Benvenuti nel terzo articolo di un ciclo sulla nuova console cloud per la gestione della protezione dei computer personali — Check Point SandBlast Agent Management Platform. Ricordo che in ci siamo già familiarizzati con il portale Infinity Portal e abbiamo creato il servizio cloud di gestione degli agenti, Endpoint Management Service. Nella abbiamo studiato l'interfaccia della console web di gestione e abbiamo installato l'agente con la politica standard su una macchina utente. Oggi esamineremo il contenuto della politica di sicurezza standard Threat Prevention e ne testeremo l'efficacia contro le attacchi più comuni.
Politica standard di prevenzione delle minacce: descrizione
Nell'immagine sopra è illustrata la regola standard della politica di prevenzione delle minacce che, per impostazione predefinita, si applica a tutta l'organizzazione (tutti gli agenti installati) e include tre gruppi logici di componenti di protezione: Web & Files Protection, Behavioral Protection e Analysis & Remediation. Esaminiamo più da vicino ciascun gruppo.
Web & Files Protection
URL Filtering
URL Filtering consente di controllare l'accesso degli utenti alle risorse web, utilizzando 5 categorie preimpostate di siti. Ognuna delle 5 categorie contiene diverse sottocategorie più specifiche, permettendo ad esempio di bloccare l'accesso alla sottocategoria Giochi e consentire l'accesso alla sottocategoria Messaggistica Istantanea, entrambe appartenenti alla categoria Perdita di Produttività. Gli indirizzi URL relativi a specifiche sottocategorie sono definiti dalla Check Point. È possibile verificare a quale categoria appartiene un URL specifico o richiedere una ridefinizione della categoria su un'apposita risorsa. .
Come azione, si può impostare Prevent, Detect o Off. Inoltre, selezionando l'azione Detect, viene automaticamente aggiunta un'impostazione che consente agli utenti di saltare l'avviso di URL Filtering e di accedere alla risorsa desiderata. Nel caso dell'azione Prevent, questa impostazione può essere disattivata e l'utente non potrà accedere al sito bloccato. Un modo pratico per controllare le risorse vietate è configurare una Block List, dove si possono specificare domini, indirizzi IP o caricare un file in formato .csv con un elenco di domini da bloccare.
Nella politica standard per il URL Filtering è impostata l'azione Detect e è selezionata una categoria: Security, per la quale sarà effettuata la rilevazione degli eventi. Questa categoria comprende vari anonymizers, siti con livelli di rischio Critico/Alto/Medio, siti di phishing, spam e molto altro. Gli utenti potranno comunque accedere alle risorse grazie all'impostazione "Allow user to dismiss the URL Filtering alert and access the website."
Download (web) Protection
Emulation & Extraction consente di effettuare l'emulazione dei file scaricati nella sandbox cloud di Check Point e di eseguire la pulizia dei documenti "al volo", rimuovendo contenuti potenzialmente dannosi o convertendo il documento in PDF. Sono disponibili tre modalità operative:
- Prevent — consente di ottenere una copia del documento pulito prima del verdetto finale dell'emulazione, o di aspettare il termine dell'emulazione e scaricare direttamente il file originale;
- Detect — esegue l'emulazione in background, senza impedire all'utente di ottenere il file originale, indipendentemente dal verdetto;
- Off — consente il download di qualsiasi file senza che venga effettuata l'emulazione o la pulizia dei componenti potenzialmente dannosi.
C'è anche la possibilità di scegliere un'azione per i file che non sono supportati dagli strumenti di emulazione e pulizia di Check Point: è possibile consentire o vietare il download di tutti i file non supportati.
Nella politica standard per il Download Protection è impostata l'azione Prevent con la possibilità di ottenere una copia del documento originale ripulito da contenuti potenzialmente dannosi, e consente il download di file che non sono supportati dagli strumenti di emulazione e pulizia.
Credential Protection
Il componente Credential Protection protegge le credenziali degli utenti e comprende 2 elementi: Zero Phishing e Password Protection. Zero Phishing protegge gli utenti dall'accesso a risorse di phishing, e Password Protection avvisa l'utente dell'impossibilità di utilizzare i dati aziendali al di fuori del dominio protetto. Zero Phishing può essere impostato su Prevent, Detect o Off. Con l'azione Prevent, è possibile consentire agli utenti di ignorare l'avviso su una potenziale risorsa di phishing e accedere alla risorsa, oppure vietare questa possibilità e bloccare sempre l'accesso. Con l'azione Detect, gli utenti hanno sempre la possibilità di ignorare l'avviso e accedere alla risorsa. La Password Protection consente di selezionare i domini protetti per i quali verrà effettuato il controllo delle password e una delle tre azioni: Detect & Alert (che avvisa l'utente), Detect o Off.
