Seguimos estudiando la nueva plataforma en la nube Check Point Management Platform para administrar la herramienta de protección para las computadoras de los usuarios: SandBlast Agent. Describimos los componentes principales de SandBlast Agent, nos familiarizamos con la arquitectura de Check Point Infinity y registramos la aplicación SandBlast Agent Management Platform en Infinity Portal. Hoy estudiaremos en detalle la interfaz web del sistema de administración de agentes; este artículo se convertirá en una guía conveniente para todas las funciones y capacidades de la consola en la nube. Y en preparación para el próximo artículo, instalemos SandBlast Agent y familiaricémonos con su interfaz.
Estructura de la consola de gestión en la nube Management Platform
La interfaz de SandBlast Agent Management Platform se puede dividir en tres componentes:
- Panel de control — ubicado en la parte superior de la interfaz y le permite realizar tareas administrativas básicas: administrar cuentas, contactar al soporte técnico de Check Point y configurar un perfil de administrador;
- Barra de navegación — ubicado a la izquierda y le permite navegar entre los componentes principales del panel de control, como la sección de configuración de políticas, visualización de registros, etc.;
- Espacio de trabajo — ocupa la mayor parte de la consola de administración e incluye la capacidad de configurar secciones del panel de navegación, mostrar información gráfica (registros, informes) y configurar parámetros globales del sistema.
Echemos un vistazo más de cerca a cada elemento del sistema SandBlast Agent Management Platform. Los espacios de trabajo se describirán en detalle para todos los componentes de la barra de navegación, pero por ahora comencemos con las capacidades del panel de control.
Panel de control
El panel de control incluye 6 componentes, veámoslos de izquierda a derecha. El primero es el botón "Menú", que, al hacer clic, muestra los servicios actuales del portal y le permite agregar nuevos servicios de las categorías Protección en la nube, Protección de red y Protección de endpoints a su cuenta. Luego viene el nombre de la aplicación actual en la que está trabajando; en este caso es SandBlast Agent Management Platform. Cuando hace clic en el ícono de la aplicación, siempre puede acceder a la sección "RESUMEN" del panel de navegación. El tercer elemento es el ícono de administración de cuentas, que le permite cambiar rápidamente entre cuentas de empresas en las que es administrador.
El cuarto componente del panel de control es el botón de ayuda, que le permite contactar al soporte técnico de Check Point directamente desde la consola, vaya a para monitorear el estado de los recursos web y en la nube de Check Point, así como también acceder a las Guías del administrador para SandBlast Agent Management Platform y Infinity Portal. El siguiente elemento es su perfil en Infinity Portal, al hacer clic en él puede "fallar" en la configuración del perfil o salir del perfil actual. Y finalmente, el último elemento del panel de control es un botón para ir al sitio. .
Configuración del perfil del Portal Infinity
Cuando haces clic en el nombre de tu perfil de Infinity Portal, se abre un espacio de trabajo para configurar tu perfil: puedes cambiar el nombre de usuario y el número de teléfono mostrados, así como cambiar el idioma de la interfaz (actualmente están disponibles inglés y japonés) y seleccionar el cuenta a la que está vinculado el perfil. Además, puede cambiar la contraseña de su perfil actual y habilitar la autenticación de dos factores utilizando Google Authenticator o Twilio Authy para acceder al portal. El proceso de configuración de la autenticación de dos factores es extremadamente simple: al usar la aplicación, escanea un código QR, luego ingresa el token de acceso generado y confirma que 2FA está habilitado.
