3. चेक प्वाइंट सैंडब्लास्ट एजेंट प्रबंधन प्लेटफार्म। खतरा निवारण नीति

नए क्लाउड-आधारित पर्सनल कंप्यूटर सुरक्षा प्रबंधन कंसोल - चेक प्वाइंट सैंडब्लास्ट एजेंट मैनेजमेंट प्लेटफॉर्म के बारे में श्रृंखला के तीसरे लेख में आपका स्वागत है। मैं आपको यह याद दिला दूं कि पहला लेख हम इन्फिनिटी पोर्टल से परिचित हुए और एक क्लाउड-आधारित एजेंट प्रबंधन सेवा, एंडपॉइंट मैनेजमेंट सर्विस बनाई। में दूसरा लेख हमने वेब प्रबंधन कंसोल इंटरफ़ेस का अध्ययन किया और उपयोगकर्ता मशीन पर एक मानक नीति के साथ एक एजेंट स्थापित किया। आज हम मानक खतरा निवारण सुरक्षा नीति की सामग्री को देखेंगे और लोकप्रिय हमलों का मुकाबला करने में इसकी प्रभावशीलता का परीक्षण करेंगे।

मानक खतरा निवारण नीति: विवरण

ऊपर दिया गया आंकड़ा एक मानक खतरा निवारण नीति नियम दिखाता है, जो डिफ़ॉल्ट रूप से पूरे संगठन (सभी स्थापित एजेंटों) पर लागू होता है और इसमें सुरक्षा घटकों के तीन तार्किक समूह शामिल होते हैं: वेब और फ़ाइलें सुरक्षा, व्यवहार सुरक्षा और विश्लेषण और उपचार। आइए प्रत्येक समूह पर करीब से नज़र डालें।

वेब एवं फ़ाइलें सुरक्षा

यूआरएल फ़िल्टरिंग
यूआरएल फ़िल्टरिंग आपको पूर्वनिर्धारित 5 श्रेणियों की साइटों का उपयोग करके, वेब संसाधनों तक उपयोगकर्ता की पहुंच को नियंत्रित करने की अनुमति देता है। 5 श्रेणियों में से प्रत्येक में कई और विशिष्ट उपश्रेणियाँ शामिल हैं, जो आपको कॉन्फ़िगर करने की अनुमति देती हैं, उदाहरण के लिए, गेम्स उपश्रेणी तक पहुंच को अवरुद्ध करना और इंस्टेंट मैसेजिंग उपश्रेणी तक पहुंच की अनुमति देना, जो समान उत्पादकता हानि श्रेणी में शामिल हैं। विशिष्ट उपश्रेणियों से जुड़े यूआरएल चेक प्वाइंट द्वारा निर्धारित किए जाते हैं। आप उस श्रेणी की जांच कर सकते हैं जिसमें एक विशिष्ट यूआरएल शामिल है या किसी विशेष संसाधन पर श्रेणी ओवरराइड का अनुरोध कर सकते हैं यूआरएल वर्गीकरण.
कार्रवाई को रोकने, पता लगाने या बंद करने के लिए सेट किया जा सकता है। साथ ही, डिटेक्ट एक्शन का चयन करते समय, एक सेटिंग स्वचालित रूप से जुड़ जाती है जो उपयोगकर्ताओं को यूआरएल फ़िल्टरिंग चेतावनी को छोड़कर रुचि के संसाधन पर जाने की अनुमति देती है। यदि प्रिवेंट का उपयोग किया जाता है, तो इस सेटिंग को हटाया जा सकता है और उपयोगकर्ता प्रतिबंधित साइट तक नहीं पहुंच पाएगा। निषिद्ध संसाधनों को नियंत्रित करने का एक और सुविधाजनक तरीका एक ब्लॉक सूची स्थापित करना है, जिसमें आप डोमेन, आईपी पते निर्दिष्ट कर सकते हैं, या ब्लॉक करने के लिए डोमेन की सूची के साथ एक .csv फ़ाइल अपलोड कर सकते हैं।

