Willkommen zum dritten Artikel unserer Reihe über die neue Cloud-Verwaltungskonsole für den Schutz von PCs – die Check Point SandBlast Agent Management Platform. Ich erinnere daran, dass wir im den Infinity Portal kennengelernt und den Cloud-Service für die Verwaltung der Endpoint Management Service-Agenten erstellt haben. In haben wir die Benutzeroberfläche der Web-Verwaltungskonsole untersucht und den Agenten mit der Standardrichtlinie auf dem Benutzergerät installiert. Heute werfen wir einen Blick auf den Inhalt der Standardrichtlinie zur Bedrohungsvorbeugung und testen ihre Effektivität gegen gängige Angriffe.
Standardrichtlinie zur Bedrohungsvorbeugung: Beschreibung
Oben im Bild sehen Sie die Standardregel der Richtlinie zur Bedrohungsvorbeugung, die standardmäßig auf die gesamte Organisation (alle installierten Agenten) angewendet wird und drei logische Gruppen von Schutzkomponenten umfasst: Web- und Dateischutz, Verhaltensschutz sowie Analyse und Wiederherstellung. Lassen Sie uns jede der Gruppen genauer betrachten.
Web- und Dateischutz
URL Filtering
URL-Filter ermöglicht es, den Zugriff von Benutzern auf Webressourcen zu kontrollieren, wofür fünf vorab festgelegte Kategorien von Websites verwendet werden. Jede der fünf Kategorien enthält mehrere spezifischere Unterkategorien, die es erlauben, den Zugriff auf die Unterkategorie Spiele zu blockieren und den Zugriff auf die Unterkategorie Instant Messaging zu erlauben, die beide zur Kategorie Produktivitätsverlust gehören. Die URL-Adressen, die bestimmten Unterkategorien zugeordnet sind, werden von der Firma Check Point definiert. Die Kategorie, zu der eine bestimmte URL gehört, kann auf einer speziellen Website überprüft oder eine Kategorisierungsänderung angefragt werden. .
Als Aktion können Sie Prevent, Detect oder Off einstellen. Bei der Wahl der Aktion Detect wird automatisch eine Einstellung hinzugefügt, die es Benutzern ermöglicht, die URL-Filterwarnung zu überspringen und auf die gewünschte Ressource zuzugreifen. Bei der Aktion Prevent kann diese Einstellung entfernt werden, sodass der Benutzer keinen Zugriff auf die gesperrte Seite hat. Eine praktische Möglichkeit, unerlaubte Ressourcen zu kontrollieren, ist die Einstellung der Blockliste, in der Sie Domains, IP-Adressen oder eine .csv-Datei mit einer Liste von zu blockierenden Domains angeben können.
In der Standardpolitik für die URL-Filterung ist die Aktion Detect festgelegt und eine Kategorie - Security - ausgewählt, für die Ereignisse erkannt werden. Diese Kategorie umfasst verschiedene Anonymisierer, Websites mit Risikolevel Critical/High/Medium, Phishing-Websites, Spam und vieles mehr. Die Benutzer können jedoch weiterhin auf die Ressource zugreifen, dank der Einstellung "Allow user to dismiss the URL Filtering alert and access the website".
Download (Web) Protection
Emulation & Extraction ermöglicht die Emulation hochgeladener Dateien in der Cloud-Sandbox von Check Point und ermöglicht die "Live"-Bereinigung von Dokumenten, indem potenziell schädliche Inhalte entfernt oder das Dokument in PDF konvertiert wird. Es gibt drei Betriebsmodi:
- Verhindern — ermöglicht es, eine Kopie des bereinigten Dokuments vor dem endgültigen Emulationsurteil zu erhalten oder zu warten, bis die Emulation abgeschlossen ist, um die Originaldatei sofort herunterzuladen;
- Erkennen — führt die Emulation im Hintergrund durch und hindert den Benutzer nicht daran, die Originaldatei unabhängig vom Urteil zu erhalten;
- Off — alle Dateien dürfen ohne Emulation und Bereinigung potenziell schädlicher Komponenten hochgeladen werden.
Es besteht auch die Möglichkeit, Maßnahmen für Dateien auszuwählen, die von den Emulations- und Bereinigungstools von Check Point nicht unterstützt werden — das Herunterladen aller nicht unterstützten Dateien kann erlaubt oder verboten werden.
