2. Check Point SandBlast Agent Management Platform. Die Benutzeroberfläche der Webkonsole zur Verwaltung und Installation des Agenten.

Wir setzen unser Studium der neuen Cloud-Plattform Check Point Management Platform zur Verwaltung der Sicherheitssoftware für Benutzer-PCs – SandBlast Agent – fort. Im vorherigen Artikel Wir haben die Hauptkomponenten von SandBlast Agent beschrieben, uns mit der Architektur von Check Point Infinity vertraut gemacht und die Anwendung SandBlast Agent Management Platform im Infinity Portal registriert. Heute werden wir die Benutzeroberfläche des Agent-Management-Systems detailliert untersuchen – dieser Artikel wird ein praktischer Leitfaden für alle Funktionen und Möglichkeiten der Cloud-Konsole sein. Und als Vorbereitung auf den nächsten Artikel werden wir SandBlast Agent installieren und seine Benutzeroberfläche kennenlernen.

Struktur der Cloud-Management-Konsole Management Platform

Die Benutzeroberfläche der SandBlast Agent Management Platform kann grob in drei Komponenten unterteilt werden:

• Kontrollpanel – befindet sich oben in der Benutzeroberfläche und ermöglicht es, grundlegende Administrationsaufgaben auszuführen: Konten zu verwalten, den technischen Support von Check Point zu kontaktieren und das Administratorprofil einzurichten;

• Navigationsleiste – befindet sich links und ermöglicht das Navigieren zwischen den Hauptkomponenten des Dashboards, wie dem Abschnitt zur Richtlinieneinstellung, dem Anzeigen von Protokollen usw.;

• Arbeitsbereich – nimmt den größten Teil der Management-Konsole ein und ermöglicht die Anpassung der Abschnitte der Navigationsleiste, das Anzeigen grafischer Informationen (Protokolle, Berichte) und die Konfiguration globaler Systemparameter.

Betrachten wir jedes Element des Systems SandBlast Agent Management Platform genauer. Die Arbeitsbereiche werden für alle Komponenten der Navigationsleiste detailliert beschrieben, aber zunächst beginnen wir mit den Möglichkeiten des Dashboards.

Kontrollpanel

Das Dashboard umfasst 6 Komponenten, die wir von links nach rechts betrachten. Zuerst ist die Schaltfläche „Menu“ zu sehen, bei deren Klick Ihre aktuellen Portalservices angezeigt werden, und die es ermöglicht, neue Services aus den Kategorien Cloud Protection, Network Protection und Endpoint Protection zu Ihrem Konto hinzuzufügen. Danach folgt der Name der aktuellen Anwendung, mit der Sie arbeiten – in diesem Fall ist es die SandBlast Agent Management Platform. Durch Klicken auf das Anwendungssymbol können Sie jederzeit zum Abschnitt „OVERVIEW“ der Navigationsleiste gelangen. Das dritte Element ist das Kontoverwaltungssymbol, das ein schnelles Wechseln zwischen den Konten der Unternehmen ermöglicht, für die Sie Administrator sind.

Die vierte Komponente des Dashboards ist die Hilfe-Schaltfläche, die es ermöglicht, direkt aus der Konsole mit dem technischen Support von Check Point in Kontakt zu treten und auf Webseite zuzugreifen, um den Status der Cloud- und Web-Ressourcen von Check Point zu überwachen sowie Zugriff auf die "Administratorhandbücher" für die SandBlast Agent Management Platform und das Infinity Portal zu erhalten. Das nächste Element ist Ihr Profil im Infinity Portal, auf das Sie klicken können, um in die Profileinstellungen zu gelangen oder sich von Ihrem aktuellen Profil abzumelden. Schließlich ist das letzte Element des Dashboards eine Schaltfläche, um zur Webseite zu gelangen Infinity Portal.

