"5. Check Point SandBlast Agent Management Platform. Logs, rapporter & forensics. Trusseljagt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"5.
\n
\nVelkommen til den femte artikel i serien om Check Point SandBlast Agent Management Platform. Du kan l\u00e6se de tidligere artikler ved at f\u00f8lge det relevante link: den f\u00f8rste<\/a><\/noindex>, anden<\/a><\/noindex>, tredje<\/a><\/noindex>, den fjerde<\/a><\/noindex>. I dag vil vi se p\u00e5 overv\u00e5gningsmulighederne i Management Platform, is\u00e6r arbejdet med logfiler, interaktive dashboards (View) og rapporter. Vi vil ogs\u00e5 ber\u00f8re emnet Threat Hunting for at identificere aktuelle trusler og unormale aktiviteter p\u00e5 brugerens maskine.
\n<\/a><\/noindex><\/p>\n

Logs<\/h2>\n

\nDen prim\u00e6re kilde til information til overv\u00e5gning af sikkerhedsh\u00e6ndelser er sektionen Logs, som viser detaljeret information om hver h\u00e6ndelse samt giver mulighed for at bruge praktiske filtre til at pr\u00e6cisere s\u00f8gekriterierne. For eksempel kan du ved at h\u00f8jreklikke p\u00e5 en parameter (Blade, Action, Severity osv.) for en interessant log filtrere denne parameter som Filter: \u00abParameter\u00bb<\/i> eller Filter Out: \u00abParameter\u00bb<\/i>. For parameteren Source kan muligheden IP Tools v\u00e6lges, hvor du kan k\u00f8re ping til denne IP-adresse\/navn eller udf\u00f8re nslookup for at f\u00e5 IP-adressen for kilden efter navn.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

I sektionen Logs er der et underafsnit Statistics til filtrering af h\u00e6ndelser, hvor statistikken for alle parametre vises: et tidsdiagram med antallet af logfiler samt procentandele for hver parameter. Fra dette underafsnit kan du nemt filtrere logs uden at skulle bruge s\u00f8gefeltet og skrive filtreringsudtryk \u2014 det er blot n\u00f8dvendigt at v\u00e6lge de interessante parametre, og den nye liste over logs vises med det samme.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Detaljerede oplysninger om hver log er tilg\u00e6ngelige i h\u00f8jre panel under sektionen Logs, men det er mere praktisk at \u00e5bne loggen med et dobbeltklik for at analysere indholdet. Nedenfor er et eksempel p\u00e5 en log (billedet er klikbart), hvor detaljerede oplysninger om udl\u00f8sningen af handlingen Prevent for TrueBlade mod en inficeret fil \".docx\" vises. Loggen har flere underafsnit, der viser detaljer om sikkerhedsh\u00e6ndelsen: de politikker og beskyttelser, der blev udl\u00f8st, forensics-detaljer, samt information om klienten og traffiken. S\u00e6rlig opm\u00e6rksomhed b\u00f8r rettes mod de tilg\u00e6ngelige rapporter fra loggen \u2014 Threat Emulation Report og Forensics Report. Disse rapporter kan ogs\u00e5 \u00e5bnes fra SandBlast Agent-klienten.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Threat Emulation Report<\/h3>\n

\n\"5.<\/a><\/noindex><\/p>\n

Ved brug af Threat Emulation-bladet vises der et link til den detaljerede rapport om emuleringens resultater \u2014 Threat Emulation Report \u2014 i den relevante log efter emuleringen i Check Point's cloud. Indholdet af en s\u00e5dan rapport er beskrevet i vores artikel om analyse af ondsindet software ved hj\u00e6lp af Check Point SandBlast Network forensics.<\/a><\/noindex>Det skal bem\u00e6rkes, at denne rapport er interaktiv og giver mulighed for at \"dykke ned\" i detaljerne i hver sektion. Det er ogs\u00e5 muligt at se optagelsen af emuleringsprocessen p\u00e5 en virtuel maskine, downloade den originale ondsindede fil eller f\u00e5 dens hash, samt kontakte Check Point Incident Response Team.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Forensics Report<\/h3>\n

