{"id":92913,"date":"2020-09-01T13:42:56","date_gmt":"2020-09-01T11:42:56","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/5-check-point-sandblast-agent-management-platform-logs-reports-forensics-threat-hunting"},"modified":"2020-09-01T13:42:56","modified_gmt":"2020-09-01T11:42:56","slug":"5-check-point-sandblast-agent-management-platform-logs-reports-forensics-threat-hunting","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/5-check-point-sandblast-agent-management-platform-logs-reports-forensics-threat-hunting","title":{"rendered":"5. Check Point SandBlast Agent Management Platform. Registros, Informes & Forense. Caza de Amenazas","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"5.
\n
\nBienvenido al quinto art\u00edculo de la serie sobre la soluci\u00f3n Check Point SandBlast Agent Management Platform. Puedes consultar los art\u00edculos anteriores siguiendo el enlace correspondiente: la primera<\/a><\/noindex>, la segunda<\/a><\/noindex>, tres<\/a><\/noindex>, el cuarto<\/a><\/noindex>. Hoy vamos a explorar las capacidades de monitoreo en la Management Platform, espec\u00edficamente el trabajo con logs, dashboards interactivos (View) e informes. Tambi\u00e9n abordaremos el tema de Threat Hunting para identificar amenazas actuales y eventos an\u00f3malos en la m\u00e1quina del usuario.
\n<\/a><\/noindex><\/p>\n

Registros<\/h2>\n

\nLa principal fuente de informaci\u00f3n para el monitoreo de eventos de seguridad es la secci\u00f3n de Registros, que muestra informaci\u00f3n detallada sobre cada incidente y permite utilizar filtros convenientes para aclarar los criterios de b\u00fasqueda. Por ejemplo, al hacer clic derecho en un par\u00e1metro (Blade, Action, Severity, etc.) del registro de inter\u00e9s, este par\u00e1metro puede ser filtrado como Filtrar: \u00abPar\u00e1metro\u00bb<\/i> o Filtrar fuera: \u00abPar\u00e1metro\u00bb<\/i>. Adem\u00e1s, para el par\u00e1metro de Fuente, se puede elegir la opci\u00f3n Herramientas IP, donde se puede ejecutar ping a esta direcci\u00f3n IP\/nombre o realizar nslookup para obtener la direcci\u00f3n IP de la fuente por nombre.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

En la secci\u00f3n de Registros, para filtrar eventos, hay una subsecci\u00f3n de Estad\u00edsticas, que muestra estad\u00edsticas de todos los par\u00e1metros: un gr\u00e1fico temporal con el n\u00famero de registros, as\u00ed como porcentajes por cada uno de los par\u00e1metros. Desde esta subsecci\u00f3n, se pueden filtrar f\u00e1cilmente los registros sin tener que recurrir a la barra de b\u00fasqueda y escribir expresiones de filtrado: solo hay que seleccionar los par\u00e1metros deseados y la nueva lista de registros se mostrar\u00e1 de inmediato.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

La informaci\u00f3n detallada de cada registro est\u00e1 disponible en el panel derecho de la secci\u00f3n Logs, sin embargo, es m\u00e1s conveniente abrir el registro con un doble clic para analizar su contenido. A continuaci\u00f3n, se muestra un ejemplo de registro (la imagen es clicable), en el que se muestra informaci\u00f3n detallada sobre la activaci\u00f3n de la acci\u00f3n Prevent del blade Threat Emulation en un archivo infectado \".docx\". El registro tiene varias subsecciones que muestran los detalles del evento de seguridad: pol\u00edticas y protecciones activadas, detalles forenses, informaci\u00f3n del cliente y del tr\u00e1fico. Los informes disponibles en el registro, como el Threat Emulation Report y el Forensics Report, merecen especial atenci\u00f3n. Estos informes tambi\u00e9n se pueden abrir desde el cliente SandBlast Agent.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Threat Emulation Report<\/h3>\n