In der Standardrichtlinie für den Download-Schutz ist die Maßnahme "Prevent" festgelegt, die es ermöglicht, eine vom potenziell schädlichen Inhalt bereinigte Kopie des Originaldokuments zu erhalten, sowie die Erlaubnis zum Herunterladen von Dateien, die von den Emulations- und Bereinigungswerkzeugen nicht unterstützt werden.
Credential Protection
Die Komponente Credential Protection schützt die Benutzeranmeldeinformationen und umfasst zwei Elemente: Zero Phishing und Password Protection. Zero Phishing schützt Benutzer vor dem Zugriff auf Phishing-Ressourcen, und Password Protection informiert den Benutzer darüber, dass die Verwendung von Unternehmensanmeldeinformationen außerhalb der geschützten Domain nicht zulässig ist. Zero Phishing kann auf Prevent, Detect oder Off eingestellt werden. Bei aktivierter Prevent-Einstellung können Benutzer die Warnung vor einer potenziell phishing-gefährdenden Ressource überspringen und auf die Ressource zugreifen, oder diese Möglichkeit kann verweigert werden, sodass der Zugang immer blockiert wird. Bei der Detect-Einstellung haben Benutzer immer die Möglichkeit, die Warnung zu überspringen und auf die Ressource zuzugreifen. Der Passwortschutz ermöglicht es, geschützte Domains auszuwählen, für die die Passwortüberprüfung vorgenommen wird, und eine der drei Aktionen: Detect & Alert (informiert den Benutzer), Detect oder Off.
Die Standardrichtlinie für Credential Protection sieht Prevent für alle phishing-gefährdenden Ressourcen vor, sodass es für Benutzer unmöglich ist, auf potenziell schädliche Seiten zuzugreifen. Der Schutz vor der Verwendung von Unternehmenspasswörtern ist ebenfalls integriert, jedoch funktioniert diese Funktion ohne die angegebenen Domains nicht.
Files Protection
Files Protection sorgt für den Schutz der Dateien, die auf dem Benutzergerät gespeichert sind, und umfasst zwei Komponenten: Anti-Malware und Files Threat Emulation. Anti-Malware ist ein Tool, das regelmäßig alle Benutzer- und Systemdateien mittels Signatur-Analyse scannt. In den Einstellungen dieser Komponente können die Parameter für regelmäßige Scans oder zu zufälligen Zeiten, der Zeitraum für die Aktualisierung der Signaturen und auch die Möglichkeit für Benutzer angepasst werden, geplante Scans abzubrechen. Files Threat Emulation ermöglicht die Emulation der auf dem Benutzergerät gespeicherten Dateien in der Cloud-Sandbox von Check Point, jedoch funktioniert diese Sicherheitsfunktion nur im Erkennungsmodus.
In der Standardrichtlinie für Files Protection ist der Schutz durch Anti-Malware und die Erkennung bösartiger Dateien durch Files Threat Emulation enthalten. Regelmäßige Scans finden jeden Monat statt, und die Signaturen auf dem Benutzergerät werden alle 4 Stunden aktualisiert. Benutzer haben die Möglichkeit, geplante Scans bis zu 30 Tage nach dem letzten erfolgreichen Scan abzubrechen.
Verhaltensschutz
Anti-Bot, Behavioral Guard & Anti-Ransomware, Anti-Exploit
Die Gruppe von Komponenten des Verhaltensschutzes umfasst drei Elemente: Anti-Bot, Behavioral Guard & Anti-Ransomware und Anti-Exploit. Anti-Bot ermöglicht die Überwachung und Blockierung von C&C-Verbindungen mithilfe einer ständig aktualisierten Datenbank von Check Point ThreatCloud. Behavioral Guard & Anti-Ransomware Überwacht ständig die Aktivitäten (Dateien, Prozesse, Netzwerkinteraktionen) auf dem Benutzergerät und ermöglicht es, Ransomware-Angriffe in der Anfangsphase zu verhindern. Darüber hinaus ermöglicht dieses Sicherheitsmerkmal die Wiederherstellung von Dateien, die bereits von schadhafter Software verschlüsselt wurden. Die Dateien werden in ihren ursprünglichen Verzeichnissen wiederhergestellt, oder es kann ein spezifischer Pfad angegeben werden, wo alle wiederhergestellten Dateien gespeichert werden sollen. Anti-Exploit ermöglicht das Erkennen von Zero-Day-Angriffen. Für alle Komponenten des Behavioral Protection sind drei Arbeitsmodi verfügbar: Prevent, Detect und Off.