यूआरएल फ़िल्टरिंग के लिए मानक नीति में, कार्रवाई का पता लगाएं पर सेट किया गया है और एक श्रेणी का चयन किया गया है - सुरक्षा, जिसके लिए घटनाओं का पता लगाया जाएगा। इस श्रेणी में विभिन्न अज्ञातकर्ता, गंभीर/उच्च/मध्यम जोखिम स्तर वाली साइटें, फ़िशिंग साइटें, स्पैम और बहुत कुछ शामिल हैं। हालाँकि, उपयोगकर्ता अभी भी "उपयोगकर्ता को यूआरएल फ़िल्टरिंग अलर्ट को खारिज करने और वेबसाइट तक पहुंचने की अनुमति दें" सेटिंग के कारण संसाधन तक पहुंचने में सक्षम होंगे।

डाउनलोड (वेब) सुरक्षा
इम्यूलेशन और एक्सट्रैक्शन आपको चेक प्वाइंट क्लाउड सैंडबॉक्स में डाउनलोड की गई फ़ाइलों का अनुकरण करने और दस्तावेज़ों को तुरंत साफ़ करने, संभावित रूप से दुर्भावनापूर्ण सामग्री को हटाने या दस्तावेज़ को पीडीएफ में परिवर्तित करने की अनुमति देता है। तीन ऑपरेटिंग मोड हैं:

• रोकना - आपको अंतिम अनुकरण फैसले से पहले साफ किए गए दस्तावेज़ की एक प्रति प्राप्त करने की अनुमति देता है, या अनुकरण पूरा होने तक प्रतीक्षा करने और मूल फ़ाइल को तुरंत डाउनलोड करने की अनुमति देता है;

• पता लगाना - फैसले की परवाह किए बिना, उपयोगकर्ता को मूल फ़ाइल प्राप्त करने से रोके बिना, पृष्ठभूमि में अनुकरण करता है;

• बंद - किसी भी फाइल को संभावित दुर्भावनापूर्ण घटकों के अनुकरण और सफाई के बिना डाउनलोड करने की अनुमति है।

उन फ़ाइलों के लिए एक कार्रवाई का चयन करना भी संभव है जो चेक प्वाइंट इम्यूलेशन और क्लीनिंग टूल द्वारा समर्थित नहीं हैं - आप सभी असमर्थित फ़ाइलों को डाउनलोड करने की अनुमति दे सकते हैं या अस्वीकार कर सकते हैं।

डाउनलोड सुरक्षा के लिए मानक नीति रोकथाम पर सेट है, जो आपको मूल दस्तावेज़ की एक प्रति प्राप्त करने की अनुमति देती है जिसे संभावित रूप से दुर्भावनापूर्ण सामग्री से साफ़ कर दिया गया है, साथ ही उन फ़ाइलों को डाउनलोड करने की अनुमति देता है जो अनुकरण और सफाई उपकरणों द्वारा समर्थित नहीं हैं।

क्रेडेंशियल सुरक्षा
क्रेडेंशियल प्रोटेक्शन घटक उपयोगकर्ता क्रेडेंशियल्स की सुरक्षा करता है और इसमें 2 घटक शामिल हैं: शून्य फ़िशिंग और पासवर्ड सुरक्षा। शून्य फ़िशिंग उपयोगकर्ताओं को फ़िशिंग संसाधनों तक पहुँचने से बचाता है, और पासवर्ड सुरक्षा संरक्षित डोमेन के बाहर कॉर्पोरेट क्रेडेंशियल्स का उपयोग करने की अस्वीकार्यता के बारे में उपयोगकर्ता को सूचित करता है। जीरो फ़िशिंग को रोकने, पता लगाने या बंद करने के लिए सेट किया जा सकता है। जब रोकथाम कार्रवाई सेट की जाती है, तो उपयोगकर्ताओं को संभावित फ़िशिंग संसाधन के बारे में चेतावनी को अनदेखा करने और संसाधन तक पहुंच प्राप्त करने की अनुमति देना संभव है, या इस विकल्प को अक्षम करना और पहुंच को हमेशा के लिए ब्लॉक करना संभव है। डिटेक्ट कार्रवाई के साथ, उपयोगकर्ताओं के पास हमेशा चेतावनी को अनदेखा करने और संसाधन तक पहुंचने का विकल्प होता है। पासवर्ड सुरक्षा आपको संरक्षित डोमेन का चयन करने की अनुमति देती है जिसके अनुपालन के लिए पासवर्ड की जाँच की जाएगी, और तीन क्रियाओं में से एक: पता लगाएं और अलर्ट करें (उपयोगकर्ता को सूचित करें), पता लगाएं या बंद करें।