\n\"5.<\/a><\/noindex><\/p>\n

Al utilizar el blade Threat Emulation, despu\u00e9s de realizar la emulaci\u00f3n en la nube de Check Point, aparece un enlace en el registro correspondiente que lleva a un informe detallado sobre los resultados de la emulaci\u00f3n \u2014 Informe de Emulaci\u00f3n de Amenazas. El contenido de dicho informe se detalla en nuestro art\u00edculo sobre an\u00e1lisis de malware mediante forense Check Point SandBlast Network<\/a><\/noindex>. Cabe destacar que este informe es interactivo y permite profundizar en los detalles de cada secci\u00f3n. Tambi\u00e9n hay la opci\u00f3n de ver la grabaci\u00f3n del proceso de emulaci\u00f3n en una m\u00e1quina virtual, descargar el archivo malicioso original o obtener su hash, y contactar al Check Point Incident Response Team.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Informe Forense<\/h3>\n

\nPr\u00e1cticamente para cualquier evento de seguridad se genera un informe Forense, que incluye informaci\u00f3n detallada sobre el archivo malicioso: sus caracter\u00edsticas, acciones, punto de entrada en el sistema e impacto en los activos importantes de la empresa. La estructura del informe fue detalladamente discutida en nuestro art\u00edculo sobre an\u00e1lisis de malware mediante forense Check Point SandBlast Agent<\/a><\/noindex>. Este informe es una fuente importante de informaci\u00f3n durante la investigaci\u00f3n de eventos de seguridad, y si es necesario, se puede enviar directamente el contenido del informe al Check Point Incident Response Team.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

SmartView<\/h2>\n

\nCheck Point SmartView es una herramienta conveniente para construir y visualizar dashboards din\u00e1micos (Vista) e informes en formato PDF. Desde SmartView tambi\u00e9n se pueden visualizar registros personalizados y eventos de auditor\u00eda para administradores. En la imagen de abajo se presentan los informes y dashboards m\u00e1s \u00fatiles para trabajar con SandBlast Agent.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Los informes en SmartView son documentos con informaci\u00f3n estad\u00edstica sobre eventos en un periodo determinado. Se admite la descarga de informes en formato PDF en la m\u00e1quina donde se abri\u00f3 SmartView, as\u00ed como la descarga regular en PDF\/Excel al correo electr\u00f3nico del administrador. Adem\u00e1s, se admite la importaci\u00f3n\/exportaci\u00f3n de plantillas de informes, la creaci\u00f3n de informes personalizados y la posibilidad de ocultar los nombres de usuario en los informes. La imagen de abajo muestra un ejemplo de un informe integrado de Prevenci\u00f3n de Amenazas.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Los paneles (View) en SmartView permiten al administrador acceder a los registros correspondientes a un evento, solo es necesario hacer doble clic en el objeto de inter\u00e9s, ya sea una columna en el gr\u00e1fico o el nombre de un archivo malicioso. Al igual que con los informes, se pueden crear paneles personalizados y ocultar datos de los usuarios. Tambi\u00e9n se admite la importaci\u00f3n\/exportaci\u00f3n de plantillas para los paneles, as\u00ed como la exportaci\u00f3n regular a PDF\/Excel a la direcci\u00f3n de correo electr\u00f3nico del administrador y la actualizaci\u00f3n autom\u00e1tica de datos para el monitoreo de eventos de seguridad en tiempo real.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Secciones adicionales de monitoreo<\/h2>\n

