Üdvözöljük a számítógépek védelmét kezelő új felhői konzol harmadik cikkében — a Check Point SandBlast Agent Management Platform-on. Emlékeztetnék arra, hogy megismertük az Infinity Portal portált, és létrehoztunk egy felhőalapú végpontkezelési ügynökkezelő szolgáltatást. A megvizsgáltuk a webes kezelői konzol felületét, és telepítettük az ügynököt az alapértelmezett irányelvvel a felhasználói gépre. Ma a Threat Prevention szabványos biztonsági irányelvének tartalmát fogjuk megvizsgálni, és tesztelni fogjuk annak hatékonyságát a népszerű támadásokkal szemben.
Alapértelmezett Threat Prevention irányelv: leírás
A fenti ábrán a Threat Prevention irányelv alapértelmezett szabálya látható, amely alapértelmezés szerint az egész szervezetre (az összes telepített ügynökre) vonatkozik, és három logikai védelmi komponenscsoportot tartalmaz: Web & Files Protection, Behavioral Protection és Analysis & Remediation. Nézzük meg részletesebben mindegyik csoportot.
Web & Files Protection
URL-szűrés
A URL-szűrés lehetővé teszi a felhasználók hozzáférésének ellenőrzését a webes forrásokhoz, amelyhez öt előre beállított webséta kategóriát használnak. Az öt kategóriába több specifikus alkategória is beletartozik, lehetővé téve például a játékok alkategóriájához való hozzáférés blokkolását, míg az Azonnali Üzenetküldés alkategóriához való hozzáférést engedélyezni lehet, amelyek mindegyike a Termelékenység Csökkenése kategóriába tartozik. Az alkategóriákhoz tartozó URL-címeket a Check Point határozza meg. Ellenőrizheti, hogy egy adott URL melyik kategóriába tartozik, vagy kérheti a kategória felülvizsgálatát egy speciális forráson. .
Műveletként beállíthatja a Megakadályozás, Észlelés vagy Ki lehetőségeket. Ha az Észlelés műveletet választja, automatikusan hozzáadódik egy beállítás, amely lehetővé teszi a felhasználók számára, hogy átugorják a URL-szűrés figyelmeztetését, és folytassák az érdeklődő forráshoz. Megakadályozás műveletnél ezt a beállítást el lehet távolítani, így a felhasználó nem tud hozzáférni a tiltott webhelyhez. Egy másik kényelmes mód a tiltott források ellenőrzésére a Tiltott lista beállítása, amely lehetővé teszi domainek, IP-címek megadását vagy egy .csv formátumú fájl feltöltését a blokkolni kívánt domainek listájával.
A szabványos URL-Filtering politikában a cselekvés Detektálásra van beállítva, és egy kategória lett kiválasztva — Biztonság, amelyben az események detektálása történik. Ez a kategória tartalmaz különböző anonimizálókat, olyan webhelyeket, amelyek kockázati szintje Kritikus/Magas/Mérsékelt, csaló weboldalakat, kéretlen leveleket és még sok mást. Ugyanakkor a felhasználók továbbra is hozzáférhetnek az erőforráshoz az „Engedélyezze a felhasználónak, hogy figyelmeztetést ad jon törölni és hozzáférni a weboldalhoz” beállítás segítségével.
Letöltés (web) védelem
Az Emuláció & Kinyerés lehetővé teszi a Check Point felhőhomokozójában letöltött fájlok emulálását és a dokumentumok «valós időben» történő tisztítását, eltávolítva a potenciálisan rosszindulatú tartalmat, vagy konvertálva a dokumentumot PDF formátumba. Három működési mód létezik:
- Megakadályozás — lehetővé teszi a megtisztított dokumentum másolatának megszerzését az emuláció végső verdiktje előtt, vagy várhatja az emuláció befejezését, és azonnal letöltheti az eredeti fájlt;
- Detektálás — az emuláció a háttérben történik, anélkül, hogy megakadályozná a felhasználót az eredeti fájl megszerzésében, függetlenül a verdiktet;
- Ki — bármely fájl letöltése megengedett az emuláció és a potenciálisan rosszindulatú összetevők tisztítása nélkül.
