3. Check Point SandBlast Agent Management Platform. Ohu vältimise poliitika

Tere tulemast kolmandasse artiklisse tsüklis uue pilvehalduse konsooli kohta, mis tegeleb isikliku arvuti kaitsega — Check Point SandBlast Agent Management Platform. Pean meeles, et esimene artikkel s tutvusime Infinity Portaali ja lõime pilveteenuse lõpp-punktide halduseks. Eelnevas artiklis teisest artiklist uurisime halduskeskuse veebiliidest ja installisime agendi vaikepoliitikaga kasutajamasinale. Täna käsitleme standardse Threat Preventioni turvapoliitika sisu ja testime selle tõhusust populaarsete rünnakute vastu.

Standardne Threat Preventioni poliitika: kirjeldus

Ülaltoodud joonisel on kujutatud standardset Threat Preventioni poliitika reeglit, mis kehtib vaikimisi kogu organisatsioonile (kõigile installitud agentidele) ja sisaldab kolme kaitsekomponentide loogilist rühma: Veeb & Failide Kaitse, Käitumuslik Kaitse ning Analüüs & Taaskasutamine. Uurime iga rühma lähemalt.

Veeb & Failide Kaitse

URL-i filtreerimine
URL-i filtreerimine võimaldab kontrollida kasutajate juurdepääsu veebiallikatele, kasutades selleks eelnevalt määratud 5 kategooriat saite. Iga 5 kategooria sisaldab mitu spetsiifilisemat alakategooriat, võimaldades näiteks blokeerida juurdepääsu alakategooriale Mängud ja lubada juurdepääsu alakategooriale Kiire suhtlemine, mis kuuluvad ühte kategooriasse Tootlikkuse kaotus. URL-id, mis kuuluvad konkreetsetesse alakategooriatesse, määrab Check Point. Konkreetse URL-i kategooria kontrollimiseks või kategooria ümbersuunamise taotlemiseks on spetsiaalne ressurss. URL-i kategooria määramine.
Tegevusena on võimalik seadistada Prevent, Detect või Off. Samuti lisatakse tegevuse Detect valimisel automaatselt seadistus, mis võimaldab kasutajatel ignoreerida URL-i filtreerimise hoiatust ja minna huvipakkuvale ressurssile. Prevent tegevuse korral saab selle seadistuse eemaldada ja kasutaja ei pääse juurde keelatud veebilehele. Samuti on mugav viis keelatud ressursside jälgimiseks musta nimekirja seadistamine, kuhu saab lisada domeene, IP-aadresse või laadida .csv formaadis faili, mis sisaldab blokeeritavate domeenide nimekirja.

Standardseadus URL Filterimise jaoks on seadistatud tegevus Detect ja valitud on üks kategooria — Turve, mille jaoks toimuvad sündmuste tuvastamine. See kategooria sisaldab erinevaid anonüüme, veebisaite, mille riskitase on kriitiline/kõrgem/keskmine, phishing'u saidid, rämpspost ja palju muud. Samal ajal saavad kasutajad siiski juurde pääseda ressurssidele tänu seadistusele „Luba kasutajal URL Filterimise hoiatuse eiramine ja veebisaidi külastamine”.

Laadi alla (veb) kaitse
Emulatsioon & Ekstraktsioon võimaldab emuleerida alla laaditud faile Check Pointi pilves liivakastis ja puhastada dokumente „režiimis”, eemaldades potentsiaalselt kahjuliku sisu või konverteerides dokumendi PDF-formaati. On olemas kolm töörežiimi:

• Ennetamine — võimaldab saada puhastatud dokumendi koopia enne lõplikku emulatsiooni otsust või oodata emulatsiooni lõpetamist ja alla laadida kohe originaalfail;

• Tuvastamine — teostab emulatsiooni taustal, takistamata kasutaja juurdepääsu originaalfailile, olenemata otsusest;

• Kõrval — kõik failid on lubatud alla laadida ilma emulatsiooni ja potentsiaalselt kahjulike komponentide puhastamiseta.

