Benvenuti al terzo articolo del ciclo sulla nuova console cloud per la gestione della protezione dei computer — Piattaforma di gestione Check Point SandBlast Agent. Ricordo che in abbiamo introdotto il portale Infinity Portal e creato il servizio cloud di gestione degli agenti Endpoint Management Service. Nel abbiamo esaminato l'interfaccia della web console di gestione e installato l'agente con la politica standard su una macchina dell'utente. Oggi analizzeremo il contenuto della politica di sicurezza standard Threat Prevention e testeremo la sua efficacia contro attacchi popolari.
Politica standard di prevenzione delle minacce: descrizione
Nell'immagine sopra è rappresentata la regola standard della politica di prevenzione delle minacce, che per impostazione predefinita si applica a tutta l'organizzazione (a tutti gli agenti installati) e include tre gruppi logici di componenti di protezione: Protezione Web e File, Protezione Comportamentale e Analisi e Rimedio. Esaminiamo più da vicino ciascun gruppo.
Protezione Web e File
Filtraggio URL
Il filtraggio URL consente di controllare l'accesso degli utenti alle risorse web, utilizzando 5 categorie predefinite di siti. Ognuna delle 5 categorie contiene diverse sottocategorie più specifiche, permettendo, ad esempio, di bloccare l'accesso alla sottocategoria Giochi e di permettere l'accesso alla sottocategoria Messaggistica Istantanea, che appartengono alla stessa categoria di Perdita di Produttività. Gli indirizzi URL associati a specifiche sottocategorie sono determinati dalla società Check Point. È possibile verificare la categoria a cui appartiene un URL specifico o richiederne la ridefinizione su una risorsa dedicata. .
Come azione, puoi impostare Prevent, Detect o Off. Inoltre, selezionando l'azione Detect viene automaticamente aggiunta un'impostazione che consente agli utenti di ignorare l'avviso di URL Filtering e di accedere alla risorsa desiderata. Nel caso dell’azione Prevent, questa impostazione può essere disattivata e l'utente non potrà accedere al sito vietato. Un modo comodo per controllare le risorse proibite è rappresentato dall'impostazione Block List, in cui è possibile specificare domini, indirizzi IP o caricare un file di formato .csv con l'elenco dei domini da bloccare.
Nella politica standard per l'URL Filtering è impostata l'azione Detect e selezionata una categoria — Security, per la quale verranno rilevati eventi. Questa categoria include vari anonimizzatori, siti con livelli di rischio Critical/High/Medium, siti di phishing, spam e molto altro. Gli utenti potranno comunque accedere alla risorsa grazie all'impostazione "Allow user to dismiss the URL Filtering alert and access the website".
Download (web) Protection
L'emulazione e l'estrazione consentono di emulare i file caricati nella sandbox cloud di Check Point e di effettuare la pulizia dei documenti 'al volo', rimuovendo contenuti potenzialmente dannosi o convertendo il documento in PDF. Ci sono tre modalità operative:
- Prevent — consente di ottenere una copia del documento ripulito prima del verdetto finale dell'emulazione, oppure di attendere il completamento dell'emulazione e scaricare direttamente il file originale;
- Detect — emula in background, senza ostacolare l'utente nel ricevere il file originale, indipendentemente dal verdetto;
- Off — consente di caricare qualsiasi file senza passare per l'emulazione e la pulizia dei componenti potenzialmente dannosi.
C'è anche la possibilità di scegliere l'azione per i file non supportati dagli strumenti di emulazione e pulizia di Check Point — è possibile consentire o vietare il download di tutti i file non supportati.
Nella politica standard per il Download Protection è attivata l'azione Prevent, che consente di ricevere una copia originale del documento ripulita da contenuti potenzialmente dannosi, oltre a consentire il download di file non supportati dagli strumenti di emulazione e pulizia.
Credential Protection
Il componente Credential Protection protegge le credenziali degli utenti e comprende 2 elementi: Zero Phishing e Password Protection. Zero Phishing proteggere gli utenti dall'accesso a risorse di phishing, e Password Protection informa l'utente sull'impossibilità di utilizzare le credenziali aziendali al di fuori del dominio protetto. Zero Phishing può essere configurato su Prevent, Detect o Off. Con l'azione impostata su Prevent, è possibile permettere agli utenti di ignorare l'avviso su una potenziale risorsa di phishing e accedere alla risorsa, oppure vietare questa possibilità e bloccare sempre l'accesso. Con l'azione Detect, gli utenti hanno sempre la possibilità di ignorare l'avviso e accedere alla risorsa. La Password Protection consente di selezionare i domini protetti per i quali verrà eseguita la verifica delle password e una delle tre azioni: Detect & Alert (notifica all'utente), Detect o Off.