Van lehetőség arra is, hogy cselekvést válasszunk azokhoz a fájlokhoz, amelyek nem támogatottak a Check Point emuláló és tisztító eszközeivel — meg lehet engedni vagy meg lehet tiltani az összes nem támogatott fájl letöltését.
A szabványos Download Protection politikában a cselekvés Megakadályozásra van beállítva, lehetővé téve a potenciálisan rosszindulatú tartalomtól megtisztított eredeti dokumentum másolatának megszerzését, valamint engedélyezve a letöltést a támogatott eszközök által nem támogatott fájlok esetében.
Hitelesítési védelem
A Hitelesítési védelem összetevő megvédi a felhasználók adatait, és két részből áll: Zero Phishing és Jelszóvédelem. Zero Phishing megvédi a felhasználókat a csaló webhelyekhez való hozzáféréstől, és Jelszóvédelem értesíti a felhasználót a vállalati adatok védett tartományon kívüli használatának tilalmáról. A Zero Phishing beállítható Prevent, Detect vagy Off módra. Prevent üzemmódban lehetőséget adhat a felhasználóknak, hogy átugorják a potenciálisan phishing forrástól származó figyelmeztetést, és hozzáférjenek a forráshoz, vagy megtilthatja ezt a lehetőséget, és mindig blokkolhatja a hozzáférést. Detect módban a felhasználóknak mindig van lehetőségük átugorni a figyelmeztetést és hozzáférni a forráshoz. A Jelszóvédelem lehetőséget ad a védett domének kiválasztására, amelyeknél a jelszavak ellenőrzése folyik, és a következő három intézkedés egyikére: Detect & Alert (értesíti a felhasználót), Detect vagy Off.
A Credential Protection szabványos politikája előírja a Prevent intézkedést bármely phishing forrásra, megakadályozva a felhasználóknak a potenciálisan rosszindulatú webhelyhez való hozzáférést. A vállalati jelszavak használatának védelme is be van kapcsolva, azonban megadott domének nélkül ez a funkció nem fog működni.
Fájlok Védelme
A Fájlok Védelme a felhasználói gépen tárolt fájlok védelméért felelős, és két komponenst foglal magában: Anti-Malware és Fájlok Fenyegetés Emuláció. Anti-Malware egy olyan eszköz, amely rendszeresen átvizsgálja az összes felhasználói és rendszer fájlt aláírás elemzéssel. Ennek a komponensnek a beállításaiban konfigurálhatók a rendszeres átvizsgálás vagy véletlenszerű átvizsgálás időpontjai, az aláírások frissítési periódusa, valamint a felhasználók részére a tervezett átvizsgálás lemondásának lehetősége. Fájlok Fenyegetés Emuláció lehetővé teszi a felhasználói gépen tárolt fájlok emulációját a Check Point felhőalapú sandbox-jában, azonban ez a biztonsági funkció csak Detect módban működik.
A Fájlok Védelme szabványos politikájában szerepel az Anti-Malware általi védelem és a rosszindulatú fájlok észlelése a Fájlok Fenyegetés Emuláció révén. A rendszeres átvizsgálás havonta zajlik, és a felhasználói gépen az aláírások 4 óránként frissülnek. A felhasználók számára be van állítva a tervezett átvizsgálás lemondásának lehetősége, de legfeljebb 30 nappal az utolsó sikeres átvizsgálás után.
Viselkedésvédelmi Védelem
Anti-Bot, Viselkedésvédelmi Őr & Anti-Ransomware, Anti-Exploit
A védelmi összetevők csoportja, a Behavioral Protection három elemet tartalmaz: Anti-Bot, Behavioral Guard & Anti-Ransomware és Anti-Exploit. Anti-Bot lehetővé teszi a C&C kapcsolatok nyomon követését és blokkolását a folyamatosan frissülő Check Point ThreatCloud adatbázis segítségével. Behavioral Guard & Anti-Ransomware folyamatosan figyeli a felhasználói gépen történő aktivitást (fájlok, folyamatok, hálózati interakciók), és lehetővé teszi a kódoló támadások megelőzését azok korai szakaszában. Emellett ez a védelmi elem lehetővé teszi a kibertámadás által titkosított fájlok helyreállítását. A fájlok az eredeti könyvtárukba kerülnek vissza, de megadható egy specifikus útvonal is, ahol az összes helyreállított fájl tárolható. Anti-Exploit lehetővé teszi a nulladik napi támadások észlelését. A Behavioral Protection összes komponense három működési módot támogat: Prevent, Detect és Off.
