5. चेक प्वाइंट सैंडब्लास्ट एजेंट प्रबंधन प्लेटफार्म। लॉग, रिपोर्ट और फोरेंसिक। ख़तरे का शिकार

चेक प्वाइंट सैंडब्लास्ट एजेंट प्रबंधन प्लेटफ़ॉर्म समाधान के बारे में श्रृंखला के पांचवें लेख में आपका स्वागत है। पिछले लेख उचित लिंक पर जाकर पाए जा सकते हैं: पहले, दूसरा, तीसरा, चौथी. आज हम प्रबंधन प्लेटफ़ॉर्म में निगरानी क्षमताओं को देखेंगे, अर्थात् लॉग, इंटरैक्टिव डैशबोर्ड (देखें) और रिपोर्ट के साथ काम करेंगे। हम उपयोगकर्ता की मशीन पर वर्तमान खतरों और असामान्य घटनाओं की पहचान करने के लिए थ्रेट हंटिंग के विषय पर भी बात करेंगे।

Logs

सुरक्षा घटनाओं की निगरानी के लिए जानकारी का मुख्य स्रोत लॉग्स अनुभाग है, जो प्रत्येक घटना पर विस्तृत जानकारी प्रदर्शित करता है और आपको अपने खोज मानदंडों को परिष्कृत करने के लिए सुविधाजनक फ़िल्टर का उपयोग करने की भी अनुमति देता है। उदाहरण के लिए, जब आप रुचि के लॉग के पैरामीटर (ब्लेड, एक्शन, गंभीरता, आदि) पर राइट-क्लिक करते हैं, तो इस पैरामीटर को फ़िल्टर किया जा सकता है फ़िल्टर: "पैरामीटर" या फ़िल्टर आउट: "पैरामीटर". इसके अलावा सोर्स पैरामीटर के लिए आईपी टूल्स विकल्प का चयन किया जा सकता है, जहां आप किसी दिए गए आईपी पते/नाम पर पिंग चला सकते हैं या नाम से स्रोत आईपी पता प्राप्त करने के लिए nslookup चला सकते हैं।

लॉग अनुभाग में, घटनाओं को फ़िल्टर करने के लिए, एक सांख्यिकी उपधारा है, जो सभी मापदंडों पर आँकड़े प्रदर्शित करता है: लॉग की संख्या के साथ एक समय आरेख, साथ ही प्रत्येक पैरामीटर के लिए प्रतिशत। इस उपधारा से आप खोज बार का उपयोग किए बिना और फ़िल्टरिंग अभिव्यक्ति लिखे बिना आसानी से लॉग फ़िल्टर कर सकते हैं - बस रुचि के पैरामीटर का चयन करें और लॉग की एक नई सूची तुरंत प्रदर्शित की जाएगी।

प्रत्येक लॉग पर विस्तृत जानकारी लॉग अनुभाग के दाहिने पैनल में उपलब्ध है, लेकिन सामग्री का विश्लेषण करने के लिए डबल-क्लिक करके लॉग को खोलना अधिक सुविधाजनक है। नीचे एक लॉग का उदाहरण दिया गया है (चित्र क्लिक करने योग्य है), जो संक्रमित ".docx" फ़ाइल पर थ्रेट इम्यूलेशन ब्लेड की रोकथाम कार्रवाई के ट्रिगरिंग पर विस्तृत जानकारी प्रदर्शित करता है। लॉग में कई उपखंड हैं जो सुरक्षा घटना का विवरण प्रदर्शित करते हैं: ट्रिगर नीतियां और सुरक्षा, फोरेंसिक विवरण, ग्राहक और ट्रैफ़िक के बारे में जानकारी। लॉग से उपलब्ध रिपोर्टें विशेष ध्यान देने योग्य हैं - खतरा अनुकरण रिपोर्ट और फोरेंसिक रिपोर्ट। ये रिपोर्ट सैंडब्लास्ट एजेंट क्लाइंट से भी खोली जा सकती हैं।