La politica standard per il Credential Protection prevede Prevent per qualsiasi risorsa di phishing, senza possibilità per gli utenti di accedere a siti potenzialmente dannosi. È inoltre inclusa la protezione dall'uso delle password aziendali, ma senza i domini specificati, questa funzione non funzionerà.
Files Protection
Files Protection si occupa della protezione dei file memorizzati sulla macchina dell'utente e comprende due componenti: Anti-Malware e Files Threat Emulation. Anti-Malware è uno strumento che esegue regolarmente la scansione di tutti i file degli utenti e di sistema utilizzando un'analisi per firma. Nelle impostazioni di questo componente è possibile configurare i parametri di scansione regolare o casuale, il periodo di aggiornamento delle firme, nonché la possibilità per gli utenti di annullare la scansione programmata. Files Threat Emulation permette di effettuare un'emulazione dei file memorizzati sulla macchina dell'utente nella sandbox cloud di Check Point, tuttavia questa funzione di sicurezza funziona solo in modalità Detect.
Nella politica standard per la Protezione dei File è inclusa la protezione tramite Anti-Malware e il rilevamento di file dannosi tramite Files Threat Emulation. La scansione regolare viene effettuata ogni mese, mentre le firme sulla macchina dell'utente vengono aggiornate ogni 4 ore. Gli utenti possono annullare la scansione programmata, ma non oltre 30 giorni dalla data dell'ultima scansione riuscita.
Protezione Comportamentale
Anti-Bot, Behavioral Guard & Anti-Ransomware, Anti-Exploit
Il gruppo di componenti per la Protezione Comportamentale include tre elementi: Anti-Bot, Behavioral Guard & Anti-Ransomware e Anti-Exploit. Anti-Bot permette di monitorare e bloccare le connessioni C&C tramite un database Check Point ThreatCloud costantemente aggiornato. Behavioral Guard & Anti-Ransomware monitora costantemente le attività (file, processi, interazioni di rete) sulla macchina dell'utente e consente di prevenire attacchi ransomware nelle fasi iniziali. Inoltre, questa protezione consente di recuperare i file che sono stati crittografati dal malware. I file vengono ripristinati nelle loro directory originali, oppure è possibile specificare un percorso dove verranno archiviati tutti i file recuperati. Anti-Exploit permette di rilevare attacchi zero-day. Per tutti i componenti della Protezione Comportamentale sono supportati tre modalità operative: Prevent, Detect e Off.
La politica standard per la Protezione Comportamentale prevede Prevent per i componenti Anti-Bot, Behavioral Guard & Anti-Ransomware, con recupero dei file crittografati nelle loro directory originali. Il componente Anti-Exploit è disabilitato e non utilizzato.
Analisi & Ripristino
Analisi degli Attacchi Automatizzati (Forense), Ripristino & Risposta
Sono disponibili due componenti di sicurezza per l'analisi e l'indagine sugli incidenti di sicurezza: Analisi degli Attacchi Automatizzati (Forense) e Ripristino & Risposta. Analisi degli Attacchi Automatizzati (Forense) permette di generare report sui risultati delle attacchi, fornendo una descrizione dettagliata - fino all'analisi del processo di esecuzione del malware sul computer dell'utente. È anche possibile utilizzare la funzione Threat Hunting, che consente di effettuare ricerche proactive di anomalie e comportamenti potenzialmente dannosi tramite filtri preimpostati o creati dall'utente. Remediation & Response consente di configurare le opzioni di ripristino e quarantena dei file dopo un attacco: regola l'interazione degli utenti con i file in quarantena, con la possibilità di conservare i file in quarantena nella directory specificata dall'amministratore.
Nella politica standard di Analysis & Remediation è inclusa la protezione, che comprende azioni automatiche per il ripristino (terminazione dei processi, recupero dei file, ecc.), e è attiva l'opzione di inviare i file in quarantena, con gli utenti che possono solo eliminare i file dalla quarantena.
Politica standard di Threat Prevention: testing
Check Point CheckMe Endpoint
Il modo più veloce e semplice per controllare la sicurezza del computer dell'utente contro i tipi di attacco più comuni è eseguire un test tramite il servizio , che effettua una serie di attacchi tipici di diverse categorie e consente di ottenere un rapporto sui risultati del test. In questo caso, è stata utilizzata la modalità di test Endpoint, in cui viene scaricato e avviato un file eseguibile sul computer, e poi inizia il processo di verifica.