\nFor n\u00e6sten alle sikkerhedsh\u00e6ndelser genereres der en Forensics Report, som indeholder detaljerede oplysninger om den ondsindede fil: dens egenskaber, handlinger, indgangspunktet i systemet og indvirkningen p\u00e5 vigtige virksomhedsmidler. Rapportens struktur blev grundigt behandlet i vores artikel om analyse af ondsindet software ved hj\u00e6lp af Check Point SandBlast Agent.<\/a><\/noindex>En s\u00e5dan rapport er en vigtig informationskilde ved efterforskning af sikkerhedsh\u00e6ndelser, og om n\u00f8dvendigt kan indholdet af rapporten sendes direkte til Check Point Incident Response Team.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

SmartView<\/h2>\n

\nCheck Point SmartView er et praktisk v\u00e6rkt\u00f8j til opbygning og visning af dynamiske dashboards (View) og rapporter i PDF-format. Fra SmartView kan man ogs\u00e5 se brugerlogs og revisionsh\u00e6ndelser for administratorer. Nedenfor er de mest nyttige rapporter og dashboards til arbejde med SandBlast Agent.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Rapporter i SmartView er dokumenter med statistisk information om h\u00e6ndelser over en bestemt tidsperiode. Der underst\u00f8ttes eksport af rapporter i PDF-format til den maskine, hvor SmartView er \u00e5bent, samt regelm\u00e6ssig eksport til PDF\/Excel til administratorens e-mail. Desuden underst\u00f8ttes import\/eksport af rapportskabeloner, oprettelse af egne rapporter og muligheden for at skjule brugernavne i rapporterne. Nedenfor er et eksempel p\u00e5 en indbygget rapport om Threat Prevention.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Dashboards (View) i SmartView giver administratoren adgang til logs for den relevante h\u00e6ndelse \u2014 du skal blot dobbeltklikke p\u00e5 det \u00f8nskede objekt, hvad enten det er en s\u00f8jle i diagrammet eller navnet p\u00e5 en ondsindet fil. Ligesom med rapporterne kan du oprette dine egne dashboards og skjule brugerdata. Dashboards underst\u00f8tter ogs\u00e5 import\/eksport af skabeloner, regelm\u00e6ssig eksport til PDF\/Excel til administratorens e-mail og automatisk opdatering af data for overv\u00e5gning af sikkerhedsh\u00e6ndelser i realtid.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Yderligere overv\u00e5gningsafsnit<\/h2>\n

\nBeskrivelsen af overv\u00e5gningsv\u00e6rkt\u00f8jerne i Management Platform vil v\u00e6re ufuldst\u00e6ndig uden at n\u00e6vne afsnittene \u00d8versigt, Computer Management, Endpoint Settings og Push Operations. Disse afsnit er beskrevet i detaljer i den anden artikel<\/a><\/noindex>, men det vil v\u00e6re nyttigt at se p\u00e5 deres muligheder for at l\u00f8se overv\u00e5gningsopgaver. Lad os starte med \u00d8versigt, der best\u00e5r af to underafsnit \u2014 Operationel Oversigt og Sikkerhedsoversigt, som er dashboards med information om tilstanden p\u00e5 de beskyttede brugercomputer og sikkerhedsh\u00e6ndelser. Som ved interaktion med ethvert andet dashboard tillader underafsnittene Operationel Oversigt og Sikkerhedsoversigt ved dobbeltklik p\u00e5 den \u00f8nskede parameter at komme ind i afsnittet Computer Management med det valgte filter (f.eks. \u201eDesktops\u201c eller \u201ePre-Boot Status: Enabled\u201c), eller til afsnittet Logs for en specifik h\u00e6ndelse. Underafsnittet Sikkerhedsoversigt er et dashboard \u201eCyber Attack View \u2013 Endpoint\u201c, som kan tilpasses \u201eefter behov\u201c og indstilles til automatisk opdatering af data.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Fra afsnittet Computer Management kan du overv\u00e5ge tilstanden af agenten p\u00e5 brugercomputerne, status for opdateringen af Anti-Malware-databasen, stadier af disk-kryptering og meget mere. Alle data opdateres automatisk, og for hver af filtrene vises procentdelen af passende brugercomputere. Data om computere kan ogs\u00e5 eksporteres i CSV-format.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