Barra de navegación
La consola de administración de SandBlast Agent Management Platform tiene 9 secciones en el panel de navegación, como se muestra en la figura siguiente, lo que le permite realizar muchas tareas para implementar y administrar agentes, así como también administrar la configuración de la consola web. Veamos brevemente cada una de las secciones, y para obtener información detallada, haz clic en el spoiler con el nombre de la sección que te interesa. Empecemos:
- Descripción — una sección que consta de varios paneles que muestran el estado actual de las máquinas cliente y los agentes desde el punto de vista de la salud (número de máquinas protegidas, sus versiones de sistema operativo, estado de los agentes, mensajes de error, etc.) y desde el punto de vista de la seguridad (datos sobre ataques y máquinas infectadas, ataques activos y bloqueados, cronograma de ataques, etc.);
Sección DE DESCRIPCIÓN GENERAL: detalles
Esta sección consta de dos subsecciones: Resumen operativo и Descripción general de seguridad. El primero, Descripción general operativa, muestra información sobre el estado de las máquinas de los usuarios y los agentes: la cantidad de máquinas protegidas, las características de las computadoras de los usuarios (tipo de dispositivo: computadora personal/portátil, tipo de sistema operativo: Windows/MacOS), estadísticas de la implementación del agente. proceso, “estado de salud” de las máquinas, información sobre la actualización de las bases de datos de antivirus en las computadoras, así como la versión de SandBlast Agent instalada y la versión de los sistemas operativos utilizados, y un área con eventos activos (Alertas). Desde esta subsección puede descargar el cliente SandBlast Agent.
La segunda subsección, Descripción general de seguridad, muestra información sobre el nivel de protección de las máquinas de los usuarios y los ataques (activos y bloqueados). Esta subsección le permite filtrar la información mostrada por tiempo, así como establecer parámetros de búsqueda para objetos específicos. Cada uno de los bloques en la sección Descripción general de seguridad se puede configurar individualmente; puede agregar diagramas de varios tipos que mostrarán información de acuerdo con el filtro especificado. La subsección se puede descargar como informe en formatos Excel/PDF. También puede descargar el cliente SandBlast Agent desde esta subsección.
- POLÍTICA — una sección del panel de navegación en la que se configuran los parámetros de una política de seguridad unificada (la llamada Política Unificada), así como las reglas de distribución de agentes y la configuración de la política global;
Sección POLÍTICA: detalles
La primera subsección Prevención de amenazas, permite configurar reglas de política de seguridad indicando los objetos a los que se aplicará la política, así como configurar el funcionamiento de los blades en detalle. Cada regla puede contener configuraciones para tres componentes lógicos de la política de Prevención de amenazas: Protección web y de archivos, Protección del comportamiento, Análisis y corrección. El componente Protección web y de archivos incluye configuraciones para filtrado de URL, protección de descargas, protección de credenciales y protección de archivos. El componente de protección del comportamiento consta de hojas Anti-Bot, Behavioral Guard, Anti-Ransomware y Anti-Exploit. El componente Análisis y remediación incluye análisis de ataques automatizados (forense), remediación y respuesta.
Hay 3 perfiles preestablecidos que regulan la configuración de los componentes de seguridad: Ajuste (todos los blades cambian al modo Detectar), Recomendado (algunos blades están en el modo Detectar) y Predeterminado (solo filtrado de URL en el modo Detectar). También puede agregar excepciones en la sección Prevención de amenazas (en el Centro de exclusiones) para eludir las reglas de políticas.
Segunda subsección - Protección de Datos, incluye la configuración de cifrado de disco completo. Admite cifrado Check Point y cifrado BitLocker para Windows, File Vault para MacOS. Además, es posible configurar aún más los ajustes de cifrado, la autenticación previa al inicio y los ajustes avanzados de autenticación de Windows.
Siguiente subsección - Despliegue, que configura los ajustes para instalar los componentes de SandBlast Agent en las máquinas de los usuarios. En esta subsección, es posible separar la instalación de diferentes blades para diferentes máquinas y versiones de agente mediante reglas de políticas.
La última subsección Configuración de política global, le permite configurar una contraseña para eliminar SandBlast Agent de la máquina de un usuario, cambiar los parámetros de datos para transferirlos a Check Point y establecer características de contraseña para Full Disk Encryption.