खतरा अनुकरण रिपोर्ट

थ्रेट इम्यूलेशन ब्लेड का उपयोग करते समय, चेक प्वाइंट क्लाउड में इम्यूलेशन किए जाने के बाद, इम्यूलेशन परिणामों पर एक विस्तृत रिपोर्ट का लिंक - थ्रेट इम्यूलेशन रिपोर्ट - संबंधित लॉग में दिखाई देता है। ऐसी रिपोर्ट की सामग्री हमारे लेख में विस्तार से वर्णित है चेक प्वाइंट सैंडब्लास्ट नेटवर्क फोरेंसिक का उपयोग करके मैलवेयर विश्लेषण. यह ध्यान देने योग्य है कि यह रिपोर्ट इंटरैक्टिव है और आपको प्रत्येक अनुभाग के विवरण में "गोता लगाने" की अनुमति देती है। वर्चुअल मशीन में इम्यूलेशन प्रक्रिया की रिकॉर्डिंग देखना, मूल दुर्भावनापूर्ण फ़ाइल डाउनलोड करना या उसका हैश प्राप्त करना और चेक प्वाइंट इंसीडेंट रिस्पांस टीम से संपर्क करना भी संभव है।

फोरेंसिक रिपोर्ट

लगभग किसी भी सुरक्षा घटना के लिए, एक फोरेंसिक रिपोर्ट तैयार की जाती है, जिसमें दुर्भावनापूर्ण फ़ाइल के बारे में विस्तृत जानकारी शामिल होती है: इसकी विशेषताएं, कार्य, सिस्टम में प्रवेश बिंदु और महत्वपूर्ण कंपनी संपत्तियों पर प्रभाव। हमने लेख में रिपोर्ट की संरचना पर विस्तार से चर्चा की चेक प्वाइंट सैंडब्लास्ट एजेंट फोरेंसिक का उपयोग करके मैलवेयर विश्लेषण. सुरक्षा घटनाओं की जांच करते समय ऐसी रिपोर्ट जानकारी का एक महत्वपूर्ण स्रोत है, और यदि आवश्यक हो, तो रिपोर्ट की सामग्री तुरंत चेक प्वाइंट घटना प्रतिक्रिया टीम को भेजी जा सकती है।

SmartView

चेक प्वाइंट स्मार्टव्यू गतिशील डैशबोर्ड (व्यू) और पीडीएफ प्रारूप में रिपोर्ट बनाने और देखने के लिए एक सुविधाजनक उपकरण है। स्मार्टव्यू से आप प्रशासकों के लिए उपयोगकर्ता लॉग और ऑडिट इवेंट भी देख सकते हैं। नीचे दिया गया आंकड़ा सैंडब्लास्ट एजेंट के साथ काम करने के लिए सबसे उपयोगी रिपोर्ट और डैशबोर्ड दिखाता है।

स्मार्टव्यू में रिपोर्ट एक निश्चित अवधि में घटनाओं के बारे में सांख्यिकीय जानकारी वाले दस्तावेज़ हैं। यह उस मशीन पर पीडीएफ प्रारूप में रिपोर्ट अपलोड करने का समर्थन करता है जहां स्मार्टव्यू खुला है, साथ ही प्रशासक के ईमेल पर पीडीएफ/एक्सेल पर नियमित रूप से अपलोड करने का भी समर्थन करता है। इसके अलावा, यह रिपोर्ट टेम्प्लेट के आयात/निर्यात, आपकी स्वयं की रिपोर्ट बनाने और रिपोर्ट में उपयोगकर्ता नाम छिपाने की क्षमता का समर्थन करता है। नीचे दिया गया आंकड़ा अंतर्निहित ख़तरा निवारण रिपोर्ट का एक उदाहरण दिखाता है।

स्मार्टव्यू में डैशबोर्ड (व्यू) व्यवस्थापक को संबंधित ईवेंट के लिए लॉग तक पहुंचने की अनुमति देता है - बस रुचि की वस्तु पर डबल-क्लिक करें, चाहे वह चार्ट कॉलम हो या दुर्भावनापूर्ण फ़ाइल का नाम। रिपोर्ट की तरह, आप अपने स्वयं के डैशबोर्ड बना सकते हैं और उपयोगकर्ता डेटा छिपा सकते हैं। डैशबोर्ड टेम्प्लेट के आयात/निर्यात, व्यवस्थापक के ईमेल पर पीडीएफ/एक्सेल पर नियमित अपलोडिंग और वास्तविक समय में सुरक्षा घटनाओं की निगरानी के लिए स्वचालित डेटा अपडेट का भी समर्थन करते हैं।

