5. પોઇન્ટ સેન્ડબ્લાસ્ટ એજન્ટ મેનેજમેન્ટ પ્લેટફોર્મ તપાસો. લોગ્સ, રિપોર્ટ્સ અને ફોરેન્સિક્સ. ધમકી શિકાર

ચેક પોઇન્ટ સેન્ડબ્લાસ્ટ એજન્ટ મેનેજમેન્ટ પ્લેટફોર્મ સોલ્યુશન વિશેની શ્રેણીના પાંચમા લેખમાં આપનું સ્વાગત છે. અગાઉના લેખો યોગ્ય લિંકને અનુસરીને શોધી શકાય છે: પ્રથમ, બીજું, ત્રીજા, ચોથું. આજે આપણે મેનેજમેન્ટ પ્લેટફોર્મમાં મોનિટરિંગ ક્ષમતાઓ જોઈશું, એટલે કે લોગ્સ, ઇન્ટરેક્ટિવ ડેશબોર્ડ્સ (જુઓ) અને રિપોર્ટ્સ સાથે કામ કરવું. વપરાશકર્તાના મશીન પર વર્તમાન ધમકીઓ અને વિસંગત ઘટનાઓને ઓળખવા માટે અમે થ્રેટ હન્ટિંગના વિષયને પણ સ્પર્શ કરીશું.

લોગ

સુરક્ષા ઘટનાઓ પર દેખરેખ રાખવા માટેની માહિતીનો મુખ્ય સ્ત્રોત એ લોગ્સ વિભાગ છે, જે દરેક ઘટના પર વિગતવાર માહિતી દર્શાવે છે અને તમને તમારા શોધ માપદંડોને રિફાઇન કરવા માટે અનુકૂળ ફિલ્ટર્સનો ઉપયોગ કરવાની પણ મંજૂરી આપે છે. ઉદાહરણ તરીકે, જ્યારે તમે રુચિના લોગના પેરામીટર (બ્લેડ, એક્શન, ગંભીરતા, વગેરે) પર રાઇટ-ક્લિક કરો છો, ત્યારે આ પેરામીટરને આ રીતે ફિલ્ટર કરી શકાય છે. ફિલ્ટર: "પેરામીટર" અથવા ફિલ્ટર આઉટ: "પેરામીટર". સ્ત્રોત પરિમાણ માટે પણ IP ટૂલ્સ વિકલ્પ પસંદ કરી શકાય છે જ્યાં તમે આપેલ IP સરનામા/નામ પર પિંગ ચલાવી શકો છો અથવા નામ દ્વારા સ્ત્રોત IP સરનામું મેળવવા માટે nslookup ચલાવી શકો છો.

લૉગ વિભાગમાં, ફિલ્ટરિંગ ઇવેન્ટ્સ માટે, આંકડાકીય પેટાવિભાગ છે, જે તમામ પરિમાણો પર આંકડા દર્શાવે છે: લોગની સંખ્યા સાથેનો સમય રેખાકૃતિ, તેમજ દરેક પરિમાણ માટે ટકાવારી. આ પેટાવિભાગમાંથી તમે શોધ બારનો ઉપયોગ કર્યા વિના અને ફિલ્ટરિંગ અભિવ્યક્તિઓ લખ્યા વિના સરળતાથી લૉગ્સ ફિલ્ટર કરી શકો છો - ફક્ત રસના પરિમાણો પસંદ કરો અને લૉગ્સની નવી સૂચિ તરત જ પ્રદર્શિત થશે.

દરેક લોગ પર વિગતવાર માહિતી લોગ વિભાગની જમણી પેનલમાં ઉપલબ્ધ છે, પરંતુ સામગ્રીઓનું વિશ્લેષણ કરવા માટે ડબલ-ક્લિક કરીને લોગ ખોલવાનું વધુ અનુકૂળ છે. નીચે લોગનું ઉદાહરણ છે (ચિત્ર ક્લિક કરી શકાય તેવું છે), જે ચેપગ્રસ્ત ".docx" ફાઇલ પર થ્રેટ ઇમ્યુલેશન બ્લેડની પ્રિવેન્ટ એક્શનના ટ્રિગરિંગ પર વિગતવાર માહિતી દર્શાવે છે. લોગમાં ઘણા પેટાવિભાગો છે જે સુરક્ષા ઘટનાની વિગતો દર્શાવે છે: ટ્રિગર કરેલી નીતિઓ અને સુરક્ષા, ફોરેન્સિક વિગતો, ક્લાયંટ અને ટ્રાફિક વિશેની માહિતી. લોગમાંથી ઉપલબ્ધ રિપોર્ટ્સ ખાસ ધ્યાન આપવાને પાત્ર છે - થ્રેટ ઇમ્યુલેશન રિપોર્ટ અને ફોરેન્સિક્સ રિપોર્ટ. આ રિપોર્ટ્સ સેન્ડબ્લાસ્ટ એજન્ટ ક્લાયન્ટમાંથી પણ ખોલી શકાય છે.

