1. Analyse des logiciels malveillants à l'aide des analyses médico-légales de Check Point. Réseau SandBlast

Bienvenue dans cette nouvelle série d'articles, consacrée cette fois à l'investigation des incidents, et plus particulièrement à l'analyse des logiciels malveillants à l'aide de Check Point Forensics. Nous avons précédemment publié plusieurs leçons vidéo Nous allons continuer à travailler sur Smart Event, mais cette fois-ci nous examinerons les rapports d'analyse forensique d'événements spécifiques dans différents produits Check Point :

• Réseau SandBlast
• Agent de sablage
• Mobile de jet de sable
• CloudGuard SaaS

Pourquoi l'analyse forensique des incidents évités est-elle importante ? On pourrait croire qu'une infection virale suffit, alors pourquoi s'en préoccuper ? L'expérience montre qu'il est crucial non seulement de bloquer une attaque, mais aussi d'en comprendre le fonctionnement : point d'entrée, vulnérabilité exploitée, processus impliqués, atteinte du registre et du système de fichiers, famille de virus, dommages potentiels, etc. Ces données, parmi d'autres, sont disponibles dans les rapports forensiques complets de Check Point (textuels et graphiques). Obtenir un tel rapport manuellement est très complexe. Ces informations permettent ensuite de prendre les mesures appropriées et d'empêcher que des attaques similaires ne réussissent à l'avenir. Aujourd'hui, nous allons examiner le rapport forensique de Check Point SandBlast Network.

Réseau SandBlast

L'utilisation d'environnements de test isolés (sandboxes) pour renforcer la sécurité du périmètre réseau est une pratique courante depuis longtemps et un élément aussi essentiel que les systèmes de prévention d'intrusion (IPS). Chez Check Point, la fonctionnalité sandbox est gérée par le module Threat Emulation, qui fait partie de sa suite technologique SandBlast (incluant également Threat Extraction). Cet article a déjà été publié. Formation courte sur Check Point SandBlast Dans la version 77.30 de Gaia (je vous recommande vivement de la visionner si vous ne comprenez pas de quoi nous parlons), rien n'a fondamentalement changé d'un point de vue architectural. Si Check Point Gateway est installé sur le périmètre de votre réseau, deux options d'intégration en environnement sandbox s'offrent à vous :

1. Appareil local SandBlast — Un dispositif SandBlast supplémentaire est installé sur votre réseau, auquel les fichiers sont envoyés pour analyse.
2. Nuage de sable — Les fichiers sont envoyés au cloud Check Point pour analyse.

Un environnement sandbox peut être considéré comme le dernier rempart du réseau. Il n'est activé qu'après analyse par des outils traditionnels, tels que les antivirus et les systèmes de prévention d'intrusion (IPS). Alors que les outils classiques basés sur les signatures ne fournissent quasiment aucune analyse, un environnement sandbox peut fournir des informations détaillées sur les raisons du blocage d'un fichier et sur l'activité malveillante qu'il manifeste. Ce rapport d'analyse peut être obtenu à partir d'un environnement sandbox local ou hébergé dans le cloud.

Rapport d'analyse forensique de Check Point

Imaginez que vous, spécialiste en sécurité de l'information, arriviez au travail et ouvriez le tableau de bord SmartConsole. Vous y voyez les incidents des dernières 24 heures et votre attention est attirée par les événements d'émulation de menaces : les attaques les plus dangereuses qui n'ont pas été bloquées par l'analyse de signature.

Vous pouvez examiner ces événements en détail et consulter tous les journaux du module d'émulation des menaces.

Ensuite, vous pouvez filtrer les journaux en fonction du niveau de gravité de la menace (Gravité), ainsi que du niveau de confiance (fiabilité du déclenchement) :

En développant l'événement qui nous intéresse, nous pouvons consulter les informations générales (source, destination, gravité, expéditeur, etc.) :

Et vous pouvez également y remarquer une section Médecine avec disponible Résumé rapport. Cliquer dessus ouvrira une analyse détaillée du logiciel malveillant sous forme de page HTML interactive :

(Ceci fait partie de la page.) L'original peut être consulté ici.)

À partir de ce même rapport, nous pouvons télécharger le logiciel malveillant original (dans une archive protégée par mot de passe) ou contacter immédiatement l'équipe d'intervention de Check Point.

Vous trouverez ci-dessous une animation illustrant le pourcentage de logiciels malveillants connus auxquels notre échantillon correspond (y compris le code source et les macros). Cette analyse est réalisée grâce à l'apprentissage automatique de Check Point Threat Cloud.

Vous pouvez ensuite voir quelle activité spécifique du sandbox a permis de conclure que ce fichier est malveillant. Dans ce cas précis, nous constatons l'utilisation de techniques d'évasion et une tentative de téléchargement d'un ransomware.

Vous pouvez constater que, dans ce cas précis, l'émulation a été réalisée sur deux systèmes (Windows 7 et Windows XP) et avec différentes versions logicielles (Office et Adobe). Vous trouverez ci-dessous une vidéo (diaporama) illustrant le processus d'ouverture de ce fichier dans l'environnement isolé :

Exemple de vidéo :

À la toute fin, nous pouvons voir la progression de l'attaque en détail, sous forme de tableau ou de graphique :

Nous pouvons également télécharger ces informations au format RAW et dans un fichier pcap pour une analyse détaillée du trafic généré dans Wireshark :

Conclusion

Grâce à ces informations, vous pouvez renforcer considérablement la sécurité de votre réseau. Vous pouvez bloquer les serveurs de distribution de virus, corriger les vulnérabilités exploitées, empêcher les communications avec le serveur de commande et de contrôle, et bien plus encore. Ces analyses ne doivent pas être négligées.

Dans de prochains articles, nous aborderons également SandBlast Agent, SandBlast Mobile et les rapports CloudGiard SaaS. Restez à l'écoute !Telegram, Facebook, VK, Blog de la solution TS)!

Source: habr.com