A Behavioral Protection standard politikája a Prevent beállítást határozza meg az Anti-Bot és a Behavioral Guard & Anti-Ransomware komponensekhez, a titkosított fájlok helyreállításával az eredeti könyvtárakba. Az Anti-Exploit komponens le van tiltva és nem használatos.
Elemzés és Helyreállítás
Automatizált Támadás Elemzés (Forensika), Helyreállítás és Válaszadás
A biztonsági események elemzésére és vizsgálatára két biztonsági összetevő áll rendelkezésre: Automatizált Támadás Elemzés (Forensika) és Helyreállítás és Válaszadás. Automatizált Támadás Elemzés (Forensika) lehetővé teszi a támadásokkal kapcsolatos jelentések generálását részletes leírásokkal — egészen a rosszindulatú programok végrehajtási folyamatának elemzéséig a felhasználói gépen. Emellett van lehetőség a Threat Hunting funkció használatára, amely lehetővé teszi a proaktív anomáliák és potenciálisan káros viselkedések keresését előre beállított vagy saját készítésű szűrők segítségével. Helyreállítás és Válaszadás lehetővé teszi a fájlok helyreállítási és karanténbe helyezési paramétereinek beállítását támadás lefolytatása után: szabályozva a felhasználók és a karantén fájlok közötti interakciót, továbbá van lehetőség fájlok karanténban tartására az adminisztrátor által megadott könyvtárban.
Az elemzés és helyreállítás standard politikában védelmet nyújt, amely automatikus intézkedéseket tartalmaz a helyreállítás érdekében (folyamatok leállítása, fájlok helyreállítása stb.), és aktív az opció fájlok karanténba küldésére, amelyet a felhasználók csak törölhetnek a karanténból.
A fenyegetések megelőzésének standard politikája: tesztelés
Check Point CheckMe Endpoint
A leggyorsabb és legegyszerűbb módja annak, hogy ellenőrizzük a felhasználói gép védelmét a legismertebb támadások ellen, egy teszt elvégzése a következő forrással , amely különböző kategóriákba tartozó tipikus támadásokat hajt végre, és lehetővé teszi, hogy jelentést kapjunk a tesztelés eredményeiről. Ebben az esetben az Endpoint tesztelési lehetőség került felhasználásra, ahol egy végrehajtható fájl letöltése és futtatása történik a számítógépen, majd elkezdődik a vizsgálati folyamat.
A munkahelyi számítógép védelmének ellenőrzése során a SandBlast Agent figyelmeztet a felhasználói számítógépen azonosított és visszavert támadásokra, például: az Anti-Bot blade a fertőzés felfedezéséről számol be, az Anti-Malware blade az CP_AM.exe kártékony fájl felfedezéséről és eltávolításáról tájékoztat, míg a Threat Emulation blade az emuláció eredményei alapján megállapította, hogy a CP_ZD.exe fájl kártékony.
A CheckMe Endpoint segítségével végrehajtott tesztelés alapján a következő eredményt kaptuk: a 6 támadási kategória közül a standard Threat Prevention politika csupán egy kategóriával — a Browser Exploit-tel — nem boldogult. Ez magyarázható azzal, hogy a standard Threat Prevention politika nem tartalmazza az Anti-Exploit blade-et. Érdemes megjegyezni, hogy a SandBlast Agent telepítése nélkül a felhasználói számítógép csak a Ransomware kategória ellen ment át a teszten.