થ્રેટ ઇમ્યુલેશન રિપોર્ટ

થ્રેટ ઇમ્યુલેશન બ્લેડનો ઉપયોગ કરતી વખતે, ચેક પોઇન્ટ ક્લાઉડમાં ઇમ્યુલેશન હાથ ધરવામાં આવે તે પછી, ઇમ્યુલેશન પરિણામો પર વિગતવાર અહેવાલની લિંક - થ્રેટ ઇમ્યુલેશન રિપોર્ટ - સંબંધિત લોગમાં દેખાય છે. આવા અહેવાલની સામગ્રી વિશે અમારા લેખમાં વિગતવાર વર્ણવેલ છે ચેક પોઇન્ટ સેન્ડબ્લાસ્ટ નેટવર્ક ફોરેન્સિક્સનો ઉપયોગ કરીને માલવેર વિશ્લેષણ. તે નોંધવું યોગ્ય છે કે આ અહેવાલ ઇન્ટરેક્ટિવ છે અને તમને દરેક વિભાગની વિગતોમાં "ડાઇવ ઇન" કરવાની મંજૂરી આપે છે. વર્ચ્યુઅલ મશીનમાં ઇમ્યુલેશન પ્રક્રિયાનું રેકોર્ડિંગ જોવાનું, મૂળ દૂષિત ફાઇલને ડાઉનલોડ કરવું અથવા તેની હેશ મેળવવાનું અને ચેક પોઇન્ટ ઇન્સીડન્ટ રિસ્પોન્સ ટીમનો સંપર્ક કરવાનું પણ શક્ય છે.

ફોરેન્સિક રિપોર્ટ

લગભગ કોઈપણ સુરક્ષા ઘટના માટે, ફોરેન્સિક્સ રિપોર્ટ જનરેટ કરવામાં આવે છે, જેમાં દૂષિત ફાઇલ વિશે વિગતવાર માહિતી શામેલ હોય છે: તેની લાક્ષણિકતાઓ, ક્રિયાઓ, સિસ્ટમમાં પ્રવેશ બિંદુ અને મહત્વપૂર્ણ કંપનીની સંપત્તિ પરની અસર. અમે વિશેના લેખમાં અહેવાલની રચનાની વિગતવાર ચર્ચા કરી ચેક પોઇન્ટ સેન્ડબ્લાસ્ટ એજન્ટ ફોરેન્સિક્સનો ઉપયોગ કરીને માલવેર વિશ્લેષણ. સુરક્ષા ઘટનાઓની તપાસ કરતી વખતે આવો અહેવાલ માહિતીનો એક મહત્વપૂર્ણ સ્ત્રોત છે અને જો જરૂરી હોય તો, રિપોર્ટની સામગ્રી તરત જ ચેક પોઈન્ટ ઈન્સીડેન્ટ રિસ્પોન્સ ટીમને મોકલી શકાય છે.

સ્માર્ટવ્યૂ

ચેક પોઇન્ટ સ્માર્ટવ્યૂ એ પીડીએફ ફોર્મેટમાં ડાયનેમિક ડેશબોર્ડ્સ (જુઓ) અને રિપોર્ટ્સ બનાવવા અને જોવા માટેનું એક અનુકૂળ સાધન છે. સ્માર્ટવ્યૂથી તમે એડમિનિસ્ટ્રેટર્સ માટે યુઝર લૉગ્સ અને ઑડિટ ઇવેન્ટ્સ પણ જોઈ શકો છો. નીચેની આકૃતિ સેન્ડબ્લાસ્ટ એજન્ટ સાથે કામ કરવા માટે સૌથી ઉપયોગી રિપોર્ટ્સ અને ડેશબોર્ડ્સ દર્શાવે છે.