क्रेडेंशियल सुरक्षा के लिए मानक नीति किसी भी फ़िशिंग संसाधनों को उपयोगकर्ताओं को संभावित रूप से दुर्भावनापूर्ण साइट तक पहुंचने से रोकने के लिए है। कॉर्पोरेट पासवर्ड के उपयोग के विरुद्ध सुरक्षा भी सक्षम है, लेकिन निर्दिष्ट डोमेन के बिना यह सुविधा काम नहीं करेगी।

फ़ाइलें सुरक्षा
फ़ाइल सुरक्षा उपयोगकर्ता की मशीन पर संग्रहीत फ़ाइलों की सुरक्षा के लिए ज़िम्मेदार है और इसमें दो घटक शामिल हैं: एंटी-मैलवेयर और फ़ाइल ख़तरा अनुकरण। विरोधी मैलवेयर एक उपकरण है जो हस्ताक्षर विश्लेषण का उपयोग करके सभी उपयोगकर्ता और सिस्टम फ़ाइलों को नियमित रूप से स्कैन करता है। इस घटक की सेटिंग्स में, आप नियमित स्कैनिंग या यादृच्छिक स्कैनिंग समय, हस्ताक्षर अद्यतन अवधि और उपयोगकर्ताओं के लिए निर्धारित स्कैनिंग को रद्द करने की क्षमता के लिए सेटिंग्स कॉन्फ़िगर कर सकते हैं। फ़ाइलें खतरा अनुकरण आपको चेक प्वाइंट क्लाउड सैंडबॉक्स में उपयोगकर्ता की मशीन पर संग्रहीत फ़ाइलों का अनुकरण करने की अनुमति देता है, हालांकि, यह सुरक्षा सुविधा केवल डिटेक्ट मोड में काम करती है।

फ़ाइल सुरक्षा के लिए मानक नीति में एंटी-मैलवेयर के साथ सुरक्षा और फ़ाइल ख़तरा अनुकरण के साथ दुर्भावनापूर्ण फ़ाइलों का पता लगाना शामिल है। हर महीने नियमित स्कैनिंग की जाती है, और उपयोगकर्ता मशीन पर हस्ताक्षर हर 4 घंटे में अपडेट किए जाते हैं। उसी समय, उपयोगकर्ताओं को एक निर्धारित स्कैन को रद्द करने में सक्षम होने के लिए कॉन्फ़िगर किया गया है, लेकिन अंतिम सफल स्कैन की तारीख से 30 दिनों के बाद नहीं।

व्यवहार संरक्षण

एंटी-बॉट, बिहेवियरल गार्ड और एंटी-रैंसमवेयर, एंटी-एक्सप्लॉयट
सुरक्षा घटकों के व्यवहार संरक्षण समूह में तीन घटक शामिल हैं: एंटी-बॉट, बिहेवियरल गार्ड और एंटी-रैंसमवेयर और एंटी-एक्सप्लॉइट। एंटी-बॉट आपको लगातार अपडेट किए गए चेक प्वाइंट थ्रेटक्लाउड डेटाबेस का उपयोग करके सी एंड सी कनेक्शन की निगरानी और ब्लॉक करने की अनुमति देता है। व्यवहार रक्षक और एंटी-रैंसमवेयर उपयोगकर्ता मशीन पर गतिविधि (फ़ाइलें, प्रक्रियाएं, नेटवर्क इंटरैक्शन) पर लगातार नज़र रखता है और आपको प्रारंभिक चरणों में रैंसमवेयर हमलों को रोकने की अनुमति देता है। इसके अलावा, यह सुरक्षा तत्व आपको उन फ़ाइलों को पुनर्स्थापित करने की अनुमति देता है जो पहले से ही मैलवेयर द्वारा एन्क्रिप्ट की गई हैं। फ़ाइलों को उनकी मूल निर्देशिकाओं में पुनर्स्थापित किया जाता है, या आप एक विशिष्ट पथ निर्दिष्ट कर सकते हैं जहां सभी पुनर्प्राप्त फ़ाइलें संग्रहीत की जाएंगी। विरोधी शोषण आपको शून्य-दिन के हमलों का पता लगाने की अनुमति देता है। सभी व्यवहार सुरक्षा घटक तीन ऑपरेटिंग मोड का समर्थन करते हैं: रोकें, पता लगाएं और बंद करें।