- GESTIÓN INFORMÁTICA — un área del panel de navegación que muestra información detallada sobre todas las máquinas cliente y también le permite administrar grupos lógicos de computadoras, realizar acciones forzadas (Operación Push) y configurar el cifrado de disco (Acciones de cifrado de disco completo);
Sección GESTIÓN INFORMÁTICA: detalles
La sección ADMINISTRACIÓN DE COMPUTADORAS tiene tres componentes principales: íconos de configuración, un campo para mostrar información sobre las máquinas de los usuarios y filtros para configurar los parámetros de visualización. Veamos los íconos de configuración en orden de izquierda a derecha: actualización de información; cargar un informe en la máquina seleccionada en formato CSV; crear un Directory Scanner para obtener información sobre usuarios, máquinas y grupos de Active Directory; gestión de grupos (creación/edición/eliminación); crear un nuevo grupo virtual; agregar una máquina de usuario a un grupo virtual existente; agregar una acción forzada de la categoría Operación Push (que se analiza en detalle en la sección correspondiente); crear tareas para recuperar datos de un disco cifrado si surgen problemas de acceso (Acciones de cifrado de disco completo).
Grupos virtuales Le permiten combinar máquinas de usuarios en grupos lógicos para una administración flexible. Estos grupos se pueden utilizar como alternativa a Active Directory o junto con AD. Hay varios grupos virtuales que se asignan automáticamente a las máquinas de los usuarios, por ejemplo, Computadoras de escritorio, portátiles, Servidores y otros.
El campo de visualización de la máquina del usuario se puede personalizar según los filtros que se muestran en la figura anterior. Primer filtro (por propiedad de las computadoras) tiene muchos criterios integrados y le permite mostrar las computadoras de los usuarios según sus características, condición de la máquina o componentes de SandBlast Agent. Segundo filtro (por grupo virtual) representa la posibilidad de muestreo por grupos virtuales, y el tercero (por unidad organizativa) - según los parámetros de Active Directory.
- REGISTROS — un panel de visualización de registros que muestra estadísticas sobre muchos parámetros (blades, criticidad de eventos, máquinas de usuario, etc.) y proporciona información detallada sobre cada registro;
Sección REGISTROS: detalles
Esta sección proporciona una interfaz conveniente para estudiar registros con muchas herramientas de filtrado. Convencionalmente, en el área de trabajo de la sección REGISTROS se pueden distinguir 4 componentes: la línea de búsqueda superior para consultas y selección de un período de tiempo; panel izquierdo con estadísticas para varios criterios; área central que muestra todos los registros e información básica sobre ellos; Panel derecho que muestra información detallada sobre el registro seleccionado. Se admite la capacidad de mostrar registros sin información sobre el usuario y la máquina (Ocultar identidades) y exportarlos a un archivo Excel.
- OPERACIONES DE EMPUJE — una sección en la que se crean y monitorean las tareas realizadas en la máquina cliente de forma forzada (recopilación de registros, reinicio o apagado de la máquina, escaneo en busca de malware/archivos, etc.);
Sección OPERACIONES DE EMPUJE: detalles
Esta sección tiene dos áreas de trabajo principales: la superior configura y muestra tareas forzadas para las máquinas cliente, y la inferior muestra información detallada sobre la tarea seleccionada.
Hay tres categorías de operaciones de cumplimiento, cada una de las cuales tiene varias tareas: en la categoría Anti-Malware esto es escanear en busca de malware, actualizar la base de datos de firmas de malware, restaurar archivos desde la cuarentena; en categoría Forense y remediación esto es Analizar por indicador, Corrección de archivos; en categoría Configuración del agente estos son recopilar registros de clientes, reparar clientes, apagar la computadora, reiniciar la computadora. También puedes asignar una hora de inicio exacta a cada tarea forzada y añadir un comentario con una descripción.