Profileinstellungen für das Infinity Portal
Wenn Sie auf den Namen Ihres Infinity Portal-Profils klicken, öffnet sich der Arbeitsbereich zur Anpassung des Profils: Sie können den angezeigten Benutzernamen und die Telefonnummer ändern, die Sprache der Benutzeroberfläche (derzeit stehen Englisch und Japanisch zur Verfügung) ändern und das Konto auswählen, mit dem das Profil verknüpft ist. Darüber hinaus können Sie das aktuelle Passwort des Profils ändern und die Zwei-Faktor-Authentifizierung mit Google Authenticator oder Twilio Authy aktivieren, um auf das Portal zuzugreifen. Der Prozess zur Einrichtung der Zwei-Faktor-Authentifizierung ist äußerst einfach: Mit der App wird der QR-Code gescannt, danach wird der generierte Zugriffstoken eingegeben und die Aktivierung der 2FA bestätigt.

Navigationsleiste

Die Verwaltungsoberfläche der SandBlast Agent Management Platform besteht aus 9 Abschnitten im Navigationsbereich, wie in der Abbildung unten dargestellt, die es ermöglichen, viele Aufgaben im Bereich Bereitstellung und Verwaltung von Agenten auszuführen sowie die Einstellungen der Web-Konsole zu verwalten. Lassen Sie uns jeden Abschnitt kurz betrachten, und um detaillierte Informationen zu erhalten, klicken Sie auf die eingeklappte Ansicht des betreffenden Abschnitts. Lassen Sie uns anfangen:

• ÜBERSICHT ist ein Abschnitt, der aus mehreren Dashboards besteht, die den aktuellen Zustand der Client-Rechner und Agenten aus der Perspektive der Funktionsfähigkeit (Anzahl der geschützten Maschinen, deren Betriebssystemversionen, Status der Agenten, Fehlermeldungen usw.) und aus der Perspektive der Sicherheit (Daten zu angegriffenen und infizierten Maschinen, aktiven und blockierten Angriffen, Zeitachse der Angriffe usw.) anzeigt;

Abschnitt ÜBERSICHT: im Detail
Dieser Abschnitt besteht aus zwei Unterabschnitten: Betriebsübersicht und Sicherheitsübersicht. Im ersten Abschnitt, Operational Overview, wird die Information über den Zustand der Benutzergeräte und Agenten angezeigt: Anzahl der geschützten Geräte, Merkmale der Benutzercomputer (Gerätetyp - Personal Computer/Laptop, Betriebssystemtyp - Windows/MacOS), Statistiken zum Installationsprozess der Agenten, „Gesundheitszustand“ der Geräte, Informationen über die Aktualisierung der Antiviren-Datenbanken auf den Computern sowie Versionen des installierten SandBlast Agent und der verwendeten Betriebssystemversionen und der Bereich mit aktiven Ereignissen (Alerts). Aus diesem Abschnitt kann der SandBlast Agent-Client heruntergeladen werden.

Der zweite Abschnitt, Security Overview, zeigt Informationen über das Schutzniveau der Benutzergeräte und über Angriffe (aktive und blockierte) an. Dieser Abschnitt ermöglicht es, die angezeigten Informationen nach Zeit zu filtern sowie die Suchparameter für bestimmte Objekte festzulegen. Jeder der Abschnitte im Bereich Security Overview kann individuell angepasst werden - es können Diagramme verschiedener Typen hinzugefügt werden, die Informationen entsprechend dem festgelegten Filter anzeigen. Der Abschnitt kann als Bericht im Excel/PDF-Format exportiert werden. Aus diesem Abschnitt kann auch der SandBlast Agent-Client heruntergeladen werden.

