Benvenuto al quinto articolo del ciclo sulla piattaforma di gestione Check Point SandBlast Agent. È possibile consultare gli articoli precedenti seguendo il link corrispondente: , , , . Oggi esamineremo le capacità di monitoraggio nella piattaforma di gestione, in particolare il lavoro con i log, i dashboard interattivi (View) e i report. Parleremo anche di Threat Hunting per identificare le minacce attuali e gli eventi anomali sulla macchina dell'utente.
Log
La principale fonte di informazioni per il monitoraggio degli eventi di sicurezza è la sezione Logs, che mostra informazioni dettagliate su ciascun incidente e consente di utilizzare comodi filtri per definire i criteri di ricerca. Ad esempio, facendo clic con il tasto destro del mouse su un parametro (Blade, Action, Severity, ecc.) del log di interesse, quel parametro può essere filtrato come Filtro: «Parameter» o Filtra: «Parameter». Per quanto riguarda il parametro Source, può essere scelta l'opzione IP Tools, in cui è possibile eseguire un ping a questo indirizzo IP/nome o eseguire nslookup per ottenere l'indirizzo IP della fonte in base al nome.
Nella sezione Logs, per filtrare gli eventi, c'è una sottosezione Statistics, in cui viene visualizzata la statistica su tutti i parametri: un diagramma temporale con il numero di log e percentuali per ciascuno dei parametri. Da questa sottosezione è possibile filtrare i log facilmente senza accedere alla barra di ricerca e scrivere espressioni di filtro: basta selezionare i parametri di interesse e la nuova lista di log verrà immediatamente visualizzata.
Le informazioni dettagliate su ciascun log sono disponibili nel pannello destro della sezione Logs, ma è più comodo aprire il log con un doppio clic per analizzare il contenuto. Di seguito è riportato un esempio di log (l'immagine è cliccabile), che mostra informazioni dettagliate sull'attivazione dell'azione Prevent del blade Threat Emulation su un file infetto ".docx". Il log ha diverse sottosezioni che visualizzano i dettagli dell'evento di sicurezza: politiche e protezioni attivate, dettagli forensi, informazioni sul cliente e sul traffico. Meritano particolare attenzione i report disponibili dal log: Threat Emulation Report e Forensics Report. Questi report possono anche essere aperti dal client SandBlast Agent.
Threat Emulation Report
Utilizzando il blade Threat Emulation, dopo aver eseguito l'emulazione nel cloud di Check Point, nel log corrispondente appare un collegamento a un rapporto dettagliato sui risultati dell'emulazione — Threat Emulation Report. Il contenuto di tale rapporto è descritto in dettaglio nel nostro articolo su . È importante notare che questo rapporto è interattivo e consente di "approfondire" i dettagli in ciascuna sezione. È inoltre possibile visualizzare la registrazione del processo di emulazione in una macchina virtuale, scaricare il file dannoso originale o ottenere il suo hash, oltre a contattare il Check Point Incident Response Team.
Forensics Report
Praticamente per ogni evento di sicurezza viene generato un rapporto Forensics Report, che include informazioni dettagliate sul file dannoso: le sue caratteristiche, azioni, punto di ingresso nel sistema e impatto su importanti asset aziendali. La struttura del rapporto è stata esaminata in dettaglio nel nostro articolo su . Un rapporto simile è una fonte importante di informazioni durante l'indagine sugli eventi di sicurezza e, se necessario, è possibile inviare immediatamente il contenuto del rapporto al Check Point Incident Response Team.
SmartView
Check Point SmartView è uno strumento conveniente per la creazione e visualizzazione di dashboard dinamiche (View) e rapporti in formato PDF. Da SmartView è anche possibile visualizzare log e eventi di auditing personalizzati per gli amministratori. Nella figura sottostante sono riportati i rapporti e le dashboard più utili per lavorare con SandBlast Agent.
I rapporti in SmartView sono documenti contenenti informazioni statistiche sugli eventi in un determinato intervallo di tempo. È supportato il download dei rapporti in formato PDF sulla macchina in cui è aperto SmartView, così come il download regolare in PDF/Excel via email all'amministratore. Inoltre, è supportato l'import/export di modelli di rapporti, la creazione di rapporti personalizzati e la possibilità di nascondere i nomi degli utenti nei rapporti. Nella figura sottostante è mostrato un esempio di rapporto integrato Threat Prevention.
I dashboard (Visualizza) in SmartView consentono all'amministratore di accedere ai log relativi a un evento specifico: è sufficiente fare doppio clic sull'oggetto di interesse, che si tratti di una colonna di un grafico o del nome di un file malevolo. Come nel caso dei report, è possibile creare dashboard personalizzati e nascondere i dati degli utenti. I dashboard supportano anche l'importazione/esportazione di modelli, il caricamento regolare in PDF/Excel via email all'amministratore e l'aggiornamento automatico dei dati per il monitoraggio degli eventi di sicurezza in tempo reale.