- CONFIGURACIÓN DEL PUNTO FINAL — una sección del panel de navegación en la que se configura la integración con Active Directory, los parámetros de mensajes del sistema (Alertas), se habilita la exportación de registros usando Syslog y también es posible monitorear el estado de las licencias y seleccionar el tipo de política actual (usuario -basado o basado en computadora);
Sección CONFIGURACIÓN DEL PUNTO FINAL: detalles
La primera subsección Escáneres publicitarios, le permite configurar la sincronización completa del portal con el Directorio Activo de su organización para obtener información sobre todos los usuarios y máquinas. De forma predeterminada, el modo de escaneo distribuido de la organización está habilitado, en el que las máquinas con SandBlast Agent instalado envían datos sobre su ruta a la consola de administración para su posterior visualización en la sección ADMINISTRACIÓN DE COMPUTADORAS. También puede cambiar el modo a Sincronización completa de Active Directory, en el que todos los datos de Active Directory se extraerán de la consola de administración. Para escanear correctamente, necesita una cuenta con derechos de lectura completos para: raíz de Active Directory, todos los contenedores y objetos secundarios y el contenedor de objetos eliminados.
La segunda subsección es Alertas, en el que configura ajustes para notificaciones sobre situaciones críticas, por ejemplo, sobre una infección de una máquina o problemas con la implementación del agente. En el lado derecho del espacio de trabajo, se configuran ajustes para 12 situaciones críticas predefinidas, incluidos umbrales para activar y desactivar notificaciones. En esta subsección también puede configurar los ajustes del servidor de correo para enviar notificaciones por correo.
Sigue la subsección Exportar eventos, que le permite configurar la transferencia de registros de varios formatos (Syslog, CEF, LEEF, Generic) a su servidor de registros. Esta opción también le permite configurar la transferencia de registros a su sistema SIEM, en el que se puede iniciar el agente Syslog.
Siguiente subsección - Licencias, que muestra información de la licencia: clave única, estado de la licencia, número de agentes activos y tamaño de la cuota. Las licencias se administran en la configuración de GLOBAL SETTINS.
La última subsección es Modo de operación de política, en el que se selecciona el tipo de política activa: Política basada en usuarios o Política basada en equipos. Como puede verse en la descripción de las políticas en la figura siguiente, difieren en la aplicación de políticas ya sea exclusivamente en relación con las máquinas o la política se aplica en un esquema mixto en relación con los usuarios y las máquinas.
- GESTIÓN DE SERVICIOS — un área del panel de navegación que le permite administrar el servicio Endpoint Management Platform y usar SmartView para ver informes detallados sobre eventos de seguridad, y desde esta sección puede descargar archivos de instalación para la aplicación SmartConsole y el cliente SandBlast Agent;
Sección GESTIÓN DEL SERVICIO: detalles
El área de trabajo de la sección GESTIÓN DE SERVICIOS consta de tres componentes: gestión de servicios y visualización de datos de servicios, así como acceso a SmartView (la interfaz se muestra en la imagen a continuación) para analizar registros e informes; panel para descargar SmartConsole R80.40: programas de gestión de productos Check Point, incluido SandBlast Agent; Panel para descargar el cliente SandBlast Agent.
- CAZA DE AMENAZA — una sección en la que se configuran reglas para la detección proactiva de amenazas (actualmente versión Beta);
Sección CAZA DE AMENAZAS: detalles
El enfoque Threat Hunting le permite buscar proactivamente actividad anómala o maliciosa en las máquinas de los usuarios con SandBlast Agent instalado; por ejemplo, llamadas a dominios que Check Point considera maliciosos, procesos iniciados mediante WMI, etc. Es posible utilizar la búsqueda preinstalada. filtros, o crear propios. Esta tecnología utiliza Check Point ThreatCloud, un servicio constantemente actualizado que es una red global de sensores de detección de amenazas y empresas que envían información sobre amenazas a Check Point. Threat Hunting se encuentra actualmente en desarrollo y el acceso a la versión Beta está disponible previa solicitud a Check Point. Definitivamente veremos esta herramienta en detalle en uno de los próximos artículos de la serie.
- CONFIGURACIÓN GLOBAL — una sección de configuración global para todas sus aplicaciones en Infinity Portal, que le permite cambiar la configuración de la cuenta de la empresa en el portal, administrar cuentas de administrador y realizar un seguimiento de sus acciones, ver el estado de los contratos para varias aplicaciones de cuenta, así como administrar API claves y exporte registros desde CloudGuard SaaS a su servidor de registros local.
