1. ચેક પોઈન્ટ ફોરેન્સિક્સનો ઉપયોગ કરીને માલવેરનું વિશ્લેષણ. સેન્ડબ્લાસ્ટ નેટવર્ક

આ વખતે ઘટના તપાસ, ખાસ કરીને ચેક પોઈન્ટ ફોરેન્સિક્સનો ઉપયોગ કરીને માલવેર વિશ્લેષણના વિષય પર લેખોની નવી શ્રેણીમાં આપનું સ્વાગત છે. અમે અગાઉ પ્રકાશિત કર્યું હતું કેટલાક વિડિઓ પાઠ સ્માર્ટ ઇવેન્ટમાં કામ કરવા વિશે, પરંતુ આ વખતે આપણે વિવિધ ચેક પોઇન્ટ ઉત્પાદનોમાં ચોક્કસ ઘટનાઓ પર ફોરેન્સિક રિપોર્ટ્સ જોઈશું:

• સેન્ડબ્લાસ્ટ નેટવર્ક
• સેન્ડબ્લાસ્ટ એજન્ટ
• સેન્ડબ્લાસ્ટ મોબાઇલ
• CloudGuard SaaS

અટકાવેલી ઘટનાઓનું ફોરેન્સિક વિશ્લેષણ શા માટે મહત્વપૂર્ણ છે? એવું લાગે છે કે તમને વાયરસ લાગ્યો છે, તો પછી તેની સાથે વ્યવહાર કરવાની ચિંતા શા માટે કરવી? અનુભવ દર્શાવે છે કે ફક્ત હુમલાને અવરોધિત કરવો જ નહીં, પણ તે કેવી રીતે કાર્ય કરે છે તે સમજવું પણ મહત્વપૂર્ણ છે: પ્રવેશ બિંદુ શું હતું, કઈ નબળાઈનો ઉપયોગ કરવામાં આવ્યો હતો, કઈ પ્રક્રિયાઓ સામેલ હતી, શું રજિસ્ટ્રી અને ફાઇલ સિસ્ટમ પ્રભાવિત થઈ હતી, તે કયો વાયરસ પરિવાર હતો, તેનાથી કયું સંભવિત નુકસાન થયું હતું, વગેરે. આ અને અન્ય ઉપયોગી ડેટા વ્યાપક ચેક પોઇન્ટ ફોરેન્સિક રિપોર્ટ્સ (ટેક્સ્ટ અને ગ્રાફિકલ બંને) માંથી મેળવી શકાય છે. આવા રિપોર્ટ મેન્યુઅલી મેળવવો ખૂબ મુશ્કેલ છે. આ ડેટા પછી તમને યોગ્ય પગલાં લેવામાં અને ભવિષ્યમાં સમાન હુમલાઓને સફળ થવાથી અટકાવવામાં મદદ કરી શકે છે. આજે, આપણે ચેક પોઇન્ટ સેન્ડબ્લાસ્ટ નેટવર્ક ફોરેન્સિક રિપોર્ટ જોઈશું.

સેન્ડબ્લાસ્ટ નેટવર્ક

નેટવર્ક પરિમિતિ સુરક્ષાને મજબૂત બનાવવા માટે સેન્ડબોક્સનો ઉપયોગ લાંબા સમયથી સામાન્ય બાબત રહી છે અને IPS જેટલી જ આવશ્યક બાબત છે. ચેક પોઈન્ટની સેન્ડબોક્સ કાર્યક્ષમતા થ્રેટ ઇમ્યુલેશન બ્લેડ દ્વારા નિયંત્રિત થાય છે, જે તેની સેન્ડબ્લાસ્ટ ટેકનોલોજીનો ભાગ છે (જેમાં થ્રેટ એક્સટ્રેક્શન પણ શામેલ છે). અમે આ લેખ અગાઉ પ્રકાશિત કર્યો છે. ચેક પોઈન્ટ સેન્ડબ્લાસ્ટ પર એક ટૂંકો અભ્યાસક્રમ ગૈયા વર્ઝન 77.30 માં પાછા (જો તમને સમજાતું નથી કે અમે શું વાત કરી રહ્યા છીએ તો હું તેને જોવાની ખૂબ ભલામણ કરું છું). આર્કિટેક્ચરલ દ્રષ્ટિકોણથી, ત્યારથી મૂળભૂત રીતે કંઈ બદલાયું નથી. જો તમારી પાસે તમારા નેટવર્ક પરિમિતિ પર ચેક પોઈન્ટ ગેટવે ઇન્સ્ટોલ કરેલ છે, તો તમારી પાસે સેન્ડબોક્સ એકીકરણ માટે બે વિકલ્પો છે:

1. સેન્ડબ્લાસ્ટ સ્થાનિક ઉપકરણ — તમારા નેટવર્ક પર એક વધારાનું સેન્ડબ્લાસ્ટ ઉપકરણ ઇન્સ્ટોલ કરેલું છે, જેમાં ફાઇલો વિશ્લેષણ માટે મોકલવામાં આવે છે.
2. સેન્ડબ્લાસ્ટ ક્લાઉડ — ફાઇલો વિશ્લેષણ માટે ચેક પોઈન્ટ ક્લાઉડ પર મોકલવામાં આવે છે.

નેટવર્ક પરિમિતિ પર સેન્ડબોક્સને સંરક્ષણની છેલ્લી હરોળ ગણી શકાય. તે એન્ટીવાયરસ સોફ્ટવેર અને IPS જેવા પરંપરાગત સાધનો દ્વારા વિશ્લેષણ કર્યા પછી જ સક્રિય થાય છે. જ્યારે પરંપરાગત સહી-આધારિત સાધનો વર્ચ્યુઅલ રીતે કોઈ વિશ્લેષણ પ્રદાન કરતા નથી, ત્યારે સેન્ડબોક્સ ફાઇલને શા માટે અવરોધિત કરવામાં આવી હતી અને તે કઈ દૂષિત પ્રવૃત્તિ કરે છે તે વિશે વિગતવાર માહિતી પ્રદાન કરી શકે છે. આ ફોરેન્સિક રિપોર્ટ સ્થાનિક અને ક્લાઉડ-આધારિત સેન્ડબોક્સ બંનેમાંથી મેળવી શકાય છે.

ચેક પોઈન્ટ ફોરેન્સિક્સ રિપોર્ટ

ધારો કે તમે, એક માહિતી સુરક્ષા નિષ્ણાત તરીકે, કામ પર આવો છો અને SmartConsole ડેશબોર્ડ ખોલો છો. તમે છેલ્લા 24 કલાકથી ઘટનાઓ જુઓ છો, અને તમારું ધ્યાન થ્રેટ ઇમ્યુલેશન ઇવેન્ટ્સ તરફ દોરવામાં આવે છે - સૌથી ખતરનાક હુમલાઓ જે સહી વિશ્લેષણ દ્વારા અવરોધિત ન હતા.

તમે આ ઇવેન્ટ્સમાં ઊંડાણપૂર્વક અભ્યાસ કરી શકો છો અને થ્રેટ ઇમ્યુલેશન બ્લેડ માટેના બધા લોગ જોઈ શકો છો.

આ પછી, તમે ધમકીની તીવ્રતા (ગંભીરતા) ના સ્તર, તેમજ આત્મવિશ્વાસ સ્તર (ટ્રિગરિંગની વિશ્વસનીયતા) દ્વારા લોગને વધુ ફિલ્ટર કરી શકો છો:

અમને જે ઇવેન્ટમાં રસ છે તેને વિસ્તૃત કરીને, અમે સામાન્ય માહિતી (src, dst, severity, sender, વગેરે) જોઈ શકીએ છીએ:

અને ત્યાં તમે એક વિભાગ પણ જોઈ શકો છો ફોરેન્સિક્સ સુલભ સાથે સારાંશ રિપોર્ટ. તેના પર ક્લિક કરવાથી માલવેરનું ઇન્ટરેક્ટિવ HTML પેજ તરીકે વિગતવાર વિશ્લેષણ ખુલશે:

(આ પેજનો એક ભાગ છે.) મૂળ અહીં જોઈ શકાય છે.)