Samuti on võimalik valida tegevus failide jaoks, mida Check Pointi emulatsioon ja puhastamine ei toeta — saab lubada või keelata kõik toetamata failide allalaadimised.

Standardseadus Download Protection jaoks on seadistatud tegevus Ennetamine koos võimalusega saada originaaldokumendi puhastatud koopia potentsiaalselt kahjuliku sisuga, samuti lubada alla laadida faile, mida emulatsioon ja puhastamine ei toeta.

Krediidi kaitse
Krediidi kaitse komponent kaitseb kasutajate sisselogimisteavet ja koosneb kahest osast: Zero Phishing ja Parooli kaitse. Zero Phishing kaitseb kasutajaid juurdepääsu eest phishing'u ressurssidele, ning Parooli kaitse teavitab kasutajat ettevõtte sisselogimisandmete kasutamise keeldumisest kaitstud domeenist väljaspool. Zero Phishing võib olla seadistatud Prevent, Detect või Off. Kui Prevent on seadistatud, on kasutajatel võimalus hoiatusest mööda minna ja ressursile juurde pääseda või keelata see võimalus ja alati blokeerida juurdepääs. Kui Detect on seadistatud, on kasutajatel alati võimalus hoiatusest mööda minna ja ressursile juurde pääseda. Password Protection võimaldab valida kaitstud domeene, mille jaoks paroolide vastavuse kontrolli teostatakse, ja valida kolme tegevuse vahel: Detect & Alert (kasutajat teavitav), Detect või Off.

Credential Protectioni standardne poliitika näeb ette Prevent kõigi petturlike ressursside jaoks, takistades kasutajatel pääsemast potentsiaalselt pahatahtlikule veebisaidile. Samuti on ka ettevõtte paroolide kaitse, kuid ilma määratud domeenideta ei tööta see funktsioon.

Files Protection
Files Protection vastutab kasutaja seadmel salvestatud failide kaitsmise eest ning sisaldab kahte komponenti: Anti-Malware ja Files Threat Emulation. Anti-Malware on tööriist, mis skaneerib regulaarselt kõiki kasutaja ja süsteemi faile allkirja analüüsi abil. Selle komponendi seadetes saab konfigureerida regulaarse või juhusliku skaneerimise parameetreid, allkirjade värskendamise perioodi ning võimalust kasutajatel planeeritud skaneerimist tühistada. Files Threat Emulation lubab emuleerida kasutaja seadmel salvestatud faile Check Pointi pilves, kuid see turvafunktsioon töötab ainult Detect režiimis.

Files Protectioni standardpoliitikas on sisse lülitatud kaitse Anti-Malware'i kaudu ja pahatahtlike failide tuvastamine Files Threat Emulation abil. Regulaarne skaneerimine toimub iga kuu ja allkirjad kasutaja seadmel uuendatakse iga 4 tunni tagant. Samuti on kasutajatel võimalus planeeritud skaneerimist tühistada, kuid mitte hiljem kui 30 päeva pärast viimast edukat skaneerimist.

Behavioral Protection

Anti-Bot, Behavioral Guard & Anti-Ransomware, Anti-Exploit
Käitumisprotsessi kaitsekomponentide rühm sisaldab kolme elementi: Anti-Bot, Käitumiskaitse & Anti-Ransomware ja Anti-Exploit. Anti-Bot võimaldab jälgida ja blokeerida C&C ühendusi pidevalt uueneva Check Point ThreatCloud andmebaasi abil. Käitumiskaitse & Anti-Ransomware jälgib pidevalt kasutaja masina tegevust (failid, protsessid, võrguühendused) ning aitab ära hoida krüpteerijate rünnakuid varajases staadiumis. Lisaks sellele võimaldab see kaitselement taastada faile, mis on juba pahavara poolt krüpteeritud. Failid taastatakse nende algsetesse kataloogidesse või saab määrata konkreetse tee, kuhu kõik taastatud failid salvestatakse. Anti-Exploit aitab tuvastada nullpäeva rünnakuid. Kõigi Käitumisprotsessi kaitsekomponentide jaoks toetatakse kolme töörežiimi: Ennetamine, Tuvastamine ja Keelatud.