La politica standard per il Credential Protection prevede il Prevent per tutte le risorse di phishing, impedendo agli utenti di accedere a potenziali siti dannosi. È inclusa anche la protezione contro l'uso delle password aziendali, ma senza i domini indicati, questa funzione non funzionerà.
Protezione dei file
La Protezione dei file è responsabile della protezione dei file memorizzati sulla macchina dell'utente e comprende due componenti: Anti-Malware e Files Threat Emulation. Anti-Malware è uno strumento che esegue regolarmente la scansione di tutti i file utente e di sistema utilizzando un'analisi basata su firme. Nelle impostazioni di questo componente è possibile configurare i parametri della scansione regolare o di un momento casuale della scansione, il periodo di aggiornamento delle firme, nonché la possibilità per gli utenti di annullare la scansione pianificata. Emulazione dei rischi dei file permette di emulare i file memorizzati sulla macchina dell'utente nella sandbox cloud di Check Point, ma questa funzione di sicurezza funziona solo in modalità Detect.
Nella politica standard per la Protezione dei file è inclusa la protezione tramite Anti-Malware e la rilevazione di file dannosi tramite l'Emulazione dei rischi dei file. La scansione regolare avviene ogni mese e le firme sulla macchina dell'utente vengono aggiornate ogni 4 ore. È prevista la possibilità per gli utenti di annullare la scansione pianificata, ma non oltre 30 giorni dalla data dell'ultima scansione riuscita.
Protezione comportamentale
Anti-Bot, Behavioral Guard & Anti-Ransomware, Anti-Exploit
Il gruppo di componenti di protezione Behavioral Protection comprende tre elementi: Anti-Bot, Behavioral Guard & Anti-Ransomware e Anti-Exploit. Anti-Bot permette di monitorare e bloccare le connessioni C&C utilizzando un database Check Point ThreatCloud costantemente aggiornato. Behavioral Guard & Anti-Ransomware monitora continuamente l'attività (file, processi, interazioni di rete) sul computer dell'utente e consente di prevenire gli attacchi di ransomware nelle fasi iniziali. Inoltre, questo elemento di protezione consente di recuperare i file che sono stati crittografati dal malware. I file vengono ripristinati nelle loro directory originali, oppure è possibile specificare un percorso specifico per la conservazione di tutti i file ripristinati. Anti-Exploit permette di rilevare attacchi zero-day. Per tutti i componenti di Behavioral Protection sono supportati tre modalità operative: Prevent, Detect e Off.
La politica standard per Behavioral Protection prevede Prevent per i componenti Anti-Bot e Behavioral Guard & Anti-Ransomware, con il recupero dei file crittografati nelle loro directory originali. Il componente Anti-Exploit è disattivato e non viene utilizzato.
Analysis & Remediation
Automated Attack Analysis (Forensics), Remediation & Response
Per l'analisi e le indagini sugli incidenti di sicurezza sono disponibili due componenti di sicurezza: Automated Attack Analysis (Forensics) e Remediation & Response. Automated Attack Analysis (Forensics) permette di generare report sui risultati della difesa contro gli attacchi, con una descrizione dettagliata — fino all'analisi del processo di esecuzione del malware sul computer dell'utente. È anche possibile utilizzare la funzione di Threat Hunting, che consente di eseguire una ricerca proattiva di anomalie e comportamenti potenzialmente dannosi utilizzando filtri preimpostati o creati. Remediation & Response permette di configurare le impostazioni di recupero e quarantena dei file dopo un attacco: regola l'interazione degli utenti con i file in quarantena e consente anche di conservare i file in quarantena in una directory specificata dall'amministratore.
Nella politica standard di Analysis & Remediation è inclusa la protezione, che comprende azioni automatiche per il recupero (terminazione dei processi, recupero dei file, ecc.), ed è attiva l'opzione di invio dei file in quarantena, con gli utenti che possono solo eliminare i file dalla quarantena.
Politica standard di Threat Prevention: test
Check Point CheckMe Endpoint
Il modo più veloce e semplice per verificare la sicurezza della macchina dell'utente contro i tipi di attacco più comuni è eseguire un test utilizzando il servizio , che esegue una serie di attacchi standard di varie categorie e permette di ottenere un rapporto sui risultati del test. In questo caso è stata utilizzata la modalità di test Endpoint, in cui un file eseguibile viene scaricato e avviato sul computer, e poi inizia il processo di verifica.