આ જ રિપોર્ટમાંથી, આપણે મૂળ માલવેર (પાસવર્ડ-સુરક્ષિત આર્કાઇવમાં) ડાઉનલોડ કરી શકીએ છીએ અથવા તરત જ ચેક પોઈન્ટ રિસ્પોન્સ ટીમનો સંપર્ક કરી શકીએ છીએ.

નીચે, તમે એક સુંદર એનિમેશન જોઈ શકો છો જે અમારા નમૂના સાથે મેળ ખાતા જાણીતા માલવેરની ટકાવારી દર્શાવે છે (કોડ અને મેક્રો સહિત). આ વિશ્લેષણ ચેક પોઈન્ટ થ્રેટ ક્લાઉડમાં મશીન લર્નિંગનો ઉપયોગ કરીને પ્રદાન કરવામાં આવ્યું છે.

પછી તમે જોઈ શકો છો કે કઈ ચોક્કસ સેન્ડબોક્સ પ્રવૃત્તિને કારણે આ ફાઇલ દૂષિત છે તે નિષ્કર્ષ પર આવ્યો. આ કિસ્સામાં, આપણે ચોરી કરવાની તકનીકોનો ઉપયોગ અને રેન્સમવેર ડાઉનલોડ કરવાનો પ્રયાસ જોઈએ છીએ:

તમે જોઈ શકો છો કે આ કિસ્સામાં, બે સિસ્ટમો (વિન 7, વિન એક્સપી) અને વિવિધ સોફ્ટવેર વર્ઝન (ઓફિસ, એડોબ) પર ઇમ્યુલેશન કરવામાં આવ્યું હતું. નીચે એક વિડિઓ (સ્લાઇડશો) છે જે સેન્ડબોક્સમાં આ ફાઇલ ખોલવાની પ્રક્રિયા દર્શાવે છે:

વિડિઓ ઉદાહરણ:

ખૂબ જ અંતમાં, આપણે હુમલાની પ્રગતિ વિગતવાર જોઈ શકીએ છીએ, કાં તો કોષ્ટક અથવા ગ્રાફિક સ્વરૂપમાં:

વાયરશાર્કમાં જનરેટ થયેલા ટ્રાફિકના વિગતવાર વિશ્લેષણ માટે આપણે આ માહિતી RAW ફોર્મેટમાં અને pcap ફાઇલમાં પણ ડાઉનલોડ કરી શકીએ છીએ:

નિષ્કર્ષ

આ માહિતીનો ઉપયોગ કરીને, તમે તમારા નેટવર્કની સુરક્ષાને નોંધપાત્ર રીતે મજબૂત બનાવી શકો છો. તમે વાયરસ વિતરણ હોસ્ટ્સને અવરોધિત કરી શકો છો, શોષિત નબળાઈઓને પેચ કરી શકો છો, C&C ને સંભવિત પ્રતિસાદને અવરોધિત કરી શકો છો, અને ઘણું બધું કરી શકો છો. આ વિશ્લેષણને અવગણવું જોઈએ નહીં.

ભવિષ્યના લેખોમાં, આપણે સેન્ડબ્લાસ્ટ એજન્ટ, સ્નેડબ્લાસ્ટ મોબાઇલ અને ક્લાઉડગિઆર્ડ SaaS રિપોર્ટ્સને પણ આ જ રીતે આવરી લઈશું. તો જોડાયેલા રહો (Telegram, ફેસબુક, VK, ટીએસ સોલ્યુશન બ્લોગ)!

સોર્સ: www.habr.com