Benvenuti a un nuovo ciclo di articoli, questa volta sul tema dell'analisi degli incidenti, in particolare sull'analisi del malware utilizzando la forenzica di Check Point. In precedenza avevamo pubblicato sull'utilizzo di Smart Event, ma questa volta esamineremo i report forensici relativi a eventi specifici in vari prodotti Check Point:
Perché è importante la forenzica degli incidenti prevenuti? A prima vista, aver bloccato un virus è già un buon risultato, ma perché approfondirne l'analisi? Come dimostra la pratica, è preferibile non solo bloccare un attacco, ma anche capire come funziona: quale è stata la porta di ingresso, quale vulnerabilità è stata sfruttata, quali processi sono stati coinvolti, se ha toccato il registro e il filesystem, quale famiglia di virus è coinvolta, quale potenziale danno potrebbe causare, e così via. Questi e altri dati utili possono essere ottenuti da report forensi dettagliati di Check Point (sia in formato testuale che grafico). Ottenere un report simile manualmente è molto difficile. Questi dati possono quindi aiutare a prendere le misure necessarie e a prevenire il successo di attacchi simili in futuro. Oggi esamineremo il report forense di Check Point SandBlast Network.
SandBlast Network
L'uso delle sandbox, per rafforzare la protezione del perimetro della rete, è ormai diventato una pratica comune e un componente essenziale, al pari di un IPS. In Check Point, la funzionalità della sandbox è gestita dal blade Threat Emulation, che fa parte delle tecnologie SandBlast (dove troviamo anche Threat Extraction). In precedenza avevamo pubblicato ancora per la versione Gaia 77.30 (consiglio vivamente di guardarlo se non comprende di cosa si stia parlando). Dal punto di vista architettonico, da allora non è cambiato praticamente nulla. Se hai un Gateway Check Point al perimetro della tua rete, puoi utilizzare due modalità di integrazione con la sandbox:
- SandBlast Local Appliance – un ulteriore appliance SandBlast viene installato nella tua rete, sul quale vengono inviati i file per l'analisi.
- SandBlast Cloud – i file vengono inviati per l'analisi nel cloud di Check Point.
La sandbox può essere considerata l'ultima linea di difesa nel perimetro della rete. Si attiva solo dopo un'analisi con strumenti tradizionali — antivirus, IPS. E se tali strumenti di analisi basati su firme non forniscono praticamente nessuna analisi, la sandbox può “raccontare” nei dettagli perché un file è stato bloccato e quale tipo di attività malevola sta svolgendo. Un report forense di questo tipo può essere ottenuto sia dalla sandbox locale che da quella cloud.
Check Point Forensics Report
Supponiamo che tu, come esperto di sicurezza informatica, sia arrivato al lavoro e abbia aperto il dashboard in SmartConsole. Qui puoi subito vedere gli incidenti delle ultime 24 ore e la tua attenzione viene catturata dagli eventi di Threat Emulation — gli attacchi più pericolosi che non sono stati bloccati dall'analisi per firma.
Puoi “esplorare” questi eventi (drill down) e vedere tutti i log del blade Threat Emulation.
Dopo di ciò, puoi ulteriormente filtrare i log per livello di criticità della minaccia (Severity) e anche per il Confidence Level (affidabilità della rilevazione):
Aprendo l'evento di nostro interesse, possiamo visualizzare le informazioni generali (src, dst, severity, sender, ecc.):
E lì puoi anche notare la sezione Investigazione Forense con il disponibile Summary report. Cliccando su di esso, di fronte a noi si aprirà un'analisi dettagliata del malware in forma di una pagina HTML interattiva:
(Questa è una parte della pagina. )
Da questo stesso report possiamo scaricare l'originale del malware (in un archivio protetto da password), oppure contattare immediatamente il team di risposta di Check Point.
Poco più in basso puoi vedere una bella animazione che mostra in percentuale con quale codice malevolo già noto il nostro esemplare si mette in relazione (inclusi il codice stesso e i macro). Questa analisi è fornita utilizzando l'apprendimento automatico nel cloud di Check Point Threat Cloud.
Poi puoi guardare quali specifiche attività nella sandbox hanno portato alla conclusione della malignità di questo file. In questo caso vediamo l'utilizzo di tecniche di evasione e un tentativo di download di ransomware:
Puoi notare che in questo caso l'emulazione è stata eseguita su due sistemi (Win 7, Win XP) e in diverse versioni software (Office, Adobe). Di seguito c'è un video (slideshow) del processo di apertura di questo file nella sandbox:
Esempio di video:
Alla fine possiamo vedere in dettaglio come si è sviluppato l'attacco. Sia in forma tabellare che grafica:
Lì possiamo anche scaricare queste informazioni in formato RAW e file pcap, per un'analisi dettagliata del traffico generato in Wireshark:
Conclusione
Utilizzando queste informazioni, puoi rafforzare notevolmente la protezione della tua rete. Bloccare gli host di diffusione dei virus, chiudere le vulnerabilità sfruttate, bloccare eventuali comunicazioni con C&C e molto altro. Non dovresti trascurare questa analisi.
Negli articoli seguenti esamineremo in modo simile i report di SandBlast Agent, SandBlast Mobile, e anche CloudGuard SaaS. Restate sintonizzati per gli aggiornamenti (, , , )!
Fonte: habr.com