• POLICY — Abschnitt des Navigationspanels, in dem die Parameter der einheitlichen Sicherheitsrichtlinie (sogenannte Unified Policy) konfiguriert werden sowie die Verbreitungsregeln der Agenten und globale Richtlinieneinstellungen definiert werden;

Abschnitt POLICY: im Detail
Erster Unterabschnitt, Bedrohungsschutz, ermöglicht die Konfiguration der Sicherheitsrichtlinienregeln unter Angabe der Objekte, auf die die Richtlinie angewendet wird, sowie eine detaillierte Anpassung der Funktionsweise der Blades. Jede Regel kann Einstellungen für drei logische Komponenten der Threat Prevention-Richtlinie enthalten: Web & Files Protection, Behavioral Protection, Analysis & Remediation. Die Komponente Web & Files Protection umfasst Einstellungen für URL Filtering, Download Protection, Credential Protection, Files Protection. Die Komponente Behavioral Protection besteht aus den Blades Anti-Bot, Behavioral Guard & Anti-Ransomware, Anti-Exploit. Die Komponente Analysis & Remediation umfasst Automated attack analysis (forensics), Remediation & Response.
Es gibt 3 vordefinierte Profile, die die Sicherheitseinstellungen steuern: Tuning (alle Blades in den Modus Detect versetzt), Recommended (einige Blades im Modus Detect) und Default (nur URL Filtering im Modus Detect). Im Bereich Bedrohungsprävention können außerdem Ausnahmen im Exclusions Center hinzugefügt werden, um Richtlinien zu umgehen.

Der zweite Unterabschnitt — Datenschutz, beinhaltet die Einstellungen zur vollständigen Festplattenverschlüsselung (Full Disk Encryption). Es werden Check Point-Verschlüsselung und BitLocker-Verschlüsselung für Windows sowie File Vault für MacOS unterstützt. Darüber hinaus können zusätzliche Verschlüsselungsoptionen, Pre-Boot-Authentifizierung und erweiterte Windows-Authentifizierungseinstellungen konfiguriert werden.

Der nächste Unterabschnitt — Deployment, in dem die Installationsparameter für SandBlast Agent-Komponenten auf den Benutzerrechnern konfiguriert werden. In diesem Unterabschnitt haben Sie die Möglichkeit, die Installation unterschiedlicher Blades für verschiedene Maschinen und Agent-Versionen mit Richtlinienregeln zu trennen.

Der letzte Unterabschnitt, Globale Richtlinieneinstellungen, ermöglicht die Konfiguration eines Passworts zur Deinstallation von SandBlast Agent vom Benutzerrechner, das Ändern von Datenübertragungseinstellungen an Check Point sowie die Festlegung von Kennzeicheneinstellungen für die vollständige Festplattenverschlüsselung.

• COMPUTERVERWALTUNG — Bereich der Navigationsleiste, der detaillierte Informationen zu allen Clientmaschinen anzeigt und es ermöglicht, logische Gruppen von Computern zu verwalten, erzwungene Aktionen durchzuführen (Push Operation) und die Festplattenverschlüsselung (Full Disk Encryption Actions) zu konfigurieren;

Abschnitt COMPUTERVERWALTUNG: im Detail

Im Abschnitt COMPUTERVERWALTUNG gibt es drei Hauptbestandteile: Einstellungssymbole, ein Informationsanzeigefeld für Benutzerrechner und Filter zur Anpassung der Anzeigeeinstellungen. Lassen Sie uns die Einstellungssymbole der Reihe nach von links nach rechts betrachten: Informationen aktualisieren; Bericht über den ausgewählten Rechner im CSV-Format exportieren; Directory Scanner erstellen, um Informationen über Benutzer, Maschinen und Gruppen aus Active Directory zu erhalten; Gruppen verwalten (Erstellen/Bearbeiten/Löschen); eine neue virtuelle Gruppe erstellen; einen Benutzerrechner zu einer bestehenden virtuellen Gruppe hinzufügen; eine erzwungene Aktion aus der Kategorie Push Operation hinzufügen (im entsprechenden Abschnitt detailliert behandelt); Aufgaben zur Datenwiederherstellung von verschlüsselten Festplatten bei Zugriffsproblemen erstellen (Full Disk Encryption Actions).
Virtuelle Gruppen ermöglichen die Zusammenfassung von Benutzermaschinen in logische Gruppen für eine flexible Verwaltung. Diese Gruppen können als Alternativen zu Active Directory verwendet werden oder gemeinsam mit AD. Es gibt mehrere virtuelle Gruppen, die automatisch Benutzermaschinen zugewiesen werden, wie Desktops, Laptops, Server und andere.