\nLa descripci\u00f3n de las herramientas de monitoreo en la Management Platform ser\u00eda incompleta sin mencionar las secciones Overview, Computer Management, Endpoint Settings y Push Operations. Estas secciones se han descrito en detalle en el segundo art\u00edculo<\/a><\/noindex>, sin embargo, ser\u00e1 \u00fatil considerar sus capacidades para resolver tareas de monitoreo. Comenzaremos con Overview, que consta de dos subsecciones: Operational Overview y Security Overview, que son paneles que presentan informaci\u00f3n sobre el estado de las m\u00e1quinas de usuario protegidas y los eventos de seguridad. Al igual que al interactuar con cualquier otro panel, las subsecciones Operational Overview y Security Overview, al hacer doble clic en el par\u00e1metro de inter\u00e9s, permiten acceder a la secci\u00f3n Computer Management con el filtro seleccionado (por ejemplo, 'Desktops' o 'Pre-Boot Status: Enabled'), o a la secci\u00f3n Logs para un evento espec\u00edfico. La subsecci\u00f3n Security Overview es un panel 'Cyber Attack View \u2013 Endpoint', que se puede personalizar y configurar para actualizarse autom\u00e1ticamente.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Desde la secci\u00f3n Computer Management, se puede monitorear el estado del agente en las m\u00e1quinas de usuario, el estado de actualizaci\u00f3n de la base de datos Anti-Malware, las etapas de cifrado del disco y mucho m\u00e1s. Todos los datos se actualizan de forma autom\u00e1tica, y para cada uno de los filtros se muestra un porcentaje de las m\u00e1quinas de usuario adecuadas. Tambi\u00e9n se admite la exportaci\u00f3n de datos de los ordenadores en formato CSV.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Un aspecto importante del monitoreo de la seguridad de las estaciones de trabajo es la configuraci\u00f3n de notificaciones sobre eventos cr\u00edticos (Alerts) y la exportaci\u00f3n de registros (Export Events) para su almacenamiento en el servidor de registros de la empresa. Ambas configuraciones se realizan en la secci\u00f3n Endpoint Settings, y para Alertas<\/i> existe la posibilidad de conectar un servidor de correo para enviar notificaciones sobre eventos al administrador y configurar los umbrales de activaci\u00f3n\/desactivaci\u00f3n de notificaciones seg\u00fan el porcentaje\/cantidad de dispositivos que cumplan con los criterios del evento. Exportar eventos<\/i> permite configurar el reenv\u00edo de registros desde la Plataforma de Gesti\u00f3n a un servidor de registros de la empresa para su posterior procesamiento. Se admiten los formatos SYSLOG, CEF, LEEF, SPLUNK, protocolos TCP\/UDP, cualquier sistema SIEM con un agente syslog operativo, uso de cifrado TLS\/SSL y autenticaci\u00f3n del cliente syslog.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Para un an\u00e1lisis profundo de eventos en el agente o en caso de contactar soporte t\u00e9cnico, se pueden recopilar r\u00e1pidamente registros del cliente SandBlast Agent mediante una operaci\u00f3n forzada en la secci\u00f3n Operaciones Push. Se puede configurar el reenv\u00edo del archivo de registros generado a los servidores de Check Point o a servidores corporativos, y el archivo de registros tambi\u00e9n se guarda en la m\u00e1quina del usuario en el directorio C:UsersusernameCPInfo. Se admite el inicio del proceso de recopilaci\u00f3n de registros a una hora espec\u00edfica y la opci\u00f3n de que el usuario retrase la operaci\u00f3n.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Caza de Amenazas<\/h2>\n

\nEl m\u00e9todo de Caza de Amenazas se utiliza para buscar proactivamente acciones maliciosas y comportamientos an\u00f3malos en el sistema para investigar eventos de seguridad potenciales. La secci\u00f3n de Caza de Amenazas en la Plataforma de Gesti\u00f3n permite buscar eventos con par\u00e1metros espec\u00edficos en los datos de la m\u00e1quina del usuario.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

La herramienta de Caza de Amenazas tiene varias consultas preestablecidas, por ejemplo: para clasificar dominios o archivos maliciosos, rastrear accesos inusuales a ciertas direcciones IP (en relaci\u00f3n con las estad\u00edsticas generales). La estructura de la consulta consta de tres par\u00e1metros: un indicador<\/i> (protocolo de red, identificador de proceso, tipo de archivo, etc.), un operador<\/i> (\u201ces\u201d, \u201cno es\u201d, \u201cincluye\u201d, \u201cuno de\u201d, etc.) y el cuerpo de la consulta<\/i>. En el cuerpo de la consulta se pueden utilizar expresiones regulares, y se admite el uso de varios filtros simult\u00e1neamente en la cadena de b\u00fasqueda.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Despu\u00e9s de seleccionar el filtro y completar el procesamiento de la solicitud, se obtiene acceso a todos los eventos relevantes, con la opci\u00f3n de ver informaci\u00f3n detallada sobre el evento, poner el objeto de la solicitud en cuarentena o generar un informe detallado de Forensics Report que describa el evento. Actualmente, esta herramienta se encuentra en versi\u00f3n beta y se planea expandir su conjunto de funcionalidades, como la inclusi\u00f3n de informaci\u00f3n sobre el evento en forma de matriz Mitre Att&ck.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Conclusi\u00f3n<\/h3>\n