SmartView માં અહેવાલો એ ચોક્કસ સમયગાળા દરમિયાનની ઘટનાઓ વિશે આંકડાકીય માહિતી સાથેના દસ્તાવેજો છે. તે મશીન પર પીડીએફ ફોર્મેટમાં રિપોર્ટ અપલોડ કરવા માટે સપોર્ટ કરે છે જ્યાં SmartView ખુલ્લું છે, તેમજ એડમિનિસ્ટ્રેટરના ઇમેઇલ પર PDF/Excel પર નિયમિત અપલોડ કરવાનું સમર્થન કરે છે. વધુમાં, તે રિપોર્ટ ટેમ્પલેટ્સની આયાત/નિકાસ, તમારા પોતાના રિપોર્ટ્સ બનાવવા અને રિપોર્ટ્સમાં વપરાશકર્તાના નામ છુપાવવાની ક્ષમતાને સપોર્ટ કરે છે. નીચેનો આંકડો બિલ્ટ-ઇન થ્રેટ પ્રિવેન્શન રિપોર્ટનું ઉદાહરણ બતાવે છે.

SmartView માં ડેશબોર્ડ્સ (જુઓ) એડમિનિસ્ટ્રેટરને અનુરૂપ ઇવેન્ટ માટે લૉગ્સ ઍક્સેસ કરવાની મંજૂરી આપે છે - ફક્ત રુચિના ઑબ્જેક્ટ પર ડબલ-ક્લિક કરો, પછી તે ચાર્ટ કૉલમ હોય કે દૂષિત ફાઇલનું નામ. રિપોર્ટ્સની જેમ, તમે તમારા પોતાના ડેશબોર્ડ બનાવી શકો છો અને વપરાશકર્તા ડેટા છુપાવી શકો છો. ડેશબોર્ડ ટેમ્પલેટ્સની આયાત/નિકાસ, એડમિનિસ્ટ્રેટરના ઇમેઇલ પર પીડીએફ/એક્સેલ પર નિયમિત અપલોડિંગ અને વાસ્તવિક સમયમાં સુરક્ષા ઇવેન્ટ્સનું નિરીક્ષણ કરવા માટે સ્વચાલિત ડેટા અપડેટ્સને પણ સપોર્ટ કરે છે.

વધારાના મોનિટરિંગ વિભાગો

વિહંગાવલોકન, કોમ્પ્યુટર મેનેજમેન્ટ, એન્ડપોઇન્ટ સેટિંગ્સ અને પુશ ઓપરેશન્સ વિભાગોનો ઉલ્લેખ કર્યા વિના મેનેજમેન્ટ પ્લેટફોર્મમાં મોનિટરિંગ ટૂલ્સનું વર્ણન અધૂરું રહેશે. આ વિભાગોમાં વિગતવાર વર્ણન કરવામાં આવ્યું છે બીજો લેખજો કે, દેખરેખની સમસ્યાઓ ઉકેલવા માટે તેમની ક્ષમતાઓને ધ્યાનમાં લેવી ઉપયોગી થશે. ચાલો વિહંગાવલોકનથી પ્રારંભ કરીએ, જેમાં બે પેટાવિભાગોનો સમાવેશ થાય છે - ઓપરેશનલ વિહંગાવલોકન અને સુરક્ષા વિહંગાવલોકન, જે સુરક્ષિત વપરાશકર્તા મશીનોની સ્થિતિ અને સુરક્ષા ઘટનાઓ વિશેની માહિતી સાથેના ડેશબોર્ડ્સ છે. કોઈપણ અન્ય ડેશબોર્ડ સાથે ક્રિયાપ્રતિક્રિયા કરતી વખતે, ઓપરેશનલ વિહંગાવલોકન અને સુરક્ષા વિહંગાવલોકન પેટાવિભાગો, જ્યારે રુચિના પરિમાણ પર ડબલ-ક્લિક કરે છે, ત્યારે તમને પસંદ કરેલ ફિલ્ટર (ઉદાહરણ તરીકે, "ડેસ્કટોપ્સ" અથવા "પ્રી- બુટ સ્થિતિ: સક્ષમ”), અથવા ચોક્કસ ઇવેન્ટ માટે લોગ વિભાગમાં. સુરક્ષા વિહંગાવલોકન સબસેક્શન એ "સાયબર એટેક વ્યુ - એન્ડપોઇન્ટ" ડેશબોર્ડ છે, જે કસ્ટમાઇઝ કરી શકાય છે અને ડેટાને આપમેળે અપડેટ કરવા માટે સેટ કરી શકાય છે.