KnowBe4 RanSim
Az Anti-Ransomware blade működésének tesztelésére ingyenes megoldás használható , amely különböző teszteket indít el a felhasználói gépen: 18 ransomware-fertőzés és 1 kriptovaluta-bányász fertőzési forgatókönyvet. Meg kell jegyezni, hogy a standard politikában lévő sok blade (Threat Emulation, Anti-Malware, Behavioral Guard) prevent móddal nem teszi lehetővé a teszt megfelelő végrehajtását. Azonban, még csökkentett biztonsági szinten (Threat Emulation bekapcsolva), az Anti-Ransomware blade teszt magas eredményeket mutat: 19 tesztből 18 sikeresen teljesült (1 nem indult el).
Kártékony fájlok és dokumentumok
Jó példa a Threat Prevention standard politikája különböző blade-einek működésének tesztelése, amelyet népszerű formátumú rosszindulatú fájlok felhasználói számítógépre való feltöltésével végeztek. A teszt során 66 fájl PDF, DOC, DOCX, EXE, XLS, XLSX, CAB és RTF formátumban volt jelen. A teszt eredményei azt mutatták, hogy a SandBlast Agent 66-ból 64 rosszindulatú fájlt tudott blokkolni. A fertőzött fájlok letöltés után törlésre kerültek, vagy a Threat Extraction segítségével megtisztították őket a rosszindulatú tartalomtól, majd a felhasználóhoz kerültek.
Javaslatok a Threat Prevention politika javítására
1. URL Szűrés
Az első dolog, amit meg kell javítani a standard politikában a felhasználói számítógép védelmi szintjének növelése érdekében, az URL Szűrés blade átállítása Prevent módba és a blokkolandó kategóriák meghatározása. Esetünkben minden kategóriát választottunk, kivéve az Általános Használatot, mivel ezek tartalmazzák a legtöbb olyan forrást, amelyekhez korlátozni kell a hozzáférést a munkahelyeken. Továbbá az ilyen webhelyeknél ajánlott eltávolítani a felhasználók számára a figyelmeztető üzenet figyelmen kívül hagyásának lehetőségét az "Allow user to dismiss the URL Filtering alert and access the website" opciót keresztül.
2. Letöltési Védelem
A második paraméter, amelyre érdemes figyelni, az, hogy a felhasználóknak lehetőségük van olyan fájlok letöltésére, amelyeket a Check Point emulációja nem támogat. Mivel jelen szakaszban a Threat Prevention standard politikájának javításait nézzük biztonsági szempontból, a legjobb megoldás az lenne, hogy a nem támogatott fájlok letöltését megtiltsuk.
3. Fájlok Védelme
Figyelmet kell fordítani a fájlok védelmi beállításaira is — különösen a időszakos ellenőrzések és a felhasználó által halasztott kényszerellenőrzés lehetőségeire. Itt figyelembe kell venni a felhasználó munkakörülményeit, és biztonsági és teljesítmény szempontjából ajánlott napi kényszerellenőrzések beállítása, amikor az időpont véletlenszerűen kerül kiválasztásra (éjféltől reggel 8-ig), és a felhasználó legfeljebb egy hétig halaszthatja az ellenőrzéseket.
4. Anti-Exploit
A jelentős hátránya a standard Threat Prevention politikának, hogy az Anti-Exploit blade ki van kapcsolva. Ajánlott ezt a blade-et Aktiválás (Prevent) módban bekapcsolni, hogy megvédje a munkaállomást az exploit-alapú támadásoktól. Ezzel a javítással a CheckMe újbóli tesztje sikeresen zárul, és nem talál sebezhetőséget a felhasználói munkaállomáson.
Zárás
Összefoglalva: ebben a cikkben megismerkedtünk a standard Threat Prevention politika komponenseivel, teszteltük ezt a politikát különböző módszerekkel és eszközökkel, valamint ajánlásokat tettünk a standard politika beállításainak javítására a felhasználói gép biztonsági szintjének növelése érdekében. A ciklus következő cikkében áttérünk az Adatvédelmi politikák tanulmányozására, és megvizsgáljuk a Global Policy Settings beállításait.
. Hogy ne maradjon le a SandBlast Agent Management Platform témakörébe vágó későbbi publikációkról — kövesse nyomon frissítéseinket közösségi média csatornáinkon (, , , , ).
Forrás: habr.com