En vigtig aspekt ved overv\u00e5gning af sikkerheden p\u00e5 arbejdsstationer er indstillingen af meddelelser om kritiske h\u00e6ndelser (Alerts) og eksport af logs (Export Events) til opbevaring p\u00e5 virksomhedens log-server. Begge indstillinger udf\u00f8res i afsnittet Endpoint Settings, og for Alerts<\/i> Der er mulighed for at tilslutte en mailserver til at sende meddelelser om begivenheder til administratoren og konfigurere t\u00e6rskelv\u00e6rdier for aktivering\/deaktivering af meddelelser afh\u00e6ngigt af procentdelen\/antal enheder, der opfylder begivenhedskriterierne. Eksport\u00e9r Begivenheder<\/i> giver mulighed for at konfigurere videresendelse af logfiler fra Management Platform til virksomhedens logserver til yderligere behandling. SYSLOG, CEF, LEEF, SPLUNK formater underst\u00f8ttes, TCP\/UDP protokoller, enhver SIEM-l\u00f8sning med en fungerende syslog-agent, brug af TLS\/SSL kryptering og syslog-klientautentificering.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

For dybdeg\u00e5ende analyse af begivenheder p\u00e5 klienten eller i tilf\u00e6lde af henvendelse til teknisk support, kan logs fra SandBlast Agent hurtigt samles ved hj\u00e6lp af en tvungen operation i sektionen Push Operations. Det er muligt at konfigurere videresendelse af det dannede logarkiv til Check Point-servere eller til virksomhedens servere, og logarkivet gemmes ogs\u00e5 p\u00e5 brugerens maskine i mappen C:UsersusernameCPInfo. Det underst\u00f8ttes at starte logindsamlingsprocessen p\u00e5 et angivet tidspunkt og mulighed for at uds\u00e6tte operationen af brugeren.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Trusseljagt<\/h2>\n

\nTrusseljagtsmetoden bruges til proaktivt at s\u00f8ge efter ondsindede handlinger og unormal adf\u00e6rd i systemet til videre unders\u00f8gelse af potentielle sikkerhedsh\u00e6ndelser. Trusseljagtssektionen i Management Platform muligg\u00f8r s\u00f8gning efter begivenheder med angivne parametre i dataene fra brugerens maskine.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Trusselsjagtv\u00e6rkt\u00f8jet har flere forudindstillede foresp\u00f8rgsler, for eksempel til klassificering af ondsindede dom\u00e6ner eller filer, sporing af sj\u00e6ldne anmodninger til bestemte IP-adresser (i forhold til den samlede statistik). Struktur af foresp\u00f8rgslen best\u00e5r af tre parametre: en indikator<\/i> (netv\u00e6rksprotokol, proces-id, filtype osv.), en operat\u00f8r<\/i> (\"er\", \"er ikke\", \"inkluderer\", \"en af\" osv.) og foresp\u00f8rgselskroppen<\/i>. I foresp\u00f8rgselskroppen kan der anvendes regul\u00e6re udtryk, og det underst\u00f8ttes at anvende flere filtre samtidigt i s\u00f8gelinjen.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Efter at have valgt filteret og afsluttet behandlingen af anmodningen, bliver der givet adgang til alle relevante h\u00e6ndelser, med mulighed for at se detaljerede oplysninger om h\u00e6ndelsen, s\u00e6tte anmodningsobjektet i karant\u00e6ne eller generere en detaljeret rapport Forensics Report med beskrivelse af h\u00e6ndelsen. I \u00f8jeblikket er dette v\u00e6rkt\u00f8j i beta-version, og der planl\u00e6gges i fremtiden udvidelse af funktionss\u00e6ttet, f.eks. tilf\u00f8jelse af h\u00e6ndelsesinformation i form af Mitre Att&ck-matrixen.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Konklusion<\/h3>\n