Sección AJUSTES GLOBALES: detalles
La primera subsección Configuración, muestra su nombre de cuenta y su ID de cuenta, y también le permite configurar ajustes de autenticación forzada y tiempo de espera de inactividad. Además, en esta subsección puede especificar parámetros para la autorización SSO y cambiar el tipo de cuenta (cliente, socio de la categoría Distribuidor/Revendedor o socio de la categoría MSSP).
La siguiente subsección Usuarios, muestra información sobre los administradores de su portal: información de contacto, así como la fecha y hora de registro y último inicio de sesión en el portal. En la misma sección, puede agregar dos tipos de usuarios: administrador y usuario de solo lectura.
Sigue la subsección Auditorías, que le permite realizar un seguimiento de las acciones de los administradores del portal. Como se muestra en la figura siguiente, los registros de actividad del administrador incluyen el nombre de usuario, la fecha y hora del evento, el servicio, la categoría y el tipo de evento, así como una breve descripción del registro. Por ejemplo, los registros a continuación registran eventos de inicio de sesión en el portal (Iniciar sesión), cambiar el tipo de cuenta (Cuenta actualizada) a "Distribuidor", así como agregar autenticación de dos factores para el acceso al portal para un usuario específico (Usuario actualizado). ).
La cuarta subsección es Contratos, que muestra información del contrato para sus aplicaciones en el portal: fecha de vencimiento del contrato, número de contratos y uso de cuota (si corresponde). También en esta subsección puedes administrar las cuentas de Check Point vinculadas desde el ítem CUENTAS ASOCIADAS.
Siguiente subsección - Claves de la API, que administra claves API para todas las aplicaciones disponibles de Infinity Portal. Al generar una clave, se crean un ID de cliente y una clave secreta, que luego pueden usarse para acceder al portal mediante aplicaciones de terceros.
Las dos últimas subsecciones son Exportar eventos и Configuración de socios, el primero de los cuales describe el proceso de exportación de registros desde CloudGuard SaaS a su servidor de registros local, y el segundo le permite ver información sobre cuentas y agregar otras nuevas (solo para cuentas en la categoría Socio).
SandBlast Agent: instalación y familiarización con la interfaz
Opciones de distribución de agentes
Check Point describe dos formas de distribuir agentes a las computadoras de los usuarios: automática y manual. Despliegue automático — se lleva a cabo instalando el cliente inicial (Cliente inicial) utilizando soluciones de terceros (por ejemplo, políticas de grupo de Active Directory) y luego descargando las políticas al agente automáticamente. Implementación manual — se descarga un cliente con políticas integradas de prevención de amenazas y/o protección de datos, que luego se distribuye a las máquinas de los usuarios mediante soluciones de terceros. El primer método es más conveniente porque la versión del Cliente Inicial pesa decenas de veces menos que la versión completa con todas las políticas, lo que le permite distribuir el agente, por ejemplo, por correo electrónico como archivo adjunto. Por otro lado, la implementación manual no requiere tiempo para cargar políticas y blades en el agente después de la instalación; todos los componentes ya están incluidos en el paquete SandBlast Agent.
Utilicemos la implementación automática de agentes. La versión del Cliente Inicial se puede descargar desde dos secciones de la consola: Gestión de Servicios y Descripción General. En la sección Gestión de servicios, al seleccionar la opción Descargar cliente inicial se descarga el cliente inicial. Al descargar desde la sección Descripción general, hay tres opciones para crear SandBlast Agent: Instalación rápida (inicial), Agente de prevención de amenazas y Protección de datos y prevención de amenazas. La segunda y tercera opciones son adecuadas para la implementación manual y la primera es una compilación de cliente inicial.
El archivo EPS.msi descargado se transfiere a la máquina del usuario, después de lo cual se debe iniciar el proceso de instalación. Después de una instalación exitosa, el ícono de Check Point Endpoint Security aparece en la bandeja del sistema, lo que indica que el agente se ha desconectado del servidor de administración.
