1. ચેક પોઈન્ટ ફોરેન્સિક્સનો ઉપયોગ કરીને માલવેરનું વિશ્લેષણ. સેન્ડબ્લાસ્ટ નેટવર્ક

લેખોની નવી શ્રેણીમાં આપનું સ્વાગત છે, આ વખતે ઘટનાની તપાસના વિષય પર, એટલે કે ચેક પોઇન્ટ ફોરેન્સિક્સનો ઉપયોગ કરીને માલવેર વિશ્લેષણ. અમે અગાઉ પ્રકાશિત કેટલાક વિડિઓ પાઠ સ્માર્ટ ઇવેન્ટમાં કામ કરવા પર, પરંતુ આ વખતે અમે અલગ-અલગ ચેક પોઇન્ટ પ્રોડક્ટ્સમાં ચોક્કસ ઇવેન્ટ્સ પર ફોરેન્સિક રિપોર્ટ્સ જોઈશું:

• સેન્ડબ્લાસ્ટ નેટવર્ક
• સેન્ડબ્લાસ્ટ એજન્ટ
• સેન્ડબ્લાસ્ટ મોબાઇલ
• CloudGuard SaaS

ઘટના નિવારણ ફોરેન્સિક્સ શા માટે મહત્વપૂર્ણ છે? એવું લાગે છે કે તમે વાયરસ પકડ્યો છે, તે પહેલેથી જ સારો છે, તેની સાથે કેમ વ્યવહાર કરવો? પ્રેક્ટિસ બતાવે છે તેમ, ફક્ત હુમલાને અવરોધિત કરવાની જ નહીં, પણ તે કેવી રીતે કાર્ય કરે છે તે બરાબર સમજવાની પણ સલાહ આપવામાં આવે છે: પ્રવેશ બિંદુ શું હતું, કઈ નબળાઈનો ઉપયોગ કરવામાં આવ્યો હતો, કઈ પ્રક્રિયાઓ સામેલ છે, શું રજિસ્ટ્રી અને ફાઇલ સિસ્ટમ અસરગ્રસ્ત છે, કયું કુટુંબ વાયરસ, શું સંભવિત નુકસાન, વગેરે. આ અને અન્ય ઉપયોગી ડેટા ચેક પોઈન્ટના વ્યાપક ફોરેન્સિક રિપોર્ટ્સ (ટેક્સ્ટ અને ગ્રાફિકલ બંને)માંથી મેળવી શકાય છે. આવો રિપોર્ટ જાતે મેળવવો ખૂબ જ મુશ્કેલ છે. આ ડેટા પછી યોગ્ય પગલાં લેવામાં અને ભવિષ્યમાં સમાન હુમલાઓને સફળ થતાં અટકાવવામાં મદદ કરી શકે છે. આજે આપણે ચેક પોઈન્ટ સેન્ડબ્લાસ્ટ નેટવર્ક ફોરેન્સિક રિપોર્ટ જોઈશું.

સેન્ડબ્લાસ્ટ નેટવર્ક

નેટવર્ક પરિમિતિના રક્ષણને મજબૂત કરવા માટે સેન્ડબોક્સનો ઉપયોગ લાંબા સમયથી સામાન્ય છે અને તે IPS તરીકે ફરજિયાત ઘટક છે. ચેક પોઈન્ટ પર, થ્રેટ ઈમ્યુલેશન બ્લેડ, જે સેન્ડબ્લાસ્ટ ટેક્નોલોજીનો ભાગ છે (ત્યાં થ્રેટ એક્સટ્રેક્શન પણ છે), સેન્ડબોક્સ કાર્યક્ષમતા માટે જવાબદાર છે. અમે પહેલાથી જ પ્રકાશિત કર્યું છે ચેક પોઇન્ટ સેન્ડબ્લાસ્ટ પર નાનો અભ્યાસક્રમ Gaia 77.30 વર્ઝન માટે પણ (જો અમે અત્યારે શું વાત કરી રહ્યા છીએ તે તમને સમજાતું ન હોય તો હું તેને જોવાની ખૂબ ભલામણ કરું છું). આર્કિટેક્ચરલ દૃષ્ટિકોણથી, ત્યારથી કંઈપણ મૂળભૂત રીતે બદલાયું નથી. જો તમારી પાસે તમારા નેટવર્કની પરિમિતિ પર ચેક પોઇન્ટ ગેટવે છે, તો પછી તમે સેન્ડબોક્સ સાથે એકીકરણ માટે બે વિકલ્પોનો ઉપયોગ કરી શકો છો:

1. સેન્ડબ્લાસ્ટ લોકલ એપ્લાયન્સ — તમારા નેટવર્ક પર વધારાનું સેન્ડબ્લાસ્ટ એપ્લાયન્સ ઇન્સ્ટોલ કરેલું છે, જેના પર ફાઈલો વિશ્લેષણ માટે મોકલવામાં આવે છે.
2. સેન્ડબ્લાસ્ટ ક્લાઉડ - ફાઈલો ચેક પોઈન્ટ ક્લાઉડ પર વિશ્લેષણ માટે મોકલવામાં આવે છે.

સેન્ડબોક્સને નેટવર્ક પરિમિતિ પર સંરક્ષણની છેલ્લી લાઇન ગણી શકાય. તે શાસ્ત્રીય માધ્યમ દ્વારા વિશ્લેષણ પછી જ જોડાય છે - એન્ટિવાયરસ, આઇપીએસ. અને જો આવા પરંપરાગત હસ્તાક્ષર સાધનો વ્યવહારીક રીતે કોઈપણ વિશ્લેષણો પ્રદાન કરતા નથી, તો સેન્ડબોક્સ વિગતવાર "કહેશે" કે ફાઇલ શા માટે અવરોધિત કરવામાં આવી હતી અને તે બરાબર શું દૂષિત કરે છે. આ ફોરેન્સિક રિપોર્ટ સ્થાનિક અને ક્લાઉડ સેન્ડબોક્સ બંનેમાંથી મેળવી શકાય છે.

