1. चेक प्वाइंट फोरेंसिक का उपयोग करके मैलवेयर का विश्लेषण। सैंडब्लास्ट नेटवर्क

लेखों की एक नई श्रृंखला में आपका स्वागत है, इस बार घटना की जांच के विषय पर, अर्थात् चेक प्वाइंट फोरेंसिक का उपयोग करके मैलवेयर विश्लेषण। हमने पहले प्रकाशित किया था कई वीडियो पाठ स्मार्ट इवेंट में काम करने पर, लेकिन इस बार हम विभिन्न चेक प्वाइंट उत्पादों में विशिष्ट घटनाओं पर फोरेंसिक रिपोर्ट देखेंगे:

• सैंडब्लास्ट नेटवर्क
• सैंडब्लास्ट एजेंट
• सैंडब्लास्ट मोबाइल
• क्लाउडगार्ड सास

घटना की रोकथाम फोरेंसिक क्यों महत्वपूर्ण है? ऐसा लगेगा कि आपने वायरस पकड़ लिया है, यह पहले से ही अच्छा है, इससे क्यों निपटें? जैसा कि अभ्यास से पता चलता है, न केवल किसी हमले को रोकना उचित है, बल्कि यह भी समझना है कि यह कैसे काम करता है: प्रवेश बिंदु क्या था, किस भेद्यता का उपयोग किया गया था, कौन सी प्रक्रियाएं शामिल हैं, क्या रजिस्ट्री और फ़ाइल सिस्टम प्रभावित हैं, क्या परिवार वायरस, क्या संभावित क्षति, आदि। यह और अन्य उपयोगी डेटा चेक प्वाइंट की व्यापक फोरेंसिक रिपोर्ट (पाठ और ग्राफिकल दोनों) से प्राप्त किया जा सकता है। ऐसी रिपोर्ट मैन्युअल रूप से प्राप्त करना बहुत कठिन है। यह डेटा उचित कार्रवाई करने और भविष्य में इसी तरह के हमलों को सफल होने से रोकने में मदद कर सकता है। आज हम चेक प्वाइंट सैंडब्लास्ट नेटवर्क फोरेंसिक रिपोर्ट देखेंगे।

सैंडब्लास्ट नेटवर्क

नेटवर्क परिधि की सुरक्षा को मजबूत करने के लिए सैंडबॉक्स का उपयोग लंबे समय से आम बात है और यह आईपीएस की तरह अनिवार्य घटक है। चेक प्वाइंट पर, थ्रेट इम्यूलेशन ब्लेड, जो सैंडब्लास्ट प्रौद्योगिकियों का हिस्सा है (इसमें थ्रेट एक्सट्रैक्शन भी है), सैंडबॉक्स कार्यक्षमता के लिए जिम्मेदार है। हम पहले भी प्रकाशित कर चुके हैं चेक प्वाइंट सैंडब्लास्ट पर छोटा कोर्स गैया 77.30 संस्करण के लिए भी (यदि आप यह नहीं समझ पा रहे हैं कि हम अभी किस बारे में बात कर रहे हैं तो मैं इसे देखने की अत्यधिक अनुशंसा करता हूँ)। वास्तुशिल्प की दृष्टि से, तब से मौलिक रूप से कुछ भी नहीं बदला है। यदि आपके नेटवर्क की परिधि पर चेक प्वाइंट गेटवे है, तो आप सैंडबॉक्स के साथ एकीकरण के लिए दो विकल्पों का उपयोग कर सकते हैं:

1. सैंडब्लास्ट स्थानीय उपकरण — आपके नेटवर्क पर एक अतिरिक्त सैंडब्लास्ट उपकरण स्थापित किया गया है, जिस पर फ़ाइलें विश्लेषण के लिए भेजी जाती हैं।
2. सैंडब्लास्ट बादल - फ़ाइलें विश्लेषण के लिए चेक प्वाइंट क्लाउड पर भेजी जाती हैं।

सैंडबॉक्स को नेटवर्क परिधि पर रक्षा की अंतिम पंक्ति माना जा सकता है। यह शास्त्रीय माध्यमों - एंटीवायरस, आईपीएस द्वारा विश्लेषण के बाद ही कनेक्ट होता है। और यदि ऐसे पारंपरिक हस्ताक्षर उपकरण व्यावहारिक रूप से कोई विश्लेषण प्रदान नहीं करते हैं, तो सैंडबॉक्स विस्तार से "बता" सकता है कि फ़ाइल को क्यों अवरुद्ध किया गया था और यह वास्तव में क्या दुर्भावनापूर्ण काम करता है। यह फोरेंसिक रिपोर्ट स्थानीय और क्लाउड सैंडबॉक्स दोनों से प्राप्त की जा सकती है।