En este momento, el cliente intenta conectarse automáticamente al servidor de administración de la nube utilizando la dirección integrada. Este es un proceso bastante rápido y, después de un par de minutos, una nueva alerta indica que está programada la instalación de un agente. Este mensaje indica que el agente se ha conectado correctamente al servidor de gestión de la nube.
Si hace clic con el botón derecho en el icono de Endpoint Security, puede obtener información más detallada sobre la conexión establecida con el servidor de administración, como el nombre del servidor de administración al que se conectó el cliente y el estado actual de la conexión.
Después de conectarse exitosamente al servidor de administración, comienza el proceso de descargar los componentes necesarios (de acuerdo con la política de seguridad) a la máquina del usuario. El administrador puede monitorear el estado del proceso de instalación del agente en la sección Administración de computadoras de la consola de administración web; después de conectar exitosamente la máquina del usuario al servidor de administración en la nube, su estado en la sección Administración de computadoras cambia de Programado a Descargando. Después de descargar y verificar todos los componentes, se ofrece al usuario instalar el agente inmediatamente o posponer el proceso de instalación. Si el usuario no instala el agente dentro de los 2 días posteriores al inicio del proceso, el agente se instalará a la fuerza, lo que se indica en la ventana que solicita que comience la instalación.
Una vez que comienza la instalación del agente, la máquina del usuario en la sección Administración de computadoras de la consola de administración cambia al estado Implementación. Una vez que se completa el proceso de instalación del agente, puede abrir su interfaz haciendo clic derecho en el icono de Endpoint Security y seleccionando Mostrar descripción general.
Después de la instalación, se recomienda hacer clic en "Actualizar ahora" para iniciar el proceso de actualización de políticas y bases de datos en el agente. La primera actualización de la base de datos Anti-Malware puede tardar algún tiempo. Tan pronto como se actualicen todas las bases de datos, se iniciará un primer análisis automático del sistema. En este momento, la máquina cliente en la consola de administración debería mostrarse en el estado Completado, lo que indica la instalación exitosa del agente.
Comencemos a explorar la interfaz del agente. En la esquina inferior izquierda se muestra el estado del agente (En línea/Desconectado) y el nombre de su servidor de administración en la nube; en nuestro caso, el estado es "En línea" y el nombre del servidor de administración es "matssolution". La versión actual del agente se indica en la esquina inferior derecha: tenemos instalada la versión E83.11 (83.11.2702). El panel de navegación del agente consta de varias secciones:
- Noticias — la sección principal que muestra información sobre el estado de todos los blades y el cumplimiento de la computadora del usuario con la política de seguridad. También desde esta sección podrás “sumergirte” en cada blade para obtener información más detallada sobre el estado y eventos de seguridad;
- Actualizar ahora — permite iniciar el proceso de verificación de la relevancia de las políticas de seguridad y de las bases de datos vigentes en el agente;
- Escanea el sistema ahora — inicia el proceso de escaneo del sistema en busca de software o archivos maliciosos;
- Avanzado — configuración avanzada del agente que le permite ver la política instalada, ver o recopilar registros y también usar la computadora del usuario como agente de implementación.
Dado que no se realizaron cambios en la política inicial, el agente actualmente contiene solo hojas de política de Prevención de amenazas con valores estándar. El contenido de la política inicial de Prevención de amenazas se analizará con más detalle en nuestro próximo artículo de la serie.
Conclusión
Es hora de resumir el trabajo realizado: en este artículo, nos familiarizamos en detalle con la interfaz de la consola de administración web SandBlast Agent Management Platform, instalamos el agente en la máquina del usuario y estudiamos su interfaz.
En nuestro próximo artículo de la serie, estudiaremos la política estándar de Prevención de amenazas y la probaremos para contrarrestar los ataques más populares. También crearemos nuestras propias reglas de política para aumentar el nivel de seguridad de la máquina del usuario.
. Para no perderse las próximas publicaciones sobre el tema SandBlast Agent Management Platform, siga las actualizaciones en nuestras redes sociales (, , , , ).
Fuente: habr.com
