Willkommen zum dritten Artikel der Reihe über die neue Cloud-Verwaltungskonsole zum Schutz von Personalcomputern – Check Point SandBlast Agent Management Platform. Ich erinnere daran, dass wir uns mit dem Infinity Portal vertraut gemacht haben und einen Cloud-Service zur Verwaltung von Endpunktagenten, den Endpoint Management Service, erstellt haben. In haben wir die Benutzeroberfläche der Web-Konsole untersucht und einen Agenten mit der Standardrichtlinie auf einem Benutzergerät installiert. Heute betrachten wir den Inhalt der Standardrichtlinie zur Sicherheitsbedrohungsprävention und testen ihre Effektivität im Umgang mit gängigen Angriffen.
Standardrichtlinie zur Bedrohungsprävention: Beschreibung
Die obige Abbildung zeigt die Standardregel der Richtlinie zur Bedrohungsprävention, die standardmäßig auf die gesamte Organisation (alle installierten Agenten) angewendet wird und drei logische Gruppen von Schutzkomponenten umfasst: Web- & Dateien-Schutz, Verhaltensschutz und Analyse & Wiederherstellung. Betrachten wir jede Gruppe genauer.
Web- & Dateien-Schutz
URL-Filterung
URL-Filterung ermöglicht es, den Zugriff der Benutzer auf Webressourcen zu kontrollieren, wobei fünf vordefinierte Kategorien von Websites verwendet werden. Jede der fünf Kategorien enthält mehrere spezifischere Unterkategorien, sodass beispielsweise der Zugriff auf die Unterkategorie Spiele blockiert und der Zugriff auf die Unterkategorie Instant Messaging, die zur Kategorie Produktivitätsverlust gehört, erlaubt werden kann. Die URLs, die bestimmten Unterkategorien zugeordnet sind, werden von Check Point definiert. Um die Kategorie zu überprüfen, der eine bestimmte URL zugeordnet ist, oder eine Neuzuordnung der Kategorie anzufordern, kann eine spezielle Ressource genutzt werden. .
Als Aktion kann man Prevent, Detect oder Off konfigurieren. Bei der Auswahl der Aktion Detect wird automatisch eine Einstellung hinzugefügt, die es Benutzern ermöglicht, die Warnung der URL-Filterung zu überspringen und die gewünschte Ressource aufzurufen. Im Fall der Aktion Prevent kann diese Einstellung entfernt werden, wodurch der Benutzer keinen Zugriff auf die gesperrte Website erhält. Eine bequeme Möglichkeit zur Kontrolle von gesperrten Ressourcen ist die Einrichtung einer Sperrliste, auf der Domains, IP-Adressen oder eine .csv-Datei mit einer Liste von zu sperrenden Domains angegeben werden können.
In der Standardpolitik für URL-Filtering ist die Aktion "Detect" eingestellt und eine Kategorie — "Security" — wurde ausgewählt, für die Ereignisse erkannt werden. Diese Kategorie umfasst verschiedene Anonymizer, Websites mit Risikoebenen von Critical/High/Medium, Phishing-Websites, Spam und vieles mehr. Dabei können die Benutzer dank der Einstellung "Allow user to dismiss the URL Filtering alert and access the website" weiterhin auf die Ressource zugreifen.
Download (Web) Schutz
Emulation & Extraction ermöglicht die Emulation heruntergeladener Dateien in der Cloud-Umgebung von Check Point und die „Live“-Bereinigung von Dokumenten, indem potenziell schädliche Inhalte entfernt oder das Dokument in PDF konvertiert wird. Es gibt drei Betriebsmodi:
- Prevent — ermöglicht den Zugriff auf eine bereinigte Kopie des Dokumentes, bevor das endgültige Urteil der Emulation vorliegt, oder wartet, bis die Emulation abgeschlossen ist, und lädt die Originaldatei sofort herunter;
- Detect — führt die Emulation im Hintergrund durch, ohne den Benutzer daran zu hindern, die Originaldatei unabhängig vom Urteil zu erhalten;
- Off — alle Dateien dürfen ohne Emulation und ohne Bereinigung potenziell schädlicher Komponenten heruntergeladen werden.
Es besteht auch die Möglichkeit, eine Aktion für Dateien auszuwählen, die von den Emulations- und Reinigungstools von Check Point nicht unterstützt werden — es kann erlaubt oder verboten werden, alle nicht unterstützten Dateien herunterzuladen.