अतिरिक्त निगरानी अनुभाग

प्रबंधन प्लेटफ़ॉर्म में निगरानी उपकरणों का विवरण अवलोकन, कंप्यूटर प्रबंधन, एंडपॉइंट सेटिंग्स और पुश ऑपरेशंस अनुभागों का उल्लेख किए बिना अधूरा होगा। इन अनुभागों का विस्तार से वर्णन किया गया है दूसरा लेखहालाँकि, निगरानी समस्याओं को हल करने के लिए उनकी क्षमताओं पर विचार करना उपयोगी होगा। आइए अवलोकन से शुरू करें, जिसमें दो उपखंड शामिल हैं - परिचालन अवलोकन और सुरक्षा अवलोकन, जो संरक्षित उपयोगकर्ता मशीनों और सुरक्षा घटनाओं की स्थिति के बारे में जानकारी वाले डैशबोर्ड हैं। किसी भी अन्य डैशबोर्ड के साथ इंटरैक्ट करते समय, ऑपरेशनल ओवरव्यू और सिक्योरिटी ओवरव्यू उपधारा, जब रुचि के पैरामीटर पर डबल-क्लिक करते हैं, तो आपको चयनित फ़िल्टर के साथ कंप्यूटर प्रबंधन अनुभाग तक पहुंचने की अनुमति मिलती है (उदाहरण के लिए, "डेस्कटॉप" या "प्री- बूट स्थिति: सक्षम"), या किसी विशिष्ट ईवेंट के लिए लॉग अनुभाग पर जाएँ। सुरक्षा अवलोकन उपधारा एक "साइबर अटैक व्यू - एंडपॉइंट" डैशबोर्ड है, जिसे अनुकूलित किया जा सकता है और डेटा को स्वचालित रूप से अपडेट करने के लिए सेट किया जा सकता है।

कंप्यूटर प्रबंधन अनुभाग से आप उपयोगकर्ता मशीनों पर एजेंट की स्थिति, एंटी-मैलवेयर डेटाबेस की अद्यतन स्थिति, डिस्क एन्क्रिप्शन के चरण और बहुत कुछ की निगरानी कर सकते हैं। सभी डेटा स्वचालित रूप से अपडेट किया जाता है, और प्रत्येक फ़िल्टर के लिए मिलान करने वाली उपयोगकर्ता मशीनों का प्रतिशत प्रदर्शित होता है। सीएसवी प्रारूप में कंप्यूटर डेटा निर्यात करना भी समर्थित है।

वर्कस्टेशन की सुरक्षा की निगरानी का एक महत्वपूर्ण पहलू कंपनी के लॉग सर्वर पर भंडारण के लिए महत्वपूर्ण घटनाओं (अलर्ट) और निर्यात लॉग (निर्यात इवेंट) के बारे में सूचनाएं स्थापित करना है। दोनों सेटिंग्स एंडपॉइंट सेटिंग्स अनुभाग में और इसके लिए बनाई गई हैं चेतावनियाँ व्यवस्थापक को ईवेंट सूचनाएं भेजने के लिए मेल सर्वर को कनेक्ट करना और ईवेंट मानदंडों को पूरा करने वाले उपकरणों के प्रतिशत/संख्या के आधार पर सूचनाओं को ट्रिगर/अक्षम करने के लिए थ्रेशोल्ड कॉन्फ़िगर करना संभव है। निर्यात घटनाएँ आपको आगे की प्रक्रिया के लिए प्रबंधन प्लेटफ़ॉर्म से कंपनी के लॉग सर्वर पर लॉग के स्थानांतरण को कॉन्फ़िगर करने की अनुमति देता है। SYSLOG, CEF, LEEF, SPLUNK प्रारूपों, TCP/UDP प्रोटोकॉल, चालू syslog एजेंट के साथ किसी भी SIEM सिस्टम, TLS/SSL एन्क्रिप्शन और syslog क्लाइंट प्रमाणीकरण के उपयोग का समर्थन करता है।