કમ્પ્યુટર મેનેજમેન્ટ વિભાગમાંથી તમે વપરાશકર્તા મશીનો પર એજન્ટની સ્થિતિ, એન્ટિ-માલવેર ડેટાબેઝની અપડેટ સ્થિતિ, ડિસ્ક એન્ક્રિપ્શનના તબક્કાઓ અને ઘણું બધું મોનિટર કરી શકો છો. તમામ ડેટા આપમેળે અપડેટ થાય છે, અને દરેક ફિલ્ટર માટે મેળ ખાતા વપરાશકર્તા મશીનોની ટકાવારી પ્રદર્શિત થાય છે. CSV ફોર્મેટમાં કમ્પ્યુટર ડેટાની નિકાસ પણ સમર્થિત છે.

વર્કસ્ટેશનની સુરક્ષા પર દેખરેખ રાખવાનું એક મહત્વનું પાસું કંપનીના લોગ સર્વર પર સ્ટોરેજ માટે નિર્ણાયક ઘટનાઓ (ચેતવણીઓ) અને નિકાસ લૉગ્સ (નિકાસ ઇવેન્ટ્સ) વિશે સૂચનાઓ સેટ કરવાનું છે. બંને સેટિંગ્સ એન્ડપોઇન્ટ સેટિંગ્સ વિભાગમાં અને માટે બનાવવામાં આવી છે ચેતવણીઓ એડમિનિસ્ટ્રેટરને ઇવેન્ટ સૂચનાઓ મોકલવા માટે મેઇલ સર્વરને કનેક્ટ કરવું અને ઇવેન્ટના માપદંડોને પૂર્ણ કરતા ઉપકરણોની ટકાવારી/સંખ્યાના આધારે સૂચનાઓને ટ્રિગર/અક્ષમ કરવા માટે થ્રેશોલ્ડ ગોઠવવાનું શક્ય છે. ઇવેન્ટ્સ નિકાસ કરો તમને આગળની પ્રક્રિયા માટે મેનેજમેન્ટ પ્લેટફોર્મ પરથી કંપનીના લોગ સર્વર પર લોગના ટ્રાન્સફરને ગોઠવવાની મંજૂરી આપે છે. SYSLOG, CEF, LEEF, SPLUNK ફોર્મેટ્સ, TCP/UDP પ્રોટોકોલ્સ, ચાલી રહેલ syslog એજન્ટ સાથેની કોઈપણ SIEM સિસ્ટમ્સ, TLS/SSL એન્ક્રિપ્શનનો ઉપયોગ અને syslog ક્લાયંટ ઓથેન્ટિકેશનને સપોર્ટ કરે છે.

એજન્ટ પરની ઘટનાઓના ઊંડાણપૂર્વક વિશ્લેષણ માટે અથવા ટેકનિકલ સપોર્ટનો સંપર્ક કરવાના કિસ્સામાં, તમે પુશ ઑપરેશન વિભાગમાં ફરજિયાત ઑપરેશનનો ઉપયોગ કરીને સેન્ડબ્લાસ્ટ એજન્ટ ક્લાયંટ પાસેથી ઝડપથી લોગ એકત્રિત કરી શકો છો. તમે જનરેટ કરેલા આર્કાઇવને લોગ વડે ચેક પોઇન્ટ સર્વર્સ અથવા કોર્પોરેટ સર્વર્સ પર રૂપરેખાંકિત કરી શકો છો અને લોગ સાથેનો આર્કાઇવ C:UsersusernameCPInfo ડિરેક્ટરીમાં વપરાશકર્તાના મશીન પર સાચવવામાં આવે છે. તે ચોક્કસ સમયે લોગ કલેક્શન પ્રક્રિયા શરૂ કરવા અને વપરાશકર્તા દ્વારા ઓપરેશનને મુલતવી રાખવાની ક્ષમતાને સમર્થન આપે છે.