In der Standardpolitik für Download Protection ist die Aktion "Prevent" eingestellt, mit der Möglichkeit, eine von potenziell schädlichem Inhalt bereinigte Kopie des Originaldokuments zu erhalten, sowie das Herunterladen von Dateien zuzulassen, die von den Emulations- und Reinigungstools nicht unterstützt werden.
Credential Protection
Die Komponente Credential Protection schützt die Benutzerdaten und umfasst zwei Teile: Zero Phishing und Password Protection. Zero Phishing schützt die Benutzer vor dem Zugriff auf Phishing-Ressourcen, während Password Protection informiert den Benutzer über die Unzulässigkeit der Verwendung von Unternehmensanmeldedaten außerhalb des geschützten Domains. Zero Phishing kann auf Prevent, Detect oder Off eingestellt werden. Bei aktivierter Aktion Prevent gibt es die Möglichkeit, dass Benutzer die Warnung vor einer potenziellen Phishing-Ressource überspringen und auf die Ressource zugreifen können oder diese Möglichkeit zu verweigern und den Zugriff immer zu blockieren. Bei der Aktion Detect haben die Benutzer immer die Möglichkeit, die Warnung zu überspringen und auf die Ressource zuzugreifen. Password Protection ermöglicht die Auswahl von geschützten Domains, für die eine Übereinstimmungsprüfung der Passwörter durchgeführt wird, sowie eine der drei Aktionen: Detect & Alert (Benachrichtigung des Benutzers), Detect oder Off.
Die Standardrichtlinie für Credential Protection sieht Prevent für alle Phishing-Ressourcen vor, sodass es den Benutzern unmöglich ist, auf potenziell schädliche Websites zuzugreifen. Zusätzlich ist der Schutz gegen die Verwendung von Unternehmenspasswörtern aktiviert, jedoch funktioniert diese Funktion nicht ohne angegebene Domains.
Files Protection
Files Protection ist verantwortlich für den Schutz von Dateien, die auf dem Benutzergerät gespeichert sind, und umfasst zwei Komponenten: Anti-Malware und Files Threat Emulation. Anti-Malware ist ein Werkzeug, das regelmäßig alle Benutzer- und Systemdateien mit Hilfe von Signaturanalyse scannt. In den Einstellungen dieses Komponenten können die Parameter für regelmäßige Scans oder zufällige Scanzeiten, die Aktualisierungsfrequenz der Signaturen sowie die Möglichkeit für Benutzer, geplante Scans abzubrechen, konfiguriert werden. Files Threat Emulation ermöglicht die Emulation der auf dem Benutzergerät gespeicherten Dateien in der Cloud Sandbox von Check Point, jedoch funktioniert diese Sicherheitsfunktion nur im Detect-Modus.
In der Standardrichtlinie für Files Protection ist der Schutz durch Anti-Malware und die Entdeckung schädlicher Dateien durch Files Threat Emulation integriert. Ein regelmäßiger Scan erfolgt einmal im Monat, und die Signaturen auf dem Benutzergerät werden alle 4 Stunden aktualisiert. Dabei ist die Möglichkeit für Benutzer eingerichtet, geplante Scans abzubrechen, jedoch nicht später als 30 Tage nach dem letzten erfolgreichen Scan.
Behavioral Protection
Anti-Bot, Behavioral Guard & Anti-Ransomware, Anti-Exploit
Die Gruppe der Schutzkomponenten Behavioral Protection umfasst drei Bestandteile: Anti-Bot, Behavioral Guard & Anti-Ransomware und Anti-Exploit. Anti-Bot ermöglicht es, C&C-Verbindungen mithilfe einer ständig aktualisierten Datenbank von Check Point ThreatCloud zu überwachen und zu blockieren. Behavioral Guard & Anti-Ransomware überwacht kontinuierlich die Aktivitäten (Dateien, Prozesse, Netzwerkinteraktionen) auf dem Benutzergerät und ermöglicht es, Ransomware-Angriffe in den frühen Phasen zu verhindern. Darüber hinaus ermöglicht dieses Schutzelement die Wiederherstellung von Dateien, die von der Schadsoftware verschlüsselt wurden. Die Dateien werden in ihren ursprünglichen Verzeichnissen wiederhergestellt oder es kann ein spezifischer Pfad angegeben werden, wo alle wiederhergestellten Dateien gespeichert werden. Anti-Exploit ermöglicht die Erkennung von Zero-Day-Angriffen. Für alle Komponenten von Behavioral Protection gibt es drei Betriebsmodi: Prevent, Detect und Off.