व्यवहार सुरक्षा के लिए मानक नीति एंटी-बॉट और बिहेवियरल गार्ड और एंटी-रैंसमवेयर घटकों के लिए उनकी मूल निर्देशिकाओं में एन्क्रिप्टेड फ़ाइलों की बहाली के साथ रोकथाम प्रदान करती है। शोषण-विरोधी घटक अक्षम है और इसका उपयोग नहीं किया जाता है।

विश्लेषण एवं निवारण

स्वचालित हमला विश्लेषण (फोरेंसिक), उपचार एवं प्रतिक्रिया
सुरक्षा घटनाओं के विश्लेषण और जांच के लिए दो सुरक्षा घटक उपलब्ध हैं: स्वचालित हमला विश्लेषण (फोरेंसिक) और उपचार एवं प्रतिक्रिया। स्वचालित आक्रमण विश्लेषण (फोरेंसिक) आपको विस्तृत विवरण के साथ हमलों को रोकने के परिणामों पर रिपोर्ट तैयार करने की अनुमति देता है - उपयोगकर्ता की मशीन पर मैलवेयर निष्पादित करने की प्रक्रिया का विश्लेषण करने तक। थ्रेट हंटिंग सुविधा का उपयोग करना भी संभव है, जो पूर्वनिर्धारित या निर्मित फ़िल्टर का उपयोग करके विसंगतियों और संभावित दुर्भावनापूर्ण व्यवहार की खोज करना संभव बनाता है। निवारण एवं प्रतिक्रिया आपको किसी हमले के बाद फ़ाइलों की पुनर्प्राप्ति और संगरोध के लिए सेटिंग्स कॉन्फ़िगर करने की अनुमति देता है: संगरोध फ़ाइलों के साथ उपयोगकर्ता इंटरैक्शन को विनियमित किया जाता है, और व्यवस्थापक द्वारा निर्दिष्ट निर्देशिका में संगरोधित फ़ाइलों को संग्रहीत करना भी संभव है।

मानक विश्लेषण और उपचार नीति में सुरक्षा शामिल है, जिसमें पुनर्प्राप्ति के लिए स्वचालित क्रियाएं (प्रक्रियाओं को समाप्त करना, फ़ाइलों को पुनर्स्थापित करना आदि) शामिल हैं, और फ़ाइलों को संगरोध में भेजने का विकल्प सक्रिय है, और उपयोगकर्ता केवल संगरोध से फ़ाइलों को हटा सकते हैं।

मानक खतरा निवारण नीति: परीक्षण

चेक प्वाइंट चेकमी एंडपॉइंट

सबसे लोकप्रिय प्रकार के हमलों के खिलाफ उपयोगकर्ता की मशीन की सुरक्षा की जांच करने का सबसे तेज़ और आसान तरीका संसाधन का उपयोग करके परीक्षण करना है चेक प्वाइंट मुझे चेक करो, जो विभिन्न श्रेणियों के कई विशिष्ट हमलों को अंजाम देता है और आपको परीक्षण के परिणामों पर एक रिपोर्ट प्राप्त करने की अनुमति देता है। इस मामले में, एंडपॉइंट परीक्षण विकल्प का उपयोग किया गया था, जिसमें एक निष्पादन योग्य फ़ाइल डाउनलोड की जाती है और कंप्यूटर पर लॉन्च की जाती है, और फिर सत्यापन प्रक्रिया शुरू होती है।