Käitumisprotsessi kaitse standardpoliitika eeldab Ennetamist komponente Anti-Bot ja Käitumiskaitse & Anti-Ransomware jaoks, taastades krüpteeritud failid nende algsetesse kataloogidesse. Komponent Anti-Exploit on välja lülitatud ja ei ole kasutusel.

Analüüs ja taaskasutamine

Automatiseeritud rünnakute analüüs (tsiviilisikud), taaskasutamine & reageerimine
Küberturbe sündmuste analüüsimiseks ja uurimiseks on saadaval kaks turvakomponenti: Automatiseeritud rünnakute analüüs (tsiviilisikud) ja Taaskasutamine & reageerimine. Automatiseeritud rünnakute analüüs (tsiviilisikud) aitab genereerida rünnakute tagasivõtmise tulemuste põhjal aruandeid, sealhulgas üksikasjalikku kirjelduse – kuni pahavara täitmise protsessi analüüsini kasutaja masinas. Samuti on võimalik kasutada Threat Hunting funktsiooni, mis võimaldab proaktiivselt otsida anomaaliaid ja potentsiaalselt kahjustavaid tegevusi, kasutades eelnevalt määratletud või loodud filtreid. Taaskasutamine & reageerimine aitab määrata taastamise ja failide karantiini seadeid pärast rünnakut: reguleeritakse kasutajate suhtlemist karantiinis olevate failidega, samuti on võimalus hoida faile karantiinis määratud administraatori kataloogis.

Käitumisprotsessi kaitse standardpoliitikas on aktiveeritud kaitse, mis hõlmab automatiseeritud tegevusi taastamiseks (protsesside lõpetamine, failide taastamine jne) ning aktiveeritud on ka valik saata faile karantiini, kusjuures kasutajad saavad ainult faile karantiinist kustutada.

Standardsed Threat Prevention poliitikad: testimine

Check Point CheckMe Endpoint

Kiireim ja lihtsaim viis kontrollida kasutaja masina turvalisust kõige levinumate rünnakute vastu on testida ressursi abil Check Point CheckMe, mis viib läbi rea tüüpilisi rünnakuid erinevates kategooriates ja võimaldab saada aruande testimise tulemuste kohta. Antud juhul kasutati Endpointi testimise versiooni, mille käigus laaditakse arvutisse alla ja käivitatakse käivitatav fail, mille järel algab kontrollimisprotsess.

Kontrollimise käigus teatab SandBlast Agent tuvastatud ja peatatud rünnakutest kasutaja arvutis, näiteks: Anti-Boti blade teatab nakatumise avastamisest, Anti-Malware blade avastas ja kustutas pahavara faili CP_AM.exe, ning Threat Emulation bladeemuule alusel tuvastas, et fail CP_ZD.exe on kahjuliku iseloomuga.

CheckMe Endpointi testimise tulemusena saame järgmise tulemuse: 6 rünnakute kategooriast ei suutnud standardne Threat Prevention poliitika toime tulla ainult ühe kategooriaga - Browser Exploit. Seda seletatakse sellega, et standardne Threat Prevention poliitika ei sisalda Anti-Exploit blade'i. Tuleb märkida, et ilma paigaldatud SandBlast Agentita läbis kasutaja arvuti kontrolli ainult Ransomware kategoorias.