Die Standardrichtlinie für Behavioral Protection sieht Prevent für die Komponenten Anti-Bot und Behavioral Guard & Anti-Ransomware vor, mit der Wiederherstellung verschlüsselter Dateien in ihren ursprünglichen Verzeichnissen. Die Komponente Anti-Exploit ist deaktiviert und wird nicht verwendet.
Analyse & Wiederherstellung
Automatisierte Angriffsanalyse (Forensik), Wiederherstellung & Reaktion
Für die Analyse und Untersuchung von Sicherheitsvorfällen stehen zwei Sicherheitskomponenten zur Verfügung: Automatisierte Angriffsanalyse (Forensik) und Wiederherstellung & Reaktion. Automatisierte Angriffsanalyse (Forensik) ermöglicht die Erstellung von Berichten über die Ergebnisse der Abwehr von Angriffen mit detaillierten Beschreibungen – bis hin zur Analyse des Ausführungsprozesses von Malware auf dem Benutzergerät. Es gibt auch die Möglichkeit, die Funktion Threat Hunting zu nutzen, die es ermöglicht, proaktiv nach Anomalien und potenziell schädlichem Verhalten mit vordefinierten oder selbst erstellten Filtern zu suchen. Wiederherstellung & Reaktion ermöglicht die Konfiguration von Wiederherstellungs- und Quarantäneparametern für Dateien nach einem Angriff: die Interaktionen der Benutzer mit quarantänisierten Dateien werden reguliert, und es besteht die Möglichkeit, Dateien in einem vom Administrator angegebenen Verzeichnis zu quarantänieren.
Die Standardrichtlinie für Analyse & Wiederherstellung umfasst Schutzmaßnahmen, die automatische Aktionen zur Wiederherstellung (Beendigung von Prozessen, Wiederherstellung von Dateien usw.) beinhalten, und die Option zur Quarantäne von Dateien ist aktiv, wobei Benutzer lediglich Dateien aus der Quarantäne löschen können.
Standardrichtlinie für Threat Prevention: Testen
Check Point CheckMe Endpoint
Die schnellste und einfachste Möglichkeit, die Sicherheit des Benutzersystems gegen die gängigsten Angriffstypen zu überprüfen, ist ein Test mit dem Dienst durchzuführen , der eine Reihe typischer Angriffe verschiedener Kategorien durchführt und einen Bericht über die Testergebnisse liefert. In diesem Fall wurde die Testvariante Endpoint verwendet, bei der eine ausführbare Datei auf den Computer heruntergeladen und gestartet wird, gefolgt vom Überprüfungsprozess.
Im Verlauf der Sicherheitsüberprüfung des Arbeitsplatzcomputers signalisiert der SandBlast Agent identifizierte und abgewehrte Angriffe auf den Computer des Benutzers, zum Beispiel: Blade Anti-Bot meldet eine Entdeckung von Infektionen, Blade Anti-Malware hat die schädliche Datei CP_AM.exe entdeckt und entfernt, und Blade Threat Emulation hat aufgrund von Simulationen festgestellt, dass die Datei CP_ZD.exe schädlich ist.
Nach der Durchführung des Tests mit CheckMe Endpoint haben wir folgendes Ergebnis: von 6 Angriffskategorien war die Standardpolitik zur Bedrohungsverhütung nur bei einer Kategorie — Browser Exploit — nicht erfolgreich. Dies liegt daran, dass die Standardpolitik zur Bedrohungsverhütung kein Blade Anti-Exploit umfasst. Es ist anzumerken, dass ohne installierten SandBlast Agent der Benutzercomputer nur in der Kategorie Ransomware überprüft wurde.
KnowBe4 RanSim
Um die Funktion des Blade Anti-Ransomware zu testen, kann eine kostenlose Lösung verwendet werden , die eine Reihe von Tests auf der Benutzermaschine durchführt: 18 Szenarien für die Infektion durch Ransomware und 1 Szenario für die Infektion durch Cryptominer. Es ist anzumerken, dass das Vorhandensein vieler Blades (Threat Emulation, Anti-Malware, Behavioral Guard) in der Standardpolitik mit der Aktion Prevent den korrekten Ablauf dieses Tests nicht ermöglicht. Selbst mit einem reduzierten Sicherheitsniveau (Threat Emulation im Off-Modus) zeigt der Test des Blade Anti-Ransomware jedoch hohe Ergebnisse: 18 von 19 Tests wurden erfolgreich bestanden (1 konnte nicht gestartet werden).