Durante il controllo della sicurezza del computer di lavoro, SandBlast Agent segnala attacchi identificati e respinti sul computer dell'utente, ad esempio: il blade Anti-Bot informa del rilevamento di un'infezione, il blade Anti-Malware ha trovato e rimosso il file malevolo CP_AM.exe, e il blade Threat Emulation, a seguito di un'emulazione, ha stabilito che il file CP_ZD.exe è dannoso.
Dai risultati dei test effettuati con CheckMe Endpoint, abbiamo il seguente risultato: tra 6 categorie di attacchi, la politica standard di Prevenzione delle Minacce non ha gestito solo una categoria — Browser Exploit. Questo è spiegato dal fatto che la politica standard di Prevenzione delle Minacce non include il blade Anti-Exploit. Vale la pena notare che senza l'installazione di SandBlast Agent, il computer dell'utente ha superato il controllo solo nella categoria Ransomware.
KnowBe4 RanSim
Per testare il funzionamento del blade Anti-Ransomware, si può utilizzare una soluzione gratuita , che esegue una serie di test sulla macchina dell'utente: 18 scenari di infezione da ransomware e 1 scenario di infezione da cryptominer. Vale la pena notare che la presenza di molti blades nella politica standard (Threat Emulation, Anti-Malware, Behavioral Guard) con azione Prevent non consente di eseguire correttamente questo test. Tuttavia, anche con un livello di sicurezza ridotto (Threat Emulation in modalità Off), il test del blade Anti-Ransomware mostra risultati elevati: 18 su 19 test superati con successo (1 non si è avviato).
File e documenti dannosi
Un test significativo è la verifica dell'efficacia dei diversi blade della politica standard di Threat Prevention utilizzando file pericolosi di formati popolari, scaricati su un computer utente. In questo test sono stati coinvolti 66 file nei formati PDF, DOC, DOCX, EXE, XLS, XLSX, CAB, RTF. I risultati del test hanno mostrato che SandBlast Agent è riuscito a bloccare 64 file pericolosi su 66. I file infetti sono stati eliminati dopo il download o ripuliti dai contenuti malevoli tramite Threat Extraction e resi disponibili all'utente.
Raccomandazioni per migliorare la politica di Threat Prevention
1. URL Filtering
La prima cosa da correggere nella politica standard per aumentare il livello di protezione del computer del cliente è impostare il blade URL Filtering su Prevent e specificare le categorie appropriate da bloccare. Nel nostro caso sono state scelte tutte le categorie ad eccezione di General Use, poiché includono la maggior parte delle risorse a cui è necessario limitare l'accesso agli utenti sul posto di lavoro. Inoltre, per questi siti è consigliabile rimuovere l'opzione che consente agli utenti di ignorare l'avviso, deselezionando l'opzione «Allow user to dismiss the URL Filtering alert and access the website».
2. Download Protection
Il secondo aspetto da considerare è la possibilità per gli utenti di scaricare file non supportati dall'emulazione Check Point. Poiché in questa sezione esaminiamo i miglioramenti alla politica standard di Threat Prevention dal punto di vista della sicurezza, la soluzione migliore è vietare il caricamento di file non supportati.
3. Protezione dei file
È anche importante prestare attenzione alle impostazioni per la protezione dei file, in particolare alle opzioni di scansione periodica e alla possibilità per l'utente di posticipare una scansione forzata. In questo caso, bisogna considerare i tempi di lavoro dell'utente, e una buona soluzione dal punto di vista della sicurezza e delle prestazioni è programmare la scansione forzata ogni giorno, con un orario scelto casualmente (tra le 00:00 e le 08:00), e l'utente può posticipare la scansione al massimo di una settimana.
4. Anti-Exploit
Un importante svantaggio della politica standard di Threat Prevention è il blade Anti-Exploit disattivato. Si consiglia di attivare questo blade con l'azione Prevent per proteggere la workstation dagli attacchi tramite exploit. Con questa correzione, il test CheckMe si conclude con successo senza rilevare vulnerabilità sulla macchina dell'utente.
Conclusione
Riassumendo: in questo articolo abbiamo esplorato i componenti della politica standard di Threat Prevention, testato questa politica utilizzando diversi metodi e strumenti, e fornito raccomandazioni per migliorare le impostazioni della politica standard al fine di aumentare il livello di sicurezza della macchina dell'utente. Nel prossimo articolo della serie ci concentreremo sulla politica di Data Protection e esamineremo le impostazioni Global Policy Settings.
. Per non perdere i prossimi aggiornamenti sulla SandBlast Agent Management Platform, segui gli aggiornamenti sui nostri social media (, , , , ).
Fonte: habr.com