Das Feld zur Anzeige von Benutzermaschinen kann gemäß den oben gezeigten Filtern angepasst werden. Der erste Filter (nach Computer-Eigenschaft) verfügt über zahlreiche integrierte Kriterien und erlaubt die Anzeige von Benutzercomputern basierend auf ihren Eigenschaften, dem Zustand der Maschine oder den Komponenten des SandBlast Agenten. Der zweite Filter (nach virtueller Gruppe) bietet die Möglichkeit, nach virtuellen Gruppen zu filtern, und der dritte (nach organisatorischer Einheit) nach Active Directory-Parametern.

• LOGS — ein Dashboard zur Anzeige von Protokollen, das Statistiken zu verschiedenen Parametern (Blades, Ereigniskritikalität, Benutzermaschinen usw.) zeigt und detaillierte Informationen zu jedem Protokoll bereitstellt;

Abschnitt LOGS: im Detail
Dieser Abschnitt bietet eine benutzerfreundliche Oberfläche zur Untersuchung von Protokollen mit zahlreichen Filterwerkzeugen. Bedingt kann man im Arbeitsbereich des Abschnitts LOGS vier Komponenten unterscheiden: die obere Suchleiste für Anfragen und die Auswahl des Zeitraums; die linke Statistik-Paneele mit verschiedenen Kriterien; der zentrale Bereich mit der Anzeige aller Protokolle und grundlegender Informationen dazu; das rechte Panel mit der detaillierten Ausgabe von Informationen zum ausgewählten Protokoll. Es besteht die Möglichkeit, Protokolle ohne Benutzer- und Maschineninformationen (Identitäten ausblenden) auszugeben und in eine Excel-Datei zu exportieren.

• PUSH-OPERATIONEN — ein Abschnitt, in dem Aufgaben erstellt und verfolgt werden, die auf dem Client-Computer zwangsweise ausgeführt werden (Protokollsammlung, Neustart oder Herunterfahren der Maschine, Malware-Scan usw.);

Abschnitt PUSH-OPERATIONEN: im Detail
In diesem Abschnitt gibt es zwei Hauptarbeitsbereiche: oben werden die zwangsweisen Aufgaben für die Clientmaschinen konfiguriert und angezeigt, unten wird detaillierte Information zur ausgewählten Aufgabe ausgegeben.

Es gibt drei Kategorien von Zwangsoperationen, in denen jeweils mehrere Aufgaben definiert sind: in der Kategorie Anti-Malware sind dies Malware-Scan, Aktualisierung der Malware-Signatur-Datenbank, Wiederherstellung von Dateien aus Quarantäne; in der Kategorie Forensik und Bereinigung das ist Analysieren nach Indikator, Datei-Remediation; in der Kategorie Agenteneinstellungen das ist Protokollierung der Client-Protokolle, Reparatur des Clients, Herunterfahren des Computers, Neustart des Computers. Auch jeder erzwungenen Aufgabe kann eine genaue Startzeit zugewiesen und ein Kommentar mit einer Beschreibung hinzugefügt werden.