Schadhafte Dateien und Dokumente
Ein anschauliches Beispiel ist die Überprüfung der Funktionsweise verschiedener Blades der Standardrichtlinie zur Bedrohungsverhinderung mithilfe von schädlichen Dateien gängiger Formate, die auf den Benutzercomputer heruntergeladen werden. Bei diesem Test waren 66 Dateien im PDF-, DOC-, DOCX-, EXE-, XLS-, XLSX-, CAB- und RTF-Format beteiligt. Die Testergebnisse zeigten, dass der SandBlast-Agent 64 von 66 schädlichen Dateien blockieren konnte. Die infizierten Dateien wurden nach dem Download entweder gelöscht oder vom schädlichen Inhalt mithilfe von Threat Extraction bereinigt und dem Benutzer zur Verfügung gestellt.
Empfehlungen zur Verbesserung der Richtlinie zur Bedrohungsverhinderung
1. URL-Filterung
Der erste Punkt, der in der Standardrichtlinie zur Erhöhung der Sicherheitsstufe des Client-Computers korrigiert werden muss, ist, das Blade URL Filtering auf Prevent zu setzen und die entsprechenden Kategorien zur Blockierung anzugeben. In unserem Fall wurden alle Kategorien außer General Use ausgewählt, da diese die meisten Ressourcen umfassen, auf die der Zugang für Benutzer am Arbeitsplatz eingeschränkt werden sollte. Auch für solche Websites ist es wünschenswert, den Benutzern die Möglichkeit zu nehmen, das Warnfeld zu schließen, indem das Kontrollkästchen bei der Option „Benutzern erlauben, die Warnung zur URL-Filterung zu ignorieren und auf die Website zuzugreifen“ deaktiviert wird.
2. Download-Schutz
Der zweite Punkt, auf den man achten sollte, ist die Möglichkeit für Benutzer, Dateien herunterzuladen, die von der Check Point-Emulation nicht unterstützt werden. Da wir in diesem Abschnitt Verbesserungen der Standardrichtlinie zur Bedrohungsverhinderung aus sicherheitstechnischer Sicht betrachten, wäre die beste Option, den Download nicht unterstützter Dateien zu verbieten.
3. Dateischutz
Es ist auch wichtig, die Einstellungen zum Schutz von Dateien zu beachten – insbesondere die Optionen für die regelmäßige Überprüfung und die Möglichkeiten für Benutzer, eine erzwungene Überprüfung zu verschieben. In diesem Fall sollten die Arbeitszeiten der Benutzer berücksichtigt werden, und eine gute Option aus Sicht der Sicherheit und Leistung ist die Einstellung der erzwungenen Überprüfung jeden Tag, wobei die Uhrzeit zufällig ausgewählt wird (zwischen 00:00 und 8:00 Uhr), und der Benutzer kann die Überprüfung maximal um eine Woche verschieben.
4. Anti-Exploit
Ein erheblicher Nachteil der Standardrichtlinie zur Bedrohungsprävention ist der deaktivierte Anti-Exploit-Bereich. Es wird empfohlen, diesen Bereich mit der Aktion "Prevent" zu aktivieren, um die Arbeitsstation vor Angriffen mit Exploits zu schützen. Mit dieser Korrektur wird der wiederholte CheckMe-Test erfolgreich abgeschlossen, ohne dass anfällige Stellen auf der Benutzerarbeitsstation erkannt werden.
Fazit
Fassen wir zusammen: In diesem Artikel haben wir uns mit den Komponenten der Standardrichtlinie zur Bedrohungsprävention vertraut gemacht, die Richtlinie mit verschiedenen Methoden und Mitteln getestet und Empfehlungen zur Verbesserung der Einstellungen der Standardrichtlinie zur Erhöhung der Sicherheitsstufe der Benutzermaschine beschrieben. Im nächsten Artikel dieser Reihe werden wir uns mit der Richtlinie zum Schutz von Daten befassen und die Einstellungen der globalen Richtlinieneinstellungen betrachten.
. Um keine weiteren Veröffentlichungen zum Thema SandBlast Agent Management Platform zu verpassen, folgen Sie uns auf unseren sozialen Medien (, , , , ).
Quelle: habr.com
