Üdvözöljük az ötödik cikkében a Check Point SandBlast Agent Management Platform megoldásáról szóló ciklusnak. Az előző cikkek megtekintéséhez kérjük, látogasson el a megfelelő linkre: , , , . Ma a Management Platform monitorozási lehetőségeit vizsgáljuk, különös figyelmet fordítva a naplókra, interaktív irányítópultokra (View) és a jelentésekre. Emellett beszélni fogunk a Threat Hunting témájáról a felhasználói gépen lévő aktuális fenyegetések és anomáliák azonosításához.
Naplófájlok
A biztonsági események monitorozásának fő információforrása a Logs rész, amely részletes tájékoztatást nyújt minden egyes incidensről, és kényelmes szűrőket is biztosít a keresési kritériumok pontosabb beállításához. Például, amikor a jobb gombbal rákattint egy log paraméterre (Blade, Action, Severity stb.), ez a paraméter úgy szűrhető, hogy Filter: „Parameter” vagy Filter Out: „Parameter”. A Source paraméter esetében IP Tools opció is választható, amely lehetővé teszi pingen keresztül ellenőrizni a megadott IP-címet/név, vagy nslookup végrehajtására az IP-cím forrásának lekéréséhez neve alapján.
A Logs részben az események szűrésére Statistics almappa található, amely minden paraméterre vonatkozó statisztikát mutat: idődiagram a naplók számával, valamint százalékos arányok az egyes paraméterek esetében. Ebből az almappából a naplók könnyen szűrhetőek anélkül, hogy keresősávra lenne szükség, és kifejezéseket kellene írni — elegendő kiválasztani a kívánt paramétereket, és az új naplólista azonnal megjelenik.
A Logs rész jobb panelén minden naplóra vonatkozó részletes információk hozzáférhetők, azonban kényelmesebb a napló dupla kattintással történő megnyitása az tartalom elemzéséhez. Az alábbi példa egy naplóra (a kép kattintható), amely részletes információkat mutat a Threat Emulation blade Prevent akciójának a „.docx” fájlra vonatkozó aktiválásáról. A napló több almappát tartalmaz, amelyek bemutatják a biztonsági esemény részleteit: alkalmazott politika és védelem, forenzikai részletek, valamint kliens és forgalmi információk. Külön dédelgetett figyelmet érdemelnek a naplóból elérhető jelentések — Threat Emulation Report és Forensics Report. Ezek a jelentések a SandBlast Agent kliensből is megnyithatók.
Threat Emulation Report
A Threat Emulation blade használatakor, miután az emulációt végrehajtották a Check Point felhőjében, a megfelelő naplóban megjelenik egy hivatkozás a részletes emulációs jelentésre – Threat Emulation Report. Ennek a jelentésnek a tartalmát részletesen tárgyaljuk cikkünkben a Érdemes megjegyezni, hogy ez a jelentés interaktív, és lehetőséget biztosít arra, hogy „mélyebbre” merüljünk a részletekben minden egyes szakaszhoz. Emellett van lehetőség a virtuális gépen végrehajtott emuláció folyamatának megtekintésére, az eredeti kártevő fájl letöltésére vagy a hash megszerzésére, valamint a Check Point Incident Response Teamhez való fordulásra.
Forensics Report
Szinte minden biztonsági esemény esetén generálódik egy Forensics Report, amely részletes információkat tartalmaz a kártevő fájlról: annak jellemzőit, tevékenységeit, a rendszerbe való behatolás pontját és a cég fontos eszközeire gyakorolt hatását. A jelentés felépítését részletesen tárgyaltuk cikkünkben a Ez a jelentés fontos információforrást jelent a biztonsági események nyomozásakor, és szükség esetén azonnal elküldhető a jelentés tartalma a Check Point Incident Response Teamhez.
SmartView
A Check Point SmartView egy kényelmes eszköz dinamikus irányítópultok (View) és PDF formátumú jelentések készítésére és megtekintésére. A SmartView-ból az adminisztrátorok a felhasználói naplókat és audit eseményeket is megtekinthetik. Az alábbi ábrán a SandBlast Agenttel való munkához legjobban használt jelentések és irányítópultok láthatók.
A SmartView jelentések statisztikai információkat tartalmaznak az eseményekről egy adott időszakon belül. A jelentések PDF formátumban exportálhatók arra a gépre, ahol a SmartView nyitva van, és rendszeres PDF/Excel export is végezhető az adminisztrátor elektronikus levelezésére. Ezen kívül támogatja a jelentésminták importálását/exportálását, a saját jelentések készítését és a felhasználónevek elrejtésének lehetőségét a jelentésekben. Az alábbi ábrán egy beépített Threat Prevention jelentés példáját láthatjuk.
A SmartView-ban a Dashboards (Nézet) lehetővé teszi az adminisztrátor számára, hogy hozzáférjen a megfelelő esemény logjaihoz - elegendő kétszer rákattintani az érdeklődési objektumra, legyen az a diagram oszlopa vagy a kártevő fájl neve. Az jelentésekhez hasonlóan testre szabott irányítópultokat is létrehozhatunk, és elrejthetjük a felhasználói adatokat. Az irányítópultoknál támogatott az import/export sablonok, a rendszeres PDF/Excel kiexportálás az adminisztrátor e-mail címére, valamint az adatfrissítés automatikus beállítása a valós idejű biztonsági események nyomon követéséhez.