• ENDPOINT-EINSTELLUNGEN — Abschnitt des Navigationspanels, in dem die Integration mit Active Directory, die Einstellungen für systemmeldungen (Alarme) konfiguriert, der Export von Protokollen über Syslog aktiviert und die Möglichkeit zur Überwachung des Lizenzstatus sowie zur Auswahl der Art der aktiven Richtlinie (benutzerbasiert oder computerbasiert) vorhanden ist;

Abschnitt ENDPOINT-EINSTELLUNGEN: im Detail
Erster Unterabschnitt, AD-Scanner, ermöglicht die vollständige Synchronisierung des Portals mit dem Active Directory Ihrer Organisation, um Informationen über alle Benutzer und Maschinen zu erhalten. Standardmäßig ist der Modus „Organisation Distributed Scan“ aktiviert, bei dem Maschinen mit installiertem SandBlast-Agent Daten über ihren Pfad an die Management-Konsole senden, um sie im Abschnitt COMPUTER VERWALTUNG anzuzeigen. Außerdem kann der Modus auf „Vollständige Active Directory-Synchronisierung“ geändert werden, bei dem alle Daten aus Active Directory in die Management-Konsole übernommen werden. Für eine erfolgreiche Scannung ist ein Konto mit vollen Leserechten erforderlich für: Active Directory-Stamm, alle untergeordneten Container und Objekte, Container für gelöschte Objekte.

Der zweite Unterabschnitt ist Alerts, in dem die Parameter für Benachrichtigungen über kritische Situationen wie z.B. über eine Infektion des Geräts oder Probleme mit der Bereitstellung des Agents konfiguriert werden. Im rechten Bereich der Arbeitsoberfläche werden die Parameter für 12 voreingestellte kritische Situationen festgelegt, einschließlich der Grenzwerte für die Aktivierung und Deaktivierung von Benachrichtigungen. In diesem Unterabschnitt können außerdem die Parameter des Mailservers für den Versand von Benachrichtigungen per E-Mail konfiguriert werden.

Im Folgenden kommt der Unterabschnitt Export Events, der die Übertragung von Protokollen verschiedener Formate (Syslog, CEF, LEEF, Generic) an Ihren Protokollserver ermöglicht. Diese Option ermöglicht es auch, die Protokolle an Ihr SIEM-System zu übermitteln, auf dem der Syslog-Agent ausgeführt werden kann.

Der nächste Unterabschnitt — Lizenzen, in dem die Informationen über Lizenzen angezeigt werden: eindeutiger Schlüssel, Lizenzstatus, Anzahl aktiver Agenten und Größe des Kontingents. Die Verwaltung der Lizenzen erfolgt in den Einstellungen GLOBAL SETTINGS.

Der letzte Unterabschnitt ist Betriebsmodus der Richtlinie, in dem der aktive Typ der Richtlinie ausgewählt wird: Users based Policy oder Computers based Policy. Wie aus der Beschreibung der Richtlinien im Bild unten ersichtlich ist, unterscheiden sich diese durch die Anwendung der Richtlinien entweder ausschließlich auf Maschinen oder die Richtlinie wird in einem Mischschema auf Benutzer und Maschinen angewendet.

• SERVICE MANAGEMENT — Bereich des Navigationsfeldes, der die Verwaltung des Dienstes Endpoint Management Platform ermöglicht und SmartView zur Anzeige detaillierter Berichte über Sicherheitsereignisse verwendet; aus diesem Abschnitt können auch Installationsdateien für die Anwendung SmartConsole und den Client SandBlast Agent heruntergeladen werden;

Abschnitt SERVICE MANAGEMENT: im Detail

Der Arbeitsbereich des Abschnitts SERVICE MANAGEMENT besteht aus drei Komponenten: Verwaltung des Dienstes und Anzeige von Dienstdaten sowie Zugriff auf SmartView (die Benutzeroberfläche ist im Bild unten gezeigt) zur Analyse von Protokollen und Berichten; ein Bereich zum Herunterladen von SmartConsole R80.40 — der Verwaltungssoftware von Check Point, einschließlich SandBlast Agent; ein Bereich zum Herunterladen des Clients SandBlast Agent.