\nLad os opsummere: I denne artikel har vi set p\u00e5 mulighederne for overv\u00e5gning af sikkerhedsh\u00e6ndelser i SandBlast Agent Management Platform, unders\u00f8gt det nye v\u00e6rkt\u00f8j til proaktivt at opdage ondsindede handlinger og anomalier p\u00e5 brugermaskiner \u2013 Threat Hunting. Den n\u00e6ste artikel vil v\u00e6re den afsluttende i denne cyklus, hvor vi vil se p\u00e5 de mest almindelige sp\u00f8rgsm\u00e5l vedr\u00f8rende Management Platform og fort\u00e6lle om mulighederne for test af dette produkt.<\/p>\n

Et stort udvalg af materialer om Check Point fra TS Solution<\/a><\/noindex>. For ikke at g\u00e5 glip af de n\u00e6ste publikationer om emnet SandBlast Agent Management Platform \u2014 hold \u00f8je med opdateringerne p\u00e5 vores sociale medier (Telegram<\/a><\/noindex>, Facebook<\/a><\/noindex>, VK<\/a><\/noindex>, TS Solution Blog<\/a><\/noindex>, Yandex.Zen<\/a><\/noindex>).
\n
Kilde: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0414\u043e\u0431\u0440\u043e \u043f\u043e\u0436\u0430\u043b\u043e\u0432\u0430\u0442\u044c \u043d\u0430 \u043f\u044f\u0442\u0443\u044e \u0441\u0442\u0430\u0442\u044c\u044e \u0446\u0438\u043a\u043b\u0430 \u043e \u0440\u0435\u0448\u0435\u043d\u0438\u0438 Check Point SandBlast Agent Management Platform. \u0421 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0438\u043c\u0438 \u0441\u0442\u0430\u0442\u044c\u044f\u043c\u0438 \u043c\u043e\u0436\u043d\u043e \u043e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u0442\u044c\u0441\u044f, \u043f\u0435\u0440\u0435\u0439\u0434\u044f \u043f\u043e \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u0439 \u0441\u0441\u044b\u043b\u043a\u0435: \u043f\u0435\u0440\u0432\u0430\u044f, \u0432\u0442\u043e\u0440\u0430\u044f, \u0442\u0440\u0435\u0442\u044c\u044f, \u0447\u0435\u0442\u0432\u0451\u0440\u0442\u0430\u044f. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0430 \u0432 Management Platform, \u0430 \u0438\u043c\u0435\u043d\u043d\u043e \u0440\u0430\u0431\u043e\u0442\u0443 \u0441 \u043b\u043e\u0433\u0430\u043c\u0438, \u0438\u043d\u0442\u0435\u0440\u0430\u043a\u0442\u0438\u0432\u043d\u044b\u043c\u0438 \u0434\u0430\u0448\u0431\u043e\u0440\u0434\u0430\u043c\u0438 (View) \u0438 \u043e\u0442\u0447\u0451\u0442\u0430\u043c\u0438. \u0422\u0430\u043a\u0436\u0435 \u0437\u0430\u0442\u0440\u043e\u043d\u0435\u043c \u0442\u0435\u043c\u0443 Threat Hunting \u0434\u043b\u044f \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u044f \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0433\u0440\u043e\u0437 \u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":92914,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-92913","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd475. Check Point SandBlast Agent Management Platform. Logs, Rapporter & Forensics. Threat Hunting | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/5-check-point-sandblast-agent-management-platform-logs-reports-forensics-threat-hunting","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd475. Check Point SandBlast Agent Management Platform. Logs, Reports & Forensics. Threat Hunting | ProHoster","og:url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/5-check-point-sandblast-agent-management-platform-logs-reports-forensics-threat-hunting","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-01T11:42:56+00:00","article:modified_time":"2020-09-01T11:42:56+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"92913","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:58:25","updated":"2022-09-30 07:34:54","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/92913","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=92913"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/92913\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media\/92914"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=92913"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=92913"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=92913"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}