Die Standardrichtlinie für Behavioral Protection sieht Prevent für die Komponenten Anti-Bot und Behavioral Guard & Anti-Ransomware vor, wobei verschlüsselte Dateien in ihren ursprünglichen Verzeichnissen wiederhergestellt werden. Die Komponente Anti-Exploit ist deaktiviert und wird nicht verwendet.
Analyse & Wiederherstellung
Automatisierte Angriffsanalysen (Forensik), Wiederherstellung & Reaktion
Für Analysen und Untersuchungen von Sicherheitsvorfällen stehen zwei Sicherheitskomponenten zur Verfügung: Automatisierte Angriffsanalysen (Forensik) und Wiederherstellung & Reaktion. Automatisierte Angriffsanalysen (Forensik) ermöglicht die Erstellung von Berichten zu Angriffsergebnissen mit detaillierten Beschreibungen — bis hin zur Analyse des Verhaltens von Malware auf dem Benutzergerät. Es besteht auch die Möglichkeit, die Funktion Threat Hunting zu nutzen, die eine proaktive Suche nach Anomalien und potenziell schädlichem Verhalten mittels vordefinierter oder selbst erstellter Filter ermöglicht. Behebung & Reaktion ermöglicht die Konfiguration von Wiederherstellungs- und Quarantäneparametern für Dateien nach einem Angriff: die Interaktion der Benutzer mit Quarantänedateien wird geregelt, und es besteht die Möglichkeit, Dateien in einem vom Administrator angegebenen Verzeichnis aufzubewahren.
In der Standardrichtlinie zur Analyse & Behebung ist ein Schutz enthalten, der automatische Maßnahmen zur Wiederherstellung umfasst (Beendigung von Prozessen, Wiederherstellung von Dateien usw.), und die Option zur Quarantäne von Dateien ist aktiv, wobei Benutzer nur Dateien aus der Quarantäne löschen dürfen.
Standardrichtlinie zur Bedrohungsverhinderung: Test
Check Point CheckMe Endpoint
Die schnellste und einfachste Möglichkeit, die Sicherheit eines Benutzergeräts gegen die verbreitetsten Angriffsarten zu überprüfen, besteht darin, einen Test mit dem Tool durchzuführen. , das eine Reihe von typischen Angriffen verschiedener Kategorien simuliert und einen Bericht über die Testergebnisse bereitstellt. In diesem Fall wurde die Endpoint-Testvariante verwendet, bei der eine ausführbare Datei auf den Computer heruntergeladen und ausgeführt wird, gefolgt von einem Prüfprozess.
Während der Sicherheitsüberprüfung des Arbeitsplatzcomputers signalisiert der SandBlast-Agent die identifizierten und abgewehrten Angriffe auf das Benutzergerät. Zum Beispiel: Das Anti-Bot-Blade meldet eine erkannte Infektion, das Anti-Malware-Blade hat die bösartige Datei CP_AM.exe entdeckt und entfernt, und das Threat Emulation-Blade hat durch die Emulation festgestellt, dass die Datei CP_ZD.exe schädlich ist.
Nach den Testergebnissen mit CheckMe Endpoint haben wir folgendes Resultat: von 6 Angriffskategorien hat die Standardrichtlinie zur Bedrohungsprävention nur bei einer Kategorie — Browser Exploit — versagt. Dies liegt daran, dass die Standardrichtlinie zur Bedrohungsprävention den Blade Anti-Exploit nicht umfasst. Es ist erwähnenswert, dass ohne installierten SandBlast Agent der Benutzercomputer nur in der Kategorie Ransomware getestet wurde.
KnowBe4 RanSim
Für die Testung des Blade Anti-Ransomware kann eine kostenlose Lösung verwendet werden , die eine Reihe von Tests auf dem Benutzerrechner durchführt: 18 Szenarien für Ransomware-Infektionen und 1 Szenario für die Infektion mit einem Krypto-Miner. Es ist erwähnenswert, dass das Vorhandensein vieler Blades (Threat Emulation, Anti-Malware, Behavioral Guard) in der Standardrichtlinie mit der Aktion „Prevent“ die korrekte Durchführung dieses Tests nicht ermöglicht. Dennoch zeigt der Test des Blade Anti-Ransomware auch bei reduziertem Sicherheitsniveau (Threat Emulation im Off-Modus) hohe Ergebnisse: 18 von 19 Tests wurden erfolgreich bestanden (1 konnte nicht durchgeführt werden).