• THREAT HUNTING — Abschnitt, in dem Regeln für die proaktive Bedrohungssuche eingestellt werden (derzeit Beta-Version);

Abschnitt THREAT HUNTING: im Detail
Der Ansatz Threat Hunting ermöglicht die proaktive Suche nach anomaler oder schadhafter Aktivität auf Benutzer-Maschinen mit installiertem SandBlast Agent — zum Beispiel Zugriffe auf von Check Point als schädlich erachtete Domains, Prozesse, die über WMI gestartet wurden, usw. Es besteht die Möglichkeit, vordefinierte Filter zur Suche zu verwenden oder eigene zu erstellen. Diese Technologie nutzt Check Point ThreatCloud — einen ständig aktualisierten Dienst, der ein globales Netzwerk aus Bedrohungserkennungssensoren und Unternehmen darstellt, die Informationen über Bedrohungen an Check Point senden. Momentan befindet sich Threat Hunting in der Überarbeitung und der Zugang zur Beta-Version wird auf Anfrage bei Check Point bereitgestellt. Wir werden dieses Tool in einem der nächsten Artikel des Zyklus ausführlich behandeln.

• GLOBAL SETTINGS — Bereich der globalen Einstellungen für alle Ihre Anwendungen im Infinity Portal, der es ermöglicht, die Kontoeinstellungen des Unternehmens im Portal zu ändern, Administratorenkonten zu verwalten und deren Aktivitäten zu verfolgen, den Status von Verträgen für verschiedene Anwendungen des Kontos einzusehen sowie API-Schlüssel zu verwalten und Protokolle aus CloudGuard SaaS auf Ihren lokalen Log-Server zu exportieren.

Abschnitt GLOBAL SETTINGS: im Detail
Erster Unterabschnitt, Kontoeinstellungen, zeigt den Namen Ihres Kontos und die Kontoinformationen an und ermöglicht die Konfiguration der Einstellungen zur zwangsweisen Authentifizierung und der Timeout-Einstellungen. Darüber hinaus können in diesem Unterabschnitt Einstellungen für die SSO-Authentifizierung festgelegt und der Kontotyp (Kunde, Partner der Kategorie Distributor/Reseller oder Partner der Kategorie MSSP) geändert werden.

Der nächste Unterabschnitt, Users, zeigt Informationen über die Administratoren Ihres Portals an — Kontaktdaten sowie Datum und Uhrzeit der Registrierung und des letzten Zugriffs auf das Portal. In diesem Abschnitt können auch Benutzer zweier Typen hinzugefügt werden — Administrator und Read-only-Benutzer.

Im Folgenden kommt der Unterabschnitt Audits, der es ermöglicht, die Aktivitäten der Portaladministratoren zu überwachen. Wie im folgenden Bild gezeigt, umfassen die Protokolle der Administratoraktivitäten den Benutzernamen, das Datum und die Uhrzeit des Ereignisses, den Service, die Kategorie und den Typ des Ereignisses sowie eine kurze Beschreibung des Protokolls. Beispielsweise wurde in den untenstehenden Protokollen ein Login-Ereignis, eine Änderung des Kontotyps (Account Updated) auf "Distributor" sowie die Hinzufügung der Zwei-Faktor-Authentifizierung für den Zugriff auf das Portal für einen bestimmten Benutzer (User Updated) erfasst.

Der vierte Unterabschnitt ist Verträge, der Informationen über die Verträge für Ihre Anwendungen im Portal anzeigt — das Vertragsablaufdatum, die Anzahl der Verträge und die Nutzung des Kontingents (sofern vorhanden). In diesem Unterabschnitt können auch die verbundenen Check Point-Konten aus dem Punkt ASSOCIATED ACCOUNTS verwaltet werden.

Der nächste Unterabschnitt — API-Schlüssel, in dem die Verwaltung der API-Schlüssel für alle verfügbaren Anwendungen im Infinity Portal erfolgt. Bei der Erstellung eines Schlüssels werden Client-ID und Secret Key generiert, die anschließend von Drittanwendungen zum Zugriff auf das Portal verwendet werden können.