किसी कार्यशील कंप्यूटर की सुरक्षा की जांच करने की प्रक्रिया में, सैंडब्लास्ट एजेंट उपयोगकर्ता के कंप्यूटर पर पहचाने गए और प्रतिबिंबित हमलों के बारे में संकेत देता है, उदाहरण के लिए: एंटी-बॉट ब्लेड एक संक्रमण का पता लगाने की रिपोर्ट करता है, एंटी-मैलवेयर ब्लेड ने पता लगाया और हटा दिया है दुर्भावनापूर्ण फ़ाइल CP_AM.exe, और थ्रेट इम्यूलेशन ब्लेड ने स्थापित किया है कि CP_ZD.exe फ़ाइल दुर्भावनापूर्ण है।

चेकमी एंडपॉइंट का उपयोग करके परीक्षण के परिणामों के आधार पर, हमारे पास निम्नलिखित परिणाम हैं: 6 हमले श्रेणियों में से, मानक खतरा निवारण नीति केवल एक श्रेणी - ब्राउज़र एक्सप्लॉइट से निपटने में विफल रही। ऐसा इसलिए है क्योंकि मानक खतरा निवारण नीति में शोषण-विरोधी ब्लेड शामिल नहीं है। ध्यान देने योग्य बात यह है कि सैंडब्लास्ट एजेंट इंस्टॉल किए बिना, उपयोगकर्ता का कंप्यूटर केवल रैनसमवेयर श्रेणी के तहत स्कैन पास करता है।

KnowBe4 RanSim

एंटी-रैंसमवेयर ब्लेड के संचालन का परीक्षण करने के लिए, आप एक निःशुल्क समाधान का उपयोग कर सकते हैं KnowBe4 RanSim, जो उपयोगकर्ता की मशीन पर परीक्षणों की एक श्रृंखला चलाता है: 18 रैंसमवेयर संक्रमण परिदृश्य और 1 क्रिप्टोमाइनर संक्रमण परिदृश्य। ध्यान देने योग्य बात यह है कि मानक नीति (थ्रेट इम्यूलेशन, एंटी-मैलवेयर, बिहेवियरल गार्ड) में प्रिवेंट एक्शन के साथ कई ब्लेड की मौजूदगी इस परीक्षण को सही ढंग से चलने की अनुमति नहीं देती है। हालाँकि, कम सुरक्षा स्तर (ऑफ़ मोड में ख़तरा अनुकरण) के साथ भी, एंटी-रैनसमवेयर ब्लेड परीक्षण उच्च परिणाम दिखाता है: 18 में से 19 परीक्षण सफलतापूर्वक उत्तीर्ण हुए (1 शुरू होने में विफल)।

दुर्भावनापूर्ण फ़ाइलें और दस्तावेज़

यह उपयोगकर्ता की मशीन पर डाउनलोड किए गए लोकप्रिय प्रारूपों की दुर्भावनापूर्ण फ़ाइलों का उपयोग करके मानक खतरा निवारण नीति के विभिन्न ब्लेडों के संचालन की जांच करने का संकेत है। इस परीक्षण में PDF, DOC, DOCX, EXE, XLS, XLSX, CAB, RTF प्रारूपों में 66 फ़ाइलें शामिल थीं। परीक्षण के परिणामों से पता चला कि सैंडब्लास्ट एजेंट 64 में से 66 दुर्भावनापूर्ण फ़ाइलों को ब्लॉक करने में सक्षम था। संक्रमित फ़ाइलों को डाउनलोड करने के बाद हटा दिया गया था, या थ्रेट एक्सट्रैक्शन का उपयोग करके दुर्भावनापूर्ण सामग्री को साफ़ कर दिया गया था और उपयोगकर्ता द्वारा प्राप्त किया गया था।