Sezioni aggiuntive di monitoraggio
La descrizione degli strumenti di monitoraggio nella Management Platform sarebbe incompleta senza menzionare le sezioni Overview, Computer Management, Endpoint Settings e Push Operations. Queste sezioni sono state descritte in dettaglio nel , tuttavia sarà utile esaminare le loro capacità per affrontare le esigenze di monitoraggio. Iniziamo con Overview, che consiste in due sotto-sezioni: Operational Overview e Security Overview, che rappresentano dashboard con informazioni sullo stato delle macchine utente protette e degli eventi di sicurezza. Come nel caso dell'interazione con qualsiasi altro dashboard, le sotto-sezioni Operational Overview e Security Overview permettono, con un doppio clic su un parametro di interesse, di accedere alla sezione Computer Management con il filtro selezionato (ad esempio, "Desktops" o "Pre-Boot Status: Enabled"), oppure alla sezione Logs per un evento specifico. La sotto-sezione Security Overview è un dashboard "Cyber Attack View – Endpoint", che può essere personalizzato e impostato per l'aggiornamento automatico dei dati.
Dalla sezione Computer Management è possibile monitorare lo stato dell'agente sulle macchine utente, lo stato dell'aggiornamento del database Anti-Malware, le fasi di crittografia del disco e molto altro. Tutti i dati vengono aggiornati automaticamente e per ciascun filtro viene visualizzato il valore percentuale delle macchine utente idonee. È anche supportata l'esportazione dei dati sui computer in formato CSV.
Un aspetto importante del monitoraggio della sicurezza delle workstation è la configurazione delle notifiche per eventi critici (Alerts) e dell'esportazione dei log (Export Events) per la conservazione su un server di log aziendale. Entrambe le configurazioni vengono effettuate nella sezione Endpoint Settings, e per Avvisi È possibile connettere un server di posta per inviare notifiche sugli eventi all'amministratore e configurare le soglie per l'attivazione/disattivazione delle notifiche in base alla percentuale/numero di dispositivi che soddisfano i criteri dell'evento. Esporta Eventi Consente di configurare l'inoltro dei log dalla Management Platform a un server di log aziendale per ulteriore elaborazione. Sono supportati i formati SYSLOG, CEF, LEEF, SPLUNK, i protocolli TCP/UDP, qualsiasi sistema SIEM con un agente syslog funzionante, l'uso della crittografia TLS/SSL e l'autenticazione del client syslog.
Per un'analisi approfondita degli eventi sull'agente o nel caso di contatti con il supporto tecnico, è possibile raccogliere rapidamente i log dal client SandBlast Agent attraverso un'operazione forzata nella sezione Push Operations. È possibile configurare l'inoltro dell'archivio creato con i log ai server Check Point o ai server aziendali; inoltre, l'archivio con i log viene salvato sulla macchina dell'utente nella directory C:UsersusernameCPInfo. È supportato l'avvio del processo di raccolta dei log a un'ora specificata e la possibilità per l'utente di posticipare l'operazione.
Threat Hunting
Il metodo Threat Hunting viene utilizzato per la ricerca proattiva di attività malevole e comportamenti anomali nel sistema per un'ulteriore indagine su potenziali eventi di sicurezza. La sezione Threat Hunting nella Management Platform consente di cercare eventi con parametri specifici nei dati della macchina dell'utente.
Lo strumento Threat Hunting presenta diverse query preimpostate, ad esempio: per la classificazione di domini o file malevoli, monitorare chiamate rare a determinati indirizzi IP (rispetto alla statistica generale). La struttura della query è composta da tre parametri: indicatore (protocollo di rete, identificatore di processo, tipo di file, ecc.), operatore ("è", "non è", "include", "uno di" ecc.) e corpo della query. Nel corpo della query è possibile utilizzare espressioni regolari, è supportato l'uso di più filtri contemporaneamente nella stringa di ricerca.
Dopo aver selezionato il filtro e completato l'elaborazione della richiesta, si ha accesso a tutti gli eventi pertinenti, con la possibilità di visualizzare informazioni dettagliate sull'evento, mettere l'oggetto della richiesta in quarantena o generare un rapporto dettagliato Forensics Report con la descrizione dell'evento. Al momento, questo strumento è in fase beta e in futuro è previsto un ampliamento delle funzionalità, ad esempio l'aggiunta di informazioni sugli eventi in formato matrice Mitre Att&ck.
Conclusione
Riassumiamo: in questo articolo abbiamo esaminato le capacità di monitoraggio degli eventi di sicurezza nella SandBlast Agent Management Platform, esplorato un nuovo strumento per la ricerca proattiva di attività dannose e anomalie sui computer degli utenti — Threat Hunting. Il prossimo articolo sarà conclusivo di questo ciclo e in esso affronteremo le domande più frequenti riguardanti la Management Platform e parleremo delle opportunità di test di questo prodotto.
. Per non perdere i prossimi articoli sulla SandBlast Agent Management Platform - segui gli aggiornamenti sui nostri social network (, , , , ).
Fonte: habr.com