\nEn resumen: en este art\u00edculo hemos explorado las capacidades de monitoreo de eventos de seguridad en la SandBlast Agent Management Platform, revisamos una nueva herramienta para la b\u00fasqueda proactiva de actividades maliciosas y anomal\u00edas en las m\u00e1quinas de los usuarios \u2014 Threat Hunting. El siguiente art\u00edculo ser\u00e1 el \u00faltimo de este ciclo y en \u00e9l abordaremos las preguntas m\u00e1s frecuentes sobre la soluci\u00f3n Management Platform y hablaremos sobre las posibilidades de probar este producto.<\/p>\n

Una amplia selecci\u00f3n de materiales sobre Check Point de TS Solution<\/a><\/noindex>. Para no perderte las pr\u00f3ximas publicaciones sobre la plataforma de gesti\u00f3n de agentes SandBlast, sigue nuestras actualizaciones en nuestras redes sociales (Telegram<\/a><\/noindex>, Facebook<\/a><\/noindex>, VK<\/a><\/noindex>, TS Solution Blog<\/a><\/noindex>, Yandex.Zen<\/a><\/noindex>).
\n
Fuente: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0414\u043e\u0431\u0440\u043e \u043f\u043e\u0436\u0430\u043b\u043e\u0432\u0430\u0442\u044c \u043d\u0430 \u043f\u044f\u0442\u0443\u044e \u0441\u0442\u0430\u0442\u044c\u044e \u0446\u0438\u043a\u043b\u0430 \u043e \u0440\u0435\u0448\u0435\u043d\u0438\u0438 Check Point SandBlast Agent Management Platform. \u0421 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0438\u043c\u0438 \u0441\u0442\u0430\u0442\u044c\u044f\u043c\u0438 \u043c\u043e\u0436\u043d\u043e \u043e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u0442\u044c\u0441\u044f, \u043f\u0435\u0440\u0435\u0439\u0434\u044f \u043f\u043e \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u0439 \u0441\u0441\u044b\u043b\u043a\u0435: \u043f\u0435\u0440\u0432\u0430\u044f, \u0432\u0442\u043e\u0440\u0430\u044f, \u0442\u0440\u0435\u0442\u044c\u044f, \u0447\u0435\u0442\u0432\u0451\u0440\u0442\u0430\u044f. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0430 \u0432 Management Platform, \u0430 \u0438\u043c\u0435\u043d\u043d\u043e \u0440\u0430\u0431\u043e\u0442\u0443 \u0441 \u043b\u043e\u0433\u0430\u043c\u0438, \u0438\u043d\u0442\u0435\u0440\u0430\u043a\u0442\u0438\u0432\u043d\u044b\u043c\u0438 \u0434\u0430\u0448\u0431\u043e\u0440\u0434\u0430\u043c\u0438 (View) \u0438 \u043e\u0442\u0447\u0451\u0442\u0430\u043c\u0438. \u0422\u0430\u043a\u0436\u0435 \u0437\u0430\u0442\u0440\u043e\u043d\u0435\u043c \u0442\u0435\u043c\u0443 Threat Hunting \u0434\u043b\u044f \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u044f \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0433\u0440\u043e\u0437 \u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":92914,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-92913","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd475. Check Point SandBlast Agent Management Platform. Registros, Informes y Forensics. Threat Hunting | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/5-check-point-sandblast-agent-management-platform-logs-reports-forensics-threat-hunting","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd475. Check Point SandBlast Agent Management Platform. Logs, Reports & Forensics. Threat Hunting | ProHoster","og:url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/5-check-point-sandblast-agent-management-platform-logs-reports-forensics-threat-hunting","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-01T11:42:56+00:00","article:modified_time":"2020-09-01T11:42:56+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"92913","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:58:25","updated":"2022-09-30 07:34:54","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/92913","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=92913"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/92913\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media\/92914"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=92913"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=92913"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=92913"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}