चेक प्वाइंट फोरेंसिक रिपोर्ट

मान लीजिए कि आप एक सूचना सुरक्षा विशेषज्ञ के रूप में काम पर आए और स्मार्टकंसोल में एक डैशबोर्ड खोला। तुरंत आप पिछले 24 घंटों की घटनाओं को देखते हैं और आपका ध्यान थ्रेट इम्यूलेशन घटनाओं की ओर आकर्षित होता है - सबसे खतरनाक हमले जिन्हें हस्ताक्षर विश्लेषण द्वारा अवरुद्ध नहीं किया गया था।

आप इन घटनाओं में "ड्रिल डाउन" कर सकते हैं और थ्रेट इम्यूलेशन ब्लेड के लिए सभी लॉग देख सकते हैं।

इसके बाद, आप अतिरिक्त रूप से खतरे की गंभीरता स्तर (गंभीरता), साथ ही कॉन्फिडेंस लेवल (प्रतिक्रिया की विश्वसनीयता) के आधार पर लॉग को फ़िल्टर कर सकते हैं:

जिस घटना में हम रुचि रखते हैं उसका विस्तार करके, हम सामान्य जानकारी (स्रोत, डीएसटी, गंभीरता, प्रेषक, आदि) से परिचित हो सकते हैं:

और वहां आप अनुभाग देख सकते हैं फोरेंसिक उपलब्ध के साथ सारांश प्रतिवेदन। इस पर क्लिक करने पर एक इंटरैक्टिव HTML पेज के रूप में मैलवेयर का विस्तृत विश्लेषण खुल जाएगा:

(यह पेज का हिस्सा है। मूल को यहां देखा जा सकता है)

उसी रिपोर्ट से, हम मूल मैलवेयर (पासवर्ड-संरक्षित संग्रह में) डाउनलोड कर सकते हैं, या तुरंत चेक प्वाइंट प्रतिक्रिया टीम से संपर्क कर सकते हैं।

ठीक नीचे आप एक सुंदर एनीमेशन देख सकते हैं जो प्रतिशत के रूप में दिखाता है कि हमारे उदाहरण में पहले से ही ज्ञात दुर्भावनापूर्ण कोड (स्वयं कोड और मैक्रोज़ सहित) समान हैं। ये विश्लेषण चेक प्वाइंट थ्रेट क्लाउड में मशीन लर्निंग का उपयोग करके वितरित किए जाते हैं।

फिर आप देख सकते हैं कि सैंडबॉक्स में किन गतिविधियों ने हमें यह निष्कर्ष निकालने की अनुमति दी कि यह फ़ाइल दुर्भावनापूर्ण है। इस मामले में, हम बाईपास तकनीकों का उपयोग और रैंसमवेयर डाउनलोड करने का प्रयास देखते हैं:

यह ध्यान दिया जा सकता है कि इस मामले में, अनुकरण दो प्रणालियों (विन 7, विन एक्सपी) और विभिन्न सॉफ्टवेयर संस्करणों (ऑफिस, एडोब) में किया गया था। नीचे इस फ़ाइल को सैंडबॉक्स में खोलने की प्रक्रिया का एक वीडियो (स्लाइड शो) है:

उदाहरण वीडियो:

अंत में हम विस्तार से देख सकते हैं कि हमला कैसे विकसित हुआ। या तो सारणीबद्ध रूप में या ग्राफ़िक रूप में:

वहां हम वायरशार्क में उत्पन्न ट्रैफ़िक के विस्तृत विश्लेषण के लिए इस जानकारी को RAW प्रारूप और एक pcap फ़ाइल में डाउनलोड कर सकते हैं:

निष्कर्ष

इस जानकारी का उपयोग करके, आप अपने नेटवर्क की सुरक्षा को महत्वपूर्ण रूप से मजबूत कर सकते हैं। वायरस वितरण होस्ट को ब्लॉक करें, शोषित कमजोरियों को बंद करें, C&C से संभावित फीडबैक को ब्लॉक करें और भी बहुत कुछ। इस विश्लेषण की उपेक्षा नहीं की जानी चाहिए.

निम्नलिखित लेखों में, हम इसी तरह सैंडब्लास्ट एजेंट, स्नैडब्लास्ट मोबाइल और क्लाउडगियर्ड सास की रिपोर्टों को देखेंगे। तो मिले रहें (Telegram, फेसबुक, VK, टीएस समाधान ब्लॉग)!

स्रोत: www.habr.com