Kiegészítő monitoring szakaszok
A Management Platform monitorozó eszközeinek leírása hiányos lenne az Overview, Computer Management, Endpoint Settings és Push Operations szakaszok említése nélkül. Ezek a szakaszok részletesen le vannak írva a , azonban hasznos lesz megvizsgálni képességeiket a monitoring feladatok megoldásához. Kezdjük az Overview-val, mely két alfejezetből áll - Operational Overview és Security Overview, amelyek irányítópultok az védett felhasználói gépek állapotáról és a biztonsági eseményekről. Mint bármely más irányítópult esetében, az Operational Overview és Security Overview alfejezetek dupla kattintással az érdeklődő paraméterre lehetővé teszik, hogy a Computer Management részre navigáljunk megadott szűrővel (például: „Desktops” vagy „Pre-Boot Status: Enabled”), vagy a megfelelő eseményhez a Logs részre. A Security Overview alfejezet az „Cyber Attack View – Endpoint” irányítópult, amelyet testre lehet szabni, és beállítható az adatok automatikus frissítése.
A Computer Management részről nyomon követhető az ügynök állapota a felhasználói gépeken, az Anti-Malware adatbázis frissítési státusza, a lemez titkosítási fázisai, és sok más dolog. Mindezek az adatok automatikusan frissülnek, és minden egyes szűrőnél megjelenik a megfelelő felhasználói gépek százalékos aránya. Továbbá, az adatok számítógépek exportálása CSV formátumban is támogatott.
A munkahelyi állomások biztonságának monitorozásának fontos szempontja a kritikus eseményekről (Alerts) szóló értesítések beállítása és a logok exportálása (Export Events) a cég log-szerverére való tárolás céljából. Mindkét beállítást az Endpoint Settings részben hajtják végre, és a Figyelmeztetések Lehetőség van e-mail szerver csatlakoztatására az adminisztrátornak küldött eseményértesítésekhez, valamint a riasztások küszöbértékeinek beállítására az esemény bekövetkezésekor a megfelelő eszközök százaléka / száma alapján. Események exportálása Lehetővé teszi a naplók továbbításának beállítását a Management Platformból a vállalati naplóserverre további feldolgozás céljából. Támogatott formátumok: SYSLOG, CEF, LEEF, SPLUNK, TCP/UDP protokollok, bármely SIEM rendszer működő syslog-ügynökkel, TLS/SSL titkosítás használata és syslog-kliens hitelesítése.
A SandBlast Agent ügyféltől történő naplók gyors gyűjtésére, illetve technikai támogatás igénylésekor a Push Operations részben kényszerített művelettel lehetőség van. Az elkészített naplóarchívum továbbítását beállíthatjuk a Check Point szerverekre vagy a vállalati szerverekre; a naplóarchívum a felhasználói gépen a C:UsersusernameCPInfo könyvtárban is tárolásra kerül. Támogatja a naplógyaűjtési folyamat tervezett időben történő indítását, és a felhasználó által késleltetett műveletet is.
Fenyegetéskeresés
A fenyegetéskeresés módszere a rosszindulatú tevékenységek és a rendszerben tapasztalható anomális viselkedés proaktív keresésére szolgál, a potenciális biztonsági események további nyomozása érdekében. A Management Platform fenyegetéskeresés szakasza lehetővé teszi események keresését a felhasználói gépen megadott paraméterekkel.
A fenyegetéskereső eszköz több előre megadott lekérdezést tartalmaz, például a rosszindulatú domainek vagy fájlok osztályozására, vagy ritka IP-címek megkeresésére a statisztika alapján. A lekérdezés struktúrája három paraméterből áll: indikátor (hálózati protokoll, folyamat azonosító, fájl típusa stb.), operátort készítenek („van”, „nincs”, „tartalmazza”, „egyik” stb.) és lekérdezés törzse. A lekérdezés törzsében reguláris kifejezések használata is lehetséges, több szűrő egyidejű használatát támogatja a keresőszóban.
A szűrő kiválasztása után és a kérés feldolgozása befejezte, hozzáférés nyílik minden alkalmas eseményhez, melyekre részletes információk tekinthetők meg, a kérés objektuma karanténba helyezhető, vagy részletes Forensics Report generálható az esemény leírásával. Jelenleg ez az eszköz bétaverzióban érhető el, és a jövőben a funkciók körének bővítése tervezi, például eseményinformációk hozzáadását a Mitre Att&ck mátrix formájában.
Zárás
Összegezzük: ebben a cikkben megvizsgáltuk a biztonsági események monitorozásának lehetőségeit a SandBlast Agent Management Platformon, felfedeztük az új eszközt a felhasználói gépeken történő rosszindulatú tevékenységek és anomáliák proaktív keresésére — Threat Hunting. A következő cikk lesz az utolsó ebben a ciklusban, amelyben a Management Platform megoldásaira vonatkozó leggyakoribb kérdéseket tárgyaljuk és a termék tesztelési lehetőségeiről beszélünk.
. Hogy ne maradjon le a SandBlast Agent Management Platform témakörébe vágó későbbi publikációkról — kövesse nyomon frissítéseinket közösségi média csatornáinkon (, , , , ).
Forrás: habr.com