Die letzten beiden Unterabschnitte — Export Events und Partner-Einstellungen, von denen der erste den Prozess des Exports von Protokollen von CloudGuard SaaS auf Ihren lokalen Protokollserver beschreibt, während der zweite es ermöglicht, Informationen zu Konten einzusehen und neue hinzuzufügen (nur für Konten der Kategorie Partner).

SandBlast Agent: Installation und Einführung in die Benutzeroberfläche

Verbreitungsoptionen für Agenten
Check Point beschreibt zwei Methoden zur Verbreitung von Agenten auf Benutzermaschinen: automatisch und manuell. Automatische Bereitstellung — erfolgt durch die Installation des Initial Clients mit Hilfe externer Lösungen (z. B. Gruppenrichtlinien in Active Directory) und das anschließende automatische Laden von Richtlinien auf den Agenten. Manuelle Bereitstellung — der Client mit integrierten Richtlinien zur Bedrohungsverhütung und/oder zum Datenschutz wird heruntergeladen, der dann mithilfe externer Lösungen auf die Benutzermaschinen verteilt wird. Der erste Weg ist praktischer, da die Version des Initial Clients um ein Vielfaches kleiner ist als die vollständige Version mit allen Richtlinien, was es ermöglicht, den Agenten beispielsweise per E-Mail als Anhang zu versenden. Auf der anderen Seite erfordert die manuelle Bereitstellung keine Zeit für den Prozess des Ladens von Richtlinien und Blades in den Agenten nach der Installation – alle Komponenten sind bereits im Paket SandBlast Agent enthalten.

Wir verwenden die automatische Bereitstellung des Agenten. Die Version des Initial Clients kann aus zwei Bereichen der Konsole heruntergeladen werden: Service Management und Übersicht. Im Bereich Service Management wird der Initial Client heruntergeladen, wenn die Option Download Initial Client ausgewählt wird. Beim Laden aus dem Bereich Übersicht gibt es drei Varianten des SandBlast Agent: Schnelle Installation (Initial), Agent zur Bedrohungsverhütung und Datenschutz & Bedrohungsverhütung. Die zweite und dritte Variante eignen sich für die manuelle Bereitstellung, während die erste die Sammlung des Initial Clients darstellt.

Die heruntergeladene Datei EPS.msi wird auf die Benutzermaschine übertragen, danach muss der Installationsprozess gestartet werden. Nach erfolgreicher Installation erscheint das Symbol für Check Point Endpoint Security in der Taskleiste, das signalisiert, dass der Agent von der Verwaltungsserver getrennt ist.

Zu diesem Zeitpunkt versucht der Client automatisch, sich mit dem Cloud-Management-Server über die eingebaute Adresse zu verbinden. Dies ist ein relativ schneller Prozess, und nach ein paar Minuten zeigt eine neue Benachrichtigung die geplante Installation des Agents an. Diese Nachricht bezeugt die erfolgreiche Verbindung des Agents mit dem Cloud-Management-Server.

Wenn Sie mit der rechten Maustaste auf das Symbol der Endpoint Security klicken, können Sie detailliertere Informationen über die Verbindung zum Management-Server erhalten, zum Beispiel den Namen des Management-Servers, mit dem sich der Client verbunden hat, und den aktuellen Verbindungsstatus.

Nach erfolgreicher Verbindung mit dem Management-Server beginnt der Prozess des Herunterladens der erforderlichen Komponenten (gemäß der Sicherheitsrichtlinie) auf den Benutzer-PC. Der Administrator kann den Status des Installationsprozesses des Agents im Bereich Computerverwaltung der Web-Konsole verfolgen. Nach erfolgreicher Verbindung des Benutzer-PCs mit dem Cloud-Management-Server ändert sich sein Status im Bereich Computerverwaltung von Geplant auf Herunterladen. Nach dem Herunterladen und Überprüfen aller Komponenten wird dem Benutzer angeboten, den Agenten sofort zu installieren oder den Installationsprozess zu verschieben. Falls der Agent vom Benutzer innerhalb von 2 Tagen nach Beginn des Prozesses nicht installiert wird, erfolgt die Installation des Agents zwangsweise, was in dem Fenster zur Initiierung der Installation angezeigt wird.