ख़तरा निवारण नीति में सुधार के लिए सिफ़ारिशें

1. यूआरएल फ़िल्टरिंग

क्लाइंट मशीन की सुरक्षा के स्तर को बढ़ाने के लिए मानक नीति में पहली चीज़ जिसे ठीक करने की आवश्यकता है, वह है यूआरएल फ़िल्टरिंग ब्लेड को प्रिवेंट पर स्विच करना और ब्लॉक करने के लिए उपयुक्त श्रेणियां निर्दिष्ट करना। हमारे मामले में, सामान्य उपयोग को छोड़कर सभी श्रेणियों का चयन किया गया था, क्योंकि उनमें अधिकांश संसाधन शामिल हैं जिन तक कार्यस्थल में उपयोगकर्ताओं तक पहुंच को प्रतिबंधित करना आवश्यक है। इसके अलावा, ऐसी साइटों के लिए, "उपयोगकर्ता को यूआरएल फ़िल्टरिंग अलर्ट को खारिज करने और वेबसाइट तक पहुंचने की अनुमति दें" पैरामीटर को अनचेक करके उपयोगकर्ताओं के लिए चेतावनी विंडो को छोड़ने की क्षमता को हटाने की सलाह दी जाती है।

2. सुरक्षा डाउनलोड करें

ध्यान देने योग्य दूसरा विकल्प उपयोगकर्ताओं के लिए उन फ़ाइलों को डाउनलोड करने की क्षमता है जो चेक प्वाइंट इम्यूलेशन द्वारा समर्थित नहीं हैं। चूँकि इस अनुभाग में हम सुरक्षा परिप्रेक्ष्य से मानक खतरा निवारण नीति में सुधार देख रहे हैं, इसलिए सबसे अच्छा विकल्प असमर्थित फ़ाइलों के डाउनलोड को रोकना होगा।

3. फ़ाइलें सुरक्षा

आपको फ़ाइलों की सुरक्षा के लिए सेटिंग्स पर भी ध्यान देने की आवश्यकता है - विशेष रूप से, आवधिक स्कैनिंग के लिए सेटिंग्स और उपयोगकर्ता के लिए मजबूर स्कैनिंग को स्थगित करने की क्षमता। इस मामले में, उपयोगकर्ता की समय सीमा को ध्यान में रखा जाना चाहिए, और सुरक्षा और प्रदर्शन के दृष्टिकोण से एक अच्छा विकल्प हर दिन चलने के लिए एक मजबूर स्कैन को कॉन्फ़िगर करना है, जिसमें समय यादृच्छिक रूप से चुना गया है (00:00 से 8 तक): 00), और उपयोगकर्ता अधिकतम एक सप्ताह तक स्कैन में देरी कर सकता है।

4. शोषण विरोधी

मानक खतरा निवारण नीति का एक महत्वपूर्ण दोष यह है कि शोषण-रोधी ब्लेड अक्षम है। वर्कस्टेशन को शोषण के उपयोग से होने वाले हमलों से बचाने के लिए इस ब्लेड को रोकथाम कार्रवाई के साथ सक्षम करने की अनुशंसा की जाती है। इस सुधार के साथ, उपयोगकर्ता की उत्पादन मशीन पर कमजोरियों का पता लगाए बिना चेकमी रीटेस्ट सफलतापूर्वक पूरा हो जाता है।

निष्कर्ष

आइए संक्षेप में बताएं: इस लेख में हम मानक खतरा निवारण नीति के घटकों से परिचित हुए, विभिन्न तरीकों और उपकरणों का उपयोग करके इस नीति का परीक्षण किया, और उपयोगकर्ता मशीन की सुरक्षा के स्तर को बढ़ाने के लिए मानक नीति की सेटिंग्स में सुधार के लिए सिफारिशों का भी वर्णन किया। . श्रृंखला के अगले लेख में, हम डेटा सुरक्षा नीति का अध्ययन करने के लिए आगे बढ़ेंगे और वैश्विक नीति सेटिंग्स को देखेंगे।

टीएस सॉल्यूशन से चेक प्वाइंट पर सामग्रियों का बड़ा चयन. सैंडब्लास्ट एजेंट प्रबंधन प्लेटफ़ॉर्म विषय पर अगले प्रकाशनों को न चूकने के लिए, हमारे सोशल नेटवर्क पर अपडेट का पालन करें (Telegram, फेसबुक, VK, टीएस समाधान ब्लॉग, Yandeks.Dzen).

स्रोत: www.habr.com