Willkommen zu einem neuen Zyklus von Artikeln, diesmal zum Thema Vorfalluntersuchung, insbesondere zur Analyse von Malware mit der Forensik von Check Point. Zuvor hatten wir veröffentlicht zur Arbeit mit Smart Event, aber diesmal werden wir die Forensikberichte zu spezifischen Ereignissen in verschiedenen Produkten von Check Point betrachten:
Warum ist die Forensik bei verhinderte Vorfälle wichtig? Es scheint, dass es gut ist, einen Virus zu stoppen, warum also damit befassen? Wie die Praxis zeigt, ist es wünschenswert, einen Angriff nicht nur zu blockieren, sondern auch zu verstehen, wie er funktioniert: Wo war der Einstiegspunkt, welche Schwachstelle wurde ausgenutzt, welche Prozesse waren beteiligt, wird die Registrierung und das Dateisystem betroffen, welche Virenfamilie, welches potenzielle Schadensniveau usw. Diese und andere nützliche Daten können aus umfassenden Forensikberichten von Check Point erhalten werden (sowohl in Text- als auch in grafischer Form). Solch einen Bericht manuell zu erstellen, ist sehr schwierig. Diese Daten können dann helfen, erforderliche Maßnahmen zu ergreifen und die Möglichkeit ähnlicher Angriffe in der Zukunft auszuschließen. Heute werden wir den Forensikbericht von Check Point SandBlast Network betrachten.
SandBlast Network
Die Nutzung von Sandboxes zur Stärkung des Netzwerkschutzes ist längst zum Standard geworden und ist ebenso ein unverzichtbarer Bestandteil wie ein IPS. Bei Check Point wird die Funktionalität der Sandbox von dem Blade Threat Emulation bereitgestellt, das Teil der Technologien von SandBlast ist (dort gibt es auch Threat Extraction). Wir hatten bereits zuvor schon für die Version Gaia 77.30 veröffentlicht (sehr empfehlenswert zu sehen, wenn Sie nicht verstehen, worum es gerade geht). Architektonisch hat sich seitdem grundsätzlich nichts geändert. Wenn Sie ein Check Point Gateway an Ihrem Netzwerkperimeter haben, können Sie zwei Integrationsmöglichkeiten mit der Sandbox nutzen:
- SandBlast Local Appliance – es wird ein zusätzlicher SandBlast-Appliance in Ihr Netzwerk installiert, an den die Dateien zur Analyse gesendet werden.
- SandBlast Cloud – die Dateien werden zur Analyse an die Cloud von Check Point gesendet.
Die Sandbox kann als die letzte Verteidigungslinie am Rand des Netzwerks betrachtet werden. Sie wird nur nach der Analyse durch klassische Mittel - Antivirus, IPS - aktiviert. Und wenn solche traditionellen signaturbasierten Mittel kaum Analytik liefern, kann die Sandbox im Detail “erklären”, warum eine Datei blockiert wurde und was genau ihr schädliches Verhalten ist. Einen solchen Forensik-Bericht erhält man sowohl von einer lokalen als auch von einer Cloud-Sandbox.
Check Point Forensics Bericht
Angenommen, Sie sind als IT-Sicherheitsspezialist zur Arbeit gekommen und haben das Dashboard in SmartConsole geöffnet. Sofort sehen Sie die Vorfälle der letzten 24 Stunden, wobei Ihre Aufmerksamkeit auf den Ereignissen der Bedrohungseinschätzung liegt - die gefährlichsten Angriffe, die durch die signaturbasierte Analyse nicht blockiert wurden.
Sie können in diese Ereignisse eintauchen (drill down) und alle Protokolle des Threat Emulation Blades einsehen.
Danach können die Protokolle zusätzlich nach dem Schweregrad der Bedrohungen (Severity) und dem Vertrauen in den Alarm (Confidence Level) gefiltert werden:
Durch das Öffnen des für uns interessanten Ereignisses können Sie allgemeine Informationen (src, dst, severity, sender usw.) einsehen:
Und hier können Sie den Abschnitt bemerken Forensik mit dem verfügbaren Zusammenfassung Bericht. Wenn Sie darauf klicken, öffnet sich eine detaillierte Analyse der bösartigen Software als interaktive HTML-Seite:
(Das ist ein Teil der Seite. )
Von diesem Bericht aus können wir das Original der bösartigen Software (in einem passwortgeschützten Archiv) herunterladen oder sofort Kontakt mit dem Reaktionsteam von Check Point aufnehmen.
Weiter unten sehen Sie eine ansprechende Animation, die prozentual darstellt, wie unser Exemplar mit bereits bekanntem schädlichen Code übereinstimmt (einschließlich des Codes selbst und der Makros). Diese Analyse wird unter Anwendung von maschinellem Lernen in der Check Point Threat Cloud bereitgestellt.
Anschließend können Sie sehen, welche speziellen Aktivitäten in der Sandbox den Schluss über die Schädlichkeit dieser Datei ermöglicht haben. In diesem Fall sehen wir die Verwendung von Umgehungstechniken und den Versuch, Verschlüsselungstrojaner herunterzuladen:
Es fällt auf, dass die Emulation in diesem Fall in zwei Systemen (Win 7, Win XP) und verschiedenen Softwareversionen (Office, Adobe) durchgeführt wurde. Unten gibt es ein Video (Slideshow) mit dem Prozess der Öffnung dieser Datei in der Sandbox:
Beispielvideo:
Am Ende können wir detailliert sehen, wie sich der Angriff entwickelt hat. Entweder in tabellarischer Form oder grafisch:
Hier können wir diese Informationen im RAW-Format und in einer pcap-Datei herunterladen, um eine detaillierte Analyse des erzeugten Datenverkehrs in Wireshark durchzuführen:
Fazit
Mit diesen Informationen kann der Schutz Ihres Netzwerks erheblich verstärkt werden. Blockieren Sie Hosts zur Verbreitung von Viren, schließen Sie genutzte Schwachstellen und unterbinden Sie mögliche Rückmeldungen mit C&C und vieles mehr. Vernachlässigen Sie diese Analyse nicht.
In den nächsten Artikeln werden wir ähnlich die Berichte von SandBlast Agent, SandBlast Mobile und CloudGiard SaaS untersuchen. Also bleiben Sie dran für Updates (, , , )!
Quelle: habr.com