ધમકી શિકાર

ધમકી શિકારનો ઉપયોગ સંભવિત સુરક્ષા ઘટનાની વધુ તપાસ કરવા માટે સિસ્ટમમાં દૂષિત પ્રવૃત્તિઓ અને વિસંગત વર્તનને સક્રિયપણે શોધવા માટે થાય છે. મેનેજમેન્ટ પ્લેટફોર્મમાં થ્રેટ હન્ટિંગ વિભાગ તમને વપરાશકર્તા મશીન ડેટામાં ઉલ્લેખિત પરિમાણો સાથે ઇવેન્ટ્સ શોધવાની મંજૂરી આપે છે.

થ્રેટ હંટિંગ ટૂલમાં ઘણી પૂર્વવ્યાખ્યાયિત ક્વેરીઝ છે, ઉદાહરણ તરીકે: દૂષિત ડોમેન્સ અથવા ફાઇલોને વર્ગીકૃત કરવા માટે, અમુક IP સરનામાઓ (સામાન્ય આંકડાઓને સંબંધિત) માટે દુર્લભ વિનંતીઓને ટ્રૅક કરો. વિનંતી માળખું ત્રણ પરિમાણો સમાવે છે: સૂચક (નેટવર્ક પ્રોટોકોલ, પ્રક્રિયા ઓળખકર્તા, ફાઇલ પ્રકાર, વગેરે), ઓપરેટર (“છે”, “નથી”, “સમાવે છે”, “માંથી એક”, વગેરે) અને વિનંતી શરીર. તમે વિનંતીના મુખ્ય ભાગમાં નિયમિત અભિવ્યક્તિઓનો ઉપયોગ કરી શકો છો, અને તમે શોધ બારમાં એકસાથે બહુવિધ ફિલ્ટર્સનો ઉપયોગ કરી શકો છો.

ફિલ્ટર પસંદ કર્યા પછી અને વિનંતીની પ્રક્રિયા પૂર્ણ કર્યા પછી, તમારી પાસે ઇવેન્ટ વિશે વિગતવાર માહિતી જોવાની, વિનંતી ઑબ્જેક્ટને ક્વોરેન્ટાઇન કરવાની અથવા ઇવેન્ટના વર્ણન સાથે વિગતવાર ફોરેન્સિક્સ રિપોર્ટ જનરેટ કરવાની ક્ષમતા સાથે તમામ સંબંધિત ઇવેન્ટ્સની ઍક્સેસ હશે. હાલમાં, આ સાધન બીટા સંસ્કરણમાં છે અને ભવિષ્યમાં તે ક્ષમતાઓના સમૂહને વિસ્તૃત કરવાની યોજના છે, ઉદાહરણ તરીકે, Miter Att&ck મેટ્રિક્સના રૂપમાં ઇવેન્ટ વિશેની માહિતી ઉમેરવાનું.

નિષ્કર્ષ

ચાલો સારાંશ આપીએ: આ લેખમાં આપણે સેન્ડબ્લાસ્ટ એજન્ટ મેનેજમેન્ટ પ્લેટફોર્મમાં સુરક્ષા ઘટનાઓ પર દેખરેખ રાખવાની ક્ષમતાઓ જોઈ, અને વપરાશકર્તા મશીનો પર દૂષિત ક્રિયાઓ અને વિસંગતતાઓને સક્રિય રીતે શોધવા માટે એક નવા સાધનનો અભ્યાસ કર્યો - થ્રેટ હન્ટિંગ. આગળનો લેખ આ શ્રેણીનો અંતિમ લેખ હશે અને તેમાં આપણે મેનેજમેન્ટ પ્લેટફોર્મ સોલ્યુશન વિશે વારંવાર પૂછાતા પ્રશ્નો જોઈશું અને આ ઉત્પાદનના પરીક્ષણની શક્યતાઓ વિશે વાત કરીશું.

TS સોલ્યુશનમાંથી ચેક પોઈન્ટ પર સામગ્રીની મોટી પસંદગી. સેન્ડબ્લાસ્ટ એજન્ટ મેનેજમેન્ટ પ્લેટફોર્મ વિષય પર આગામી પ્રકાશનો ચૂકી ન જવા માટે, અમારા સામાજિક નેટવર્ક્સ પર અપડેટ્સને અનુસરો (Telegram, ફેસબુક, VK, ટીએસ સોલ્યુશન બ્લોગ, યાન્ડેક્ષ ઝેન).

સોર્સ: www.habr.com