Schadhafte Dateien und Dokumente
Eine exemplarische Überprüfung der Funktionalität verschiedener Blades der Standardrichtlinie zur Bedrohungsverhinderung erfolgte durch die Verwendung von Malware-Dateien gängiger Formate, die auf den Benutzerrechner heruntergeladen wurden. In diesem Test wurden 66 Dateien der Formate PDF, DOC, DOCX, EXE, XLS, XLSX, CAB und RTF verwendet. Die Testergebnisse zeigten, dass der SandBlast Agent 64 von 66 schädlichen Dateien blockieren konnte. Die infizierten Dateien wurden nach dem Download gelöscht oder von schädlichen Inhalten mithilfe der Threat Extraction bereinigt und dem Benutzer zur Verfügung gestellt.
Empfehlungen zur Verbesserung der Richtlinie zur Bedrohungsverhütung
1. URL-Filterung
Das erste, was in der Standardrichtlinie zur Erhöhung der Sicherheit des Client-Rechners korrigiert werden muss, ist die Umstellung des Blades zur URL-Filterung auf "Prevent" und die Angabe der entsprechenden Kategorien zur Blockierung. In diesem Fall wurden alle Kategorien außer "General Use" ausgewählt, da sie die meisten Ressourcen umfassen, auf die der Zugriff der Benutzer am Arbeitsplatz eingeschränkt werden sollte. Außerdem sollte für solche Websites die Möglichkeit entfernt werden, dass Benutzer das Warnfenster schließen, indem das Kontrollkästchen bei "Allow user to dismiss the URL Filtering alert and access the website" deaktiviert wird.
2. Download-Schutz
Der zweite Punkt, der Beachtung verdient, ist die Möglichkeit für Benutzer, Dateien herunterzuladen, die von der Check Point-Emulation nicht unterstützt werden. In diesem Abschnitt betrachten wir Sicherheitsverbesserungen der Standardrichtlinie zur Bedrohungsverhütung. Daher ist es am besten, den Download nicht unterstützter Dateien zu verbieten.
3. Dateischutz
Außerdem sollten die Einstellungen zum Schutz der Dateien beachtet werden — insbesondere die Optionen für die regelmäßige Suche und die Möglichkeit für den Benutzer, das erzwungene Scannen zu verschieben. Dabei sollte die Zeit, die der Benutzer hat, berücksichtigt werden. Eine gute Lösung für Sicherheit und Leistung wäre es, das erzwungene Scannen täglich zu planen, wobei die Uhrzeit zufällig (zwischen 00:00 und 08:00) ausgewählt wird und der Benutzer das Scannen maximal eine Woche lang verschieben kann.
4. Anti-Exploit
Ein wesentlicher Nachteil der Standardrichtlinie zur Bedrohungsverhinderung ist der deaktivierte Anti-Exploit-Blade. Es wird empfohlen, diesen Blade mit der Funktion "Prevent" zu aktivieren, um den Arbeitsplatz vor Angriffen mit Exploits zu schützen. Mit dieser Korrektur wird der erneute CheckMe-Test erfolgreich beendet, ohne Schwachstellen auf dem Benutzerarbeitsplatz zu entdecken.
Fazit
Zusammenfassend können wir festhalten: In diesem Artikel haben wir uns mit den Komponenten der Standardrichtlinie zur Bedrohungsverhinderung vertraut gemacht, diese Richtlinie mit verschiedenen Methoden und Werkzeugen getestet und Empfehlungen zur Verbesserung der Einstellungen der Standardrichtlinie zur Erhöhung der Sicherheit des Benutzergeräts gegeben. Im nächsten Artikel der Reihe werden wir die Richtlinie zum Datenschutz untersuchen und die Einstellungen der globalen Richtlinieneinstellungen betrachten.
. Um keine zukünftigen Publikationen zum Thema SandBlast Agent Management-Plattform zu verpassen, folgen Sie unseren Updates in den sozialen Medien (, , , , ).
Quelle: habr.com