एजेंट पर घटनाओं के गहन विश्लेषण के लिए या तकनीकी सहायता से संपर्क करने के मामले में, आप पुश ऑपरेशंस अनुभाग में एक मजबूर ऑपरेशन का उपयोग करके सैंडब्लास्ट एजेंट क्लाइंट से लॉग को तुरंत एकत्र कर सकते हैं। आप जेनरेट किए गए संग्रह को लॉग के साथ चेक प्वाइंट सर्वर या कॉर्पोरेट सर्वर पर स्थानांतरित करने को कॉन्फ़िगर कर सकते हैं, और लॉग के साथ संग्रह C:UsersusernameCPInfo निर्देशिका में उपयोगकर्ता की मशीन पर सहेजा जाता है। यह एक निर्दिष्ट समय पर लॉग संग्रह प्रक्रिया शुरू करने और उपयोगकर्ता द्वारा ऑपरेशन को स्थगित करने की क्षमता का समर्थन करता है।

शिकार की धमकी

किसी संभावित सुरक्षा घटना की आगे की जांच करने के लिए किसी सिस्टम में दुर्भावनापूर्ण गतिविधियों और असामान्य व्यवहार की सक्रिय रूप से खोज करने के लिए थ्रेट हंटिंग का उपयोग किया जाता है। प्रबंधन प्लेटफ़ॉर्म में ख़तरा शिकार अनुभाग आपको उपयोगकर्ता मशीन डेटा में निर्दिष्ट मापदंडों के साथ घटनाओं की खोज करने की अनुमति देता है।

थ्रेट हंटिंग टूल में कई पूर्वनिर्धारित क्वेरीज़ हैं, उदाहरण के लिए: दुर्भावनापूर्ण डोमेन या फ़ाइलों को वर्गीकृत करने के लिए, कुछ आईपी पते पर दुर्लभ अनुरोधों को ट्रैक करना (सामान्य आंकड़ों के सापेक्ष)। अनुरोध संरचना में तीन पैरामीटर होते हैं: सूचक (नेटवर्क प्रोटोकॉल, प्रक्रिया पहचानकर्ता, फ़ाइल प्रकार, आदि), ऑपरेटर ("है", "नहीं है", "शामिल है", "इनमें से एक", आदि) और अनुरोध निकाय. आप अनुरोध के मुख्य भाग में नियमित अभिव्यक्तियों का उपयोग कर सकते हैं, और आप खोज बार में एक साथ कई फ़िल्टर का उपयोग कर सकते हैं।

फ़िल्टर का चयन करने और अनुरोध प्रसंस्करण पूरा करने के बाद, आपके पास सभी प्रासंगिक घटनाओं तक पहुंच होती है, जिसमें घटना के बारे में विस्तृत जानकारी देखने, अनुरोध ऑब्जेक्ट को अलग करने या घटना के विवरण के साथ एक विस्तृत फोरेंसिक रिपोर्ट तैयार करने की क्षमता होती है। वर्तमान में, यह टूल बीटा संस्करण में है और भविष्य में इसकी क्षमताओं के सेट का विस्तार करने की योजना बनाई गई है, उदाहरण के लिए, मेटर अटैक मैट्रिक्स के रूप में घटना के बारे में जानकारी जोड़ना।

निष्कर्ष

आइए संक्षेप में बताएं: इस लेख में हमने सैंडब्लास्ट एजेंट प्रबंधन प्लेटफ़ॉर्म में सुरक्षा घटनाओं की निगरानी की क्षमताओं को देखा, और उपयोगकर्ता मशीनों पर दुर्भावनापूर्ण कार्यों और विसंगतियों की सक्रिय खोज के लिए एक नए टूल - थ्रेट हंटिंग का अध्ययन किया। अगला लेख इस श्रृंखला का अंतिम लेख होगा और इसमें हम प्रबंधन प्लेटफ़ॉर्म समाधान के बारे में अक्सर पूछे जाने वाले प्रश्नों पर गौर करेंगे और इस उत्पाद के परीक्षण की संभावनाओं के बारे में बात करेंगे।

टीएस सॉल्यूशन से चेक प्वाइंट पर सामग्रियों का बड़ा चयन. सैंडब्लास्ट एजेंट प्रबंधन प्लेटफ़ॉर्म विषय पर अगले प्रकाशनों को न चूकने के लिए, हमारे सोशल नेटवर्क पर अपडेट का पालन करें (Telegram, फेसबुक, VK, टीएस समाधान ब्लॉग, Yandeks.Dzen).

स्रोत: www.habr.com