Benvenuto in un nuovo ciclo di articoli, questa volta sul tema dell'analisi degli incidenti, in particolare sull'analisi dei malware tramite la forensic di Check Point. In precedenza abbiamo pubblicato sull'uso di Smart Event, ma questa volta esamineremo i report forensic su eventi specifici in diversi prodotti Check Point:
Perché è importante la forensic degli incidenti prevenuti? Sembra ovvio catturare un virus, è già un buon inizio, ma perché approfondire? Come dimostra la pratica, è consigliabile non solo bloccare l'attacco, ma anche comprenderne il funzionamento: qual è stato il punto di ingresso, quale vulnerabilità è stata utilizzata, quali processi sono coinvolti, se colpisce il registro e il filesystem, quale famiglia di virus, quale potenziale danno, ecc. Questi e altri dati utili possono essere ottenuti in report forensic dettagliati di Check Point (sia in formato testuale che grafico). Ottenere un tale report manualmente è molto difficile. Successivamente, questi dati possono aiutare a prendere le misure necessarie ed escludere la possibilità di successo di attacchi simili in futuro. Oggi esamineremo il report forensic di Check Point SandBlast Network.
SandBlast Network
L'uso delle sandbox, per migliorare la protezione del perimetro di rete, è già da tempo diventato consuetudine ed è un componente obbligatorio come l'IPS. In Check Point, la funzionalità della sandbox è gestita dal blade Threat Emulation, che fa parte delle tecnologie SandBlast (dove è presente anche Threat Extraction). Abbiamo già pubblicato in precedenza anche per la versione Gaia 77.30 (consiglio vivamente di guardarlo se non capisci di cosa stiamo parlando). Dal punto di vista architettonico, da allora non è cambiato nulla di fondamentale. Se hai un Check Point Gateway nel perimetro della rete, puoi utilizzare due varianti di integrazione con la sandbox:
- SandBlast Local Appliance — viene installato un ulteriore appliance SandBlast nella tua rete, sul quale vengono inviati i file per l'analisi.
- SandBlast Cloud — i file vengono inviati per l'analisi al cloud di Check Point.
La sandbox può essere considerata l'ultima linea di difesa nel perimetro della rete. Si connette solo dopo un'analisi con strumenti classici, come antivirus e IPS. E se questi tradizionali strumenti di firma non offrono praticamente alcuna analisi, la sandbox può spiegare in dettaglio perché un file è stato bloccato e cosa di dannoso fa realmente. Un tale rapporto forense può essere ottenuto sia dalla sandbox locale che da quella cloud.
Report Forense di Check Point
Supponiamo che tu, come specialista di sicurezza informatica, sia arrivato al lavoro e abbia aperto il dashboard in SmartConsole. Qui puoi vedere immediatamente gli incidenti delle ultime 24 ore e la tua attenzione viene catturata dagli eventi di Threat Emulation, gli attacchi più pericolosi che non sono stati bloccati dall'analisi delle firme.
Puoi "approfondire" questi eventi e visualizzare tutti i log relativi al blade di Threat Emulation.
Dopo di che puoi ulteriormente filtrare i log in base al livello di criticità delle minacce (Severity) e al livello di affidabilità (Confidence Level):
Espandendo l'evento di tuo interesse puoi visualizzare le informazioni generali (src, dst, severity, sender, ecc.):
E lì puoi anche notare la sezione Forense con disponibile Riepilogo del rapporto. Cliccando su di esso si aprirà un'analisi dettagliata del malware sotto forma di pagina HTML interattiva:
(Questa è una parte della pagina. )
Da questo stesso rapporto possiamo scaricare l'originale del malware (in un archivio protetto da password), oppure contattare immediatamente il team di risposta di Check Point.
Poco più in basso puoi vedere una bella animazione che mostra in percentuale quanto il nostro campione si interfaccia con codici dannosi già noti (inclusi il codice stesso e le macro). Questa analisi viene fornita utilizzando l'apprendimento automatico nel cloud Check Point Threat Cloud.
Poi puoi vedere quali attività specifiche nella sandbox hanno portato a concludere che questo file fosse dannoso. In questo caso vediamo l'uso di tecniche di evasione e tentativi di caricare ransomware:
Si può notare che in questo caso l'emulazione è stata effettuata su due sistemi (Win 7, Win XP) e diverse versioni del software (Office, Adobe). Qui sotto ci sono video (presentazione) del processo di apertura di questo file nella sandbox:
Esempio di video:
Alla fine possiamo vedere in dettaglio come si sia sviluppato l'attacco. Sia in forma tabellare che grafica:
Qui possiamo scaricare queste informazioni in formato RAW e file pcap, per un'analisi dettagliata del traffico generato in Wireshark:
Conclusione
Utilizzando queste informazioni è possibile rafforzare notevolmente la protezione della vostra rete. Bloccare gli host di diffusione dei virus, chiudere le vulnerabilità utilizzate, impedire ogni possibile feedback con C&C e molto altro. Non bisogna trascurare questa analisi.
Negli articoli seguenti esamineremo in modo analogo i rapporti di SandBlast Agent, SandBlast Mobile, e CloudGiard SaaS. Quindi seguite gli aggiornamenti (, , , )!
Fonte: habr.com