Nach Beginn der Agenteninstallation wechselt der Benutzer-PC im Bereich Computerverwaltung der Verwaltungs-Konsole in den Status Bereitstellen. Nach Abschluss des Installationsprozesses des Agents kann dessen Benutzeroberfläche geöffnet werden, indem Sie mit der rechten Maustaste auf das Symbol der Endpoint Security klicken und die Option Übersicht anzeigen wählen.

Nach der Installation wird empfohlen, auf „Jetzt aktualisieren“ zu klicken, um den Prozess zum Aktualisieren der Richtlinien und Datenbanken des Agents zu initiieren. Das erste Update der Anti-Malware-Datenbank kann einige Zeit in Anspruch nehmen. Sobald alle Datenbanken aktualisiert sind, startet ein automatischer erster Systemscan. Zu diesem Zeitpunkt sollte der PC des Clients in der Verwaltungs-Konsole im Status Abgeschlossen angezeigt werden, was auf die erfolgreiche Installation des Agents hinweist.

Lassen Sie uns mit der Untersuchung des Agenten-Interfaces beginnen. In der unteren linken Ecke wird der Status des Agents (Online/Disconnected) und der Name Ihres Cloud-Management-Servers angezeigt – in unserem Fall ist der Status „Online“ und der Name des Management-Servers „matssolution“. In der unteren rechten Ecke wird die aktuelle Version des Agents angegeben – wir haben die Version E83.11 (83.11.2702) installiert. Das Navigationspanel des Agents besteht aus mehreren Abschnitten:

• Übersicht — der Hauptabschnitt, der Informationen über den Status aller Blades und die Übereinstimmung des Benutzercomputers mit der Sicherheitsrichtlinie anzeigt. Außerdem kann man aus diesem Abschnitt in jedes Blade weitergehen, um detailliertere Informationen über den Status und sicherheitsrelevante Ereignisse zu erhalten;

• Update jetzt — ermöglicht es, den Prozess zur Überprüfung der Aktualität der auf dem Agenten gültigen Sicherheitsrichtlinien und Datenbanken zu starten;

• System jetzt scannen — initiiert den Prozess des Scannens des Systems auf bösartige Software oder Dateien;

• Advanced — erweiterte Einstellungen des Agents, die es ermöglichen, die festgelegte Richtlinie anzusehen, Protokolle einzusehen oder zu sammeln sowie den Benutzercomputer als Deployment Agent zu nutzen.

Da keine Änderungen an der ursprünglichen Richtlinie vorgenommen wurden, enthält der Agent derzeit nur die Blades der Threat Prevention-Richtlinie mit Standardwerten. Eine detaillierte Betrachtung des Inhalts der ursprünglichen Threat Prevention-Richtlinie wird in unserem nächsten Artikel der Reihe behandelt.

Fazit

Es ist Zeit, die Ergebnisse der geleisteten Arbeit zusammenzufassen: In diesem Artikel haben wir uns ausführlich mit der Benutzeroberfläche des Web-Konsolenmanagements der SandBlast Agent Management Platform vertraut gemacht, den Agenten auf dem Benutzerrechner installiert und dessen Interface untersucht.

In unserem nächsten Artikel der Reihe werden wir die Standardrichtlinie zur Bedrohungsverhinderung untersuchen und sie auf ihre Wirksamkeit gegen die häufigsten Angriffe testen. Außerdem werden wir eigene Richtlinien erstellen, um die Sicherheit des Benutzerrechners zu erhöhen.

Große Sammlung von Materialien zu Check Point von TS Solution. Um keine weiteren Veröffentlichungen zum Thema SandBlast Agent Management Platform zu verpassen, folgen Sie uns auf unseren sozialen Medien (Telegram, Facebook, VK, TS Solution Blog, Yandex.Zen).

Quelle: habr.com