KnowBe4 RanSim

Anti-Ransomware blade'i töö testimiseks saab kasutada tasuta lahendust KnowBe4 RanSim, mis viib läbi rea teste kasutaja masinas: 18 stsenaariumi šifreerijate nakatamiseks ja 1 stsenaarium krüptomineerijaga nakatamiseks. Tuleb märkida, et paljude blade'ide (Threat Emulation, Anti-Malware, Behavioral Guard) olemasolu standardses poliitikas, mille funktsioon on Prevent, ei võimalda seda testi korralikult käivitada. Siiski näitab Anti-Ransomware blade'i test isegi madalama turvalisuse taseme korral (Threat Emulation Off režiimis) kõrgeid tulemusi: 18 19 testist läbis edukalt (1 ei käivitatud).

Kahjulikud failid ja dokumendid

Tõendav on erinevate Threat Prevention'i poliitiliste blade'ide töö kontrollimine tuntud formaate kasutavate pahavarade failide kaudu, mis laaditakse kasutaja masina peale. Selles testis osales 66 faili vormingutes PDF, DOC, DOCX, EXE, XLS, XLSX, CAB, RTF. Testi tulemused näitasid, et SandBlast Agent suutis blokeerida 64 pahatahtlikku faili 66-st. Nakatunud failid eemaldati pärast allalaadimist või puhastati pahast sisust Threat Extraction'i abil ning edastati kasutajale.

Soovitused Threat Prevention poliitika parandamiseks

1. URL Filtreerimine

Esimene asi, mida on vaja parandada standardpoliitikas klientmasina kaitse taseme tõstmiseks, on viia URL Filtreerimise blade Preventi režiimi ja märgistada vastavad blokeerimise kategooriad. Meie puhul valiti kõik kategooriad, välja arvatud General Use, kuna need hõlmavad enamikku ressurssidest, millele juurdepääsu peaksite töökohal piirama. Samuti on soovitatav eemaldada kasutajate võimalus ignoreerida hoiatusteate, eemaldades märgi valikult „Allow user to dismiss the URL Filtering alert and access the website”.

2. Allalaadimise kaitse

Teine aspekt, millele tuleks tähelepanu pöörata, on võimalus kasutajatel alla laadida faile, mida Check Point ei emuleeri. Kuna siin arutleme Threat Preventioni standardpoliitika täiustusi turvalisuse aspektist, oleks parim variant keelata toetamatute failide allalaadimine.

3. Failide kaitse

Samuti tuleb tähelepanu pöörata failide kaitse seadistustele - eriti perioodilise skaneerimise ja kasutajatele sundskaneerimise edasilükkamise võimalustele. Antud juhul tuleb arvesse võtta kasutaja tööaega, ning turvalisuse ja jõudluse aspektist on hea variant seadistada sundskaneerimine iga päev, valides juhuslikult aja (00:00 kuni 8:00), ning kasutajal on võimalus edasilükata skaneerimist maksimaalselt nädalaks.

4. Anti-Exploit

Tähtis puudus standardsetest Threat Prevention poliitikatest on kehtestamata Anti-Exploit blade. Soovitame aktiveerida see blade Prevent tegevusega, et kaitsta tööjaama eksploitide kasutamisega rünnakute eest. Selle muudatusega läbib korduv CheckMe test edukalt ilma kasutaja töömasinas haavatavusi leidmata.

Kokkuvõte

Kokkuvõtteks: selles artiklis tutvusime standardse Threat Prevention poliitika komponentidega, testisime seda poliitikat erinevate meetodite ja vahenditega ning kirjeldasime soovitusi standardse poliitika seade parendamiseks, et suurendada kasutaja masina kaitsetaset. Järgmises artiklis keskendume Data Protection poliitika uurimisele ja vaatame üle Global Policy Settings seaded.

Suur kogumik materjale Check Pointi kohta TS Solutionilt. Et mitte jääda ilma SandBlast Agent Management Platform'i teemaga seotud järgmiste avalduste jälgimisest - jälgige meie sotsiaalmeedia uuendusi (Telegram, Facebook, VK, TS Solution Blog, Yandex.Zen).

Allikas: habr.com