પોઇન્ટ ફોરેન્સિક્સ રિપોર્ટ તપાસો

ચાલો કહીએ કે તમે, માહિતી સુરક્ષા નિષ્ણાત તરીકે, કામ પર આવ્યા અને SmartConsole માં ડેશબોર્ડ ખોલ્યું. તુરંત જ તમે છેલ્લા 24 કલાકની ઘટનાઓ જુઓ છો અને તમારું ધ્યાન થ્રેટ ઇમ્યુલેશન ઇવેન્ટ્સ તરફ દોરવામાં આવે છે - સૌથી ખતરનાક હુમલા કે જે સહી વિશ્લેષણ દ્વારા અવરોધિત ન હતા.

તમે આ ઇવેન્ટ્સમાં "ડ્રિલ ડાઉન" કરી શકો છો અને થ્રેટ ઇમ્યુલેશન બ્લેડ માટેના તમામ લૉગ્સ જોઈ શકો છો.

આ પછી, તમે ખતરનાક ગંભીરતા સ્તર (ગંભીરતા), તેમજ આત્મવિશ્વાસ સ્તર (પ્રતિભાવની વિશ્વસનીયતા) દ્વારા લોગને વધુમાં ફિલ્ટર કરી શકો છો:

અમને રુચિ છે તે ઇવેન્ટને વિસ્તૃત કર્યા પછી, અમે સામાન્ય માહિતી (src, dst, ગંભીરતા, પ્રેષક, વગેરે) થી પરિચિત થઈ શકીએ છીએ:

અને ત્યાં તમે વિભાગ જોઈ શકો છો ફોરેન્સિક્સ ઉપલબ્ધ સાથે સારાંશ અહેવાલ તેના પર ક્લિક કરવાથી મૉલવેરનું વિગતવાર વિશ્લેષણ ઇન્ટરેક્ટિવ HTML પૃષ્ઠના રૂપમાં ખુલશે:

(આ પૃષ્ઠનો ભાગ છે. મૂળ અહીં જોઈ શકાય છે)

આ જ રિપોર્ટમાંથી, અમે મૂળ માલવેર ડાઉનલોડ કરી શકીએ છીએ (પાસવર્ડ-સંરક્ષિત આર્કાઇવમાં), અથવા તરત જ ચેક પોઇન્ટ પ્રતિસાદ ટીમનો સંપર્ક કરી શકીએ છીએ.

નીચે તમે એક સુંદર એનિમેશન જોઈ શકો છો જે ટકાવારીની દ્રષ્ટિએ બતાવે છે જે પહેલાથી જ જાણીતા દૂષિત કોડ અમારા ઉદાહરણમાં સમાન છે (કોડ પોતે અને મેક્રો સહિત). ચેક પોઇન્ટ થ્રેટ ક્લાઉડમાં મશીન લર્નિંગનો ઉપયોગ કરીને આ વિશ્લેષણો વિતરિત કરવામાં આવે છે.

પછી તમે જોઈ શકો છો કે સેન્ડબોક્સમાં કઈ પ્રવૃત્તિઓએ અમને નિષ્કર્ષ પર આવવાની મંજૂરી આપી છે કે આ ફાઇલ દૂષિત છે. આ કિસ્સામાં, અમે બાયપાસ તકનીકોનો ઉપયોગ અને રેન્સમવેર ડાઉનલોડ કરવાનો પ્રયાસ જોઈએ છીએ:

તે નોંધી શકાય છે કે આ કિસ્સામાં, ઇમ્યુલેશન બે સિસ્ટમ્સ (વિન 7, વિન એક્સપી) અને વિવિધ સોફ્ટવેર વર્ઝન (ઓફિસ, એડોબ) માં હાથ ધરવામાં આવ્યું હતું. નીચે સેન્ડબોક્સમાં આ ફાઇલ ખોલવાની પ્રક્રિયા સાથેનો વિડિયો (સ્લાઇડ શો) છે:

ઉદાહરણ વિડિઓ:

ખૂબ જ અંતમાં આપણે વિગતવાર જોઈ શકીએ છીએ કે હુમલો કેવી રીતે વિકસિત થયો. ક્યાં તો ટેબ્યુલર સ્વરૂપમાં અથવા ગ્રાફિકલી:

ત્યાં આપણે આ માહિતીને RAW ફોર્મેટમાં ડાઉનલોડ કરી શકીએ છીએ અને Wireshark માં જનરેટ થયેલા ટ્રાફિકના વિગતવાર વિશ્લેષણ માટે pcap ફાઇલ:

નિષ્કર્ષ

આ માહિતીનો ઉપયોગ કરીને, તમે તમારા નેટવર્કની સુરક્ષાને નોંધપાત્ર રીતે મજબૂત કરી શકો છો. વાયરસ વિતરણ હોસ્ટને અવરોધિત કરો, શોષણ કરાયેલ નબળાઈઓને બંધ કરો, C&C તરફથી સંભવિત પ્રતિસાદને અવરોધિત કરો અને ઘણું બધું. આ વિશ્લેષણને અવગણવું જોઈએ નહીં.

નીચેના લેખોમાં, અમે તે જ રીતે SandBlast Agent, SnadBlast Mobile, તેમજ CloudGiard SaaS ના અહેવાલો જોઈશું. તો સાથે રહો (Telegram, ફેસબુક, VK, ટીએસ સોલ્યુશન બ્લોગ)!

સોર્સ: www.habr.com