Durante il controllo della sicurezza del computer di lavoro, SandBlast Agent segnala attacchi identificati e respinti sul computer dell'utente, ad esempio: il blade Anti-Bot segnala il rilevamento di un'infezione, il blade Anti-Malware ha scoperto e rimosso il file dannoso CP_AM.exe, e il blade Threat Emulation ha stabilito, a seguito dell'emulazione, che il file CP_ZD.exe è dannoso.
Dopo aver eseguito il test utilizzando CheckMe Endpoint, abbiamo il seguente risultato: su 6 categorie di attacchi, la politica standard di Threat Prevention non ha gestito solo una categoria: Browser Exploit. Questo è dovuto al fatto che la politica standard di Threat Prevention non include il blade Anti-Exploit. Vale la pena notare che senza SandBlast Agent installato, il computer dell'utente ha superato il controllo solo per la categoria Ransomware.
KnowBe4 RanSim
Per testare il funzionamento del blade Anti-Ransomware, è possibile utilizzare una soluzione gratuita , che esegue vari test sulla macchina dell'utente: 18 scenari di infezione da ransomware e 1 scenario di infezione da cryptominer. È importante notare che la presenza di molti blade (Threat Emulation, Anti-Malware, Behavioral Guard) con azione Prevent nella politica standard non consente di eseguire correttamente questo test. Tuttavia, anche con un livello di sicurezza ridotto (Threat Emulation in modalità Off), il test del blade Anti-Ransomware mostra risultati elevati: 18 su 19 test superati con successo (1 non è stato avviato).
File e documenti dannosi
Un test significativo è la verifica del funzionamento di diversi blade della politica standard di Threat Prevention utilizzando file dannosi di formati popolari, scaricati su macchine degli utenti. In questo test sono stati coinvolti 66 file di formati PDF, DOC, DOCX, EXE, XLS, XLSX, CAB, RTF. I risultati del test hanno dimostrato che SandBlast Agent è riuscito a bloccare 64 file dannosi su 66. I file infetti sono stati rimossi dopo il download o sono stati ripuliti dal contenuto maligno tramite Threat Extraction e ricevuti dall'utente.
Raccomandazioni per migliorare la politica di Threat Prevention
1. URL Filtering
La prima cosa da correggere nella politica standard per migliorare la sicurezza della macchina client è passare il blade URL Filtering in Prevent e specificare le categorie appropriate da bloccare. Nel nostro caso, sono state selezionate tutte le categorie tranne General Use, poiché queste includono la maggior parte delle risorse a cui è necessario limitare l'accesso agli utenti sul luogo di lavoro. Inoltre, per tali siti è consigliabile rimuovere la possibilità per gli utenti di chiudere la finestra di avviso, deselezionando l'opzione "Allow user to dismiss the URL Filtering alert and access the website".
2. Download Protection
Il secondo parametro da considerare è la possibilità per gli utenti di scaricare file non supportati dall'emulazione Check Point. Poiché in questa sezione esaminiamo il miglioramento della politica standard di Threat Prevention dal punto di vista della sicurezza, la soluzione migliore sarebbe vietare il download di file non supportati.
3. Files Protection
È necessario anche prestare attenzione alle impostazioni per la protezione dei file, in particolare ai parametri di scansione periodica e alla possibilità per l'utente di posticipare una scansione forzata. In questo caso, è necessario tenere conto delle tempistiche di lavoro dell'utente, e una buona soluzione dal punto di vista della sicurezza e delle prestazioni è impostare l'esecuzione della scansione forzata ogni giorno, con l'orario scelto casualmente (tra le 00:00 e le 8:00), e l'utente può posticipare la scansione al massimo di una settimana.
4. Anti-Exploit
Un notevole svantaggio della politica standard di Threat Prevention è il blade Anti-Exploit disattivato. Si consiglia di attivare questo blade con l'azione Prevent per proteggere la workstation da attacchi che utilizzano exploit. Con questa correzione, il test successivo di CheckMe si conclude con successo senza rilevare vulnerabilità sulla macchina dell'utente.
Conclusione
Riepilogando: in questo articolo abbiamo esaminato i componenti della politica standard di Threat Prevention, testato questa politica utilizzando diversi metodi e strumenti, e descritto raccomandazioni per migliorare le impostazioni della politica standard al fine di aumentare il livello di sicurezza della macchina dell'utente. Nel prossimo articolo del ciclo passeremo allo studio della politica di Data Protection e esamineremo le impostazioni di Global Policy Settings.
. Per non perdere i prossimi articoli sulla SandBlast Agent Management Platform - segui gli aggiornamenti sui nostri social network (, , , , ).
Fonte: habr.com
