Benvenuti al quinto articolo del ciclo sulla piattaforma di gestione Check Point SandBlast Agent. È possibile consultare gli articoli precedenti seguendo il link corrispondente: , , , . Oggi esamineremo le funzionalità di monitoraggio nella Management Platform, in particolare il lavoro con i log, i dashboard interattivi (View) e i report. Tratteremo anche il tema del Threat Hunting per identificare minacce attuali e anomalie sui dispositivi degli utenti.
Logs
La principale fonte di informazioni per il monitoraggio degli eventi di sicurezza è la sezione Logs, che visualizza dettagli completi su ciascun incidente e consente di utilizzare filtri utili per affinare i criteri di ricerca. Ad esempio, facendo clic con il tasto destro su un parametro (Blade, Action, Severity, ecc.) di un log di interesse, è possibile filtrare questo parametro come Filter: «Parameter» o Filter Out: «Parameter». Inoltre, per il parametro Source è disponibile l'opzione IP Tools, che consente di avviare un ping su questo indirizzo IP/nome o di eseguire un nslookup per ottenere l'indirizzo IP della sorgente dal nome.
Nella sezione Logs, per filtrare gli eventi, c'è una sottosezione Statistics che mostra le statistiche su tutti i parametri: un grafico temporale con il numero di log, oltre ai valori percentuali di ciascun parametro. Da questa sottosezione è possibile filtrare facilmente i log senza dover utilizzare la barra di ricerca e scrivere espressioni di filtro — basta selezionare i parametri desiderati e la nuova lista di log verrà immediatamente visualizzata.
Ulteriori informazioni su ciascun log sono disponibili nel pannello destro della sezione Logs, ma un modo più conveniente è aprire il log con un doppio clic per analizzarne il contenuto. Di seguito è riportato un esempio di log (l'immagine è cliccabile), in cui è mostrata una dettagliata informazione sull'azione Prevent del blade Threat Emulation su un file infetto ".docx". Il log ha diverse sottosezioni che visualizzano i dettagli dell'evento di sicurezza: politiche e difese attivate, dettagli forensi, informazioni sul cliente e sul traffico. Particolare attenzione meritano i report disponibili dal log — Threat Emulation Report e Forensics Report. Questi report possono essere aperti anche dal client SandBlast Agent.
Threat Emulation Report
Utilizzando il blade Threat Emulation, dopo l'emulazione nel cloud di Check Point appare nel registro corrispondente un link al rapporto dettagliato sui risultati dell'emulazione — Threat Emulation Report. Il contenuto di questo rapporto è descritto in dettaglio nel nostro articolo su . È importante notare che questo rapporto è interattivo e consente di approfondire i dettagli di ciascuna sezione. È anche possibile visualizzare la registrazione del processo di emulazione nella macchina virtuale, scaricare il file maligno originale o ottenere il suo hash, così come contattare il Check Point Incident Response Team.
Forensics Report
Praticamente per ogni evento di sicurezza viene generato un rapporto Forensics Report, che include informazioni dettagliate sul file malevolo: le sue caratteristiche, le azioni, il punto di ingresso nel sistema e l'impatto sui beni aziendali critici. La struttura del rapporto è stata esaminata in dettaglio nel nostro articolo su . Questo rapporto è una fonte importante di informazioni durante l'indagine su eventi di sicurezza e, se necessario, è possibile inviare immediatamente il contenuto del rapporto al Check Point Incident Response Team.
SmartView
Check Point SmartView è uno strumento facile da usare per costruire e visualizzare dashboard dinamici (View) e rapporti in formato PDF. Con SmartView è anche possibile visualizzare registri utente ed eventi di audit per gli amministratori. Nella figura seguente sono riportati i rapporti e le dashboard più utili per lavorare con SandBlast Agent.
I rapporti in SmartView sono documenti con informazioni statistiche sugli eventi in un determinato periodo di tempo. È supportata l'esportazione dei rapporti in formato PDF sul computer dove è aperto SmartView, così come esportazioni regolari in PDF/Excel via email all'amministratore. Inoltre, è possibile importare/esportare modelli di rapporti, creare rapporti personalizzati e nascondere i nomi degli utenti nei rapporti. Nella figura seguente è riportato un esempio di rapporto integrato sulla prevenzione delle minacce.
I dashboard (View) in SmartView consentono all'amministratore di accedere ai log per ogni evento corrispondente: basta fare doppio clic sull'oggetto di interesse, sia esso una colonna del grafico o il nome di un file malevolo. Come nel caso dei report, è possibile creare dashboard personalizzati e nascondere i dati degli utenti. Per le dashboard è anche supportato l'import/export di modelli, l'esportazione regolare in PDF/Excel all'indirizzo email dell'amministratore e l'aggiornamento automatico dei dati per il monitoraggio degli eventi di sicurezza in tempo reale.
Sezioni aggiuntive di monitoraggio
La descrizione degli strumenti di monitoraggio nella Management Platform sarebbe incompleta senza menzionare le sezioni Overview, Computer Management, Endpoint Settings e Push Operations. Queste sezioni sono state descritte in dettaglio nel , tuttavia, sarà utile considerare le loro capacità per la risoluzione delle attività di monitoraggio. Iniziamo con l'Overview, composto da due sottosezioni — Operational Overview e Security Overview, che fungevano da dashboard con informazioni sullo stato dei dispositivi utente protetti e sugli eventi di sicurezza. Come per qualsiasi altra dashboard, le sottosezioni Operational Overview e Security Overview consentono, con un doppio clic sul parametro di interesse, di accedere alla sezione Computer Management con un filtro selezionato (ad esempio, «Desktops» o «Pre-Boot Status: Enabled»), oppure alla sezione Logs per un evento specifico. La sottosezione Security Overview rappresenta un dashboard «Cyber Attack View – Endpoint», che può essere personalizzata e impostata per l'aggiornamento automatico dei dati.
Dalla sezione Computer Management è possibile monitorare lo stato dell'agente sui dispositivi utente, lo stato dell'aggiornamento del database Anti-Malware, le fasi di crittografia del disco e molto altro. Tutti i dati vengono aggiornati automaticamente e per ciascuno dei filtri viene visualizzata la percentuale di dispositivi utente appropriati. È anche supportato l'esportazione dei dati sui computer in formato CSV.
Un aspetto fondamentale del monitoraggio della sicurezza delle postazioni di lavoro è la configurazione delle notifiche per eventi critici (Alerts) e l'esportazione dei log (Export Events) per la conservazione su un server di log aziendale. Entrambe le impostazioni si effettuano nella sezione Endpoint Settings, e per Alerts c'è la possibilità di collegare un server di posta per inviare notifiche di eventi all'amministratore e configurare i valori soglia per l'attivazione/disattivazione delle notifiche a seconda della percentuale/quantità di dispositivi che soddisfano i criteri dell'evento. Export Events permette di configurare l'invio dei log dalla Management Platform al server di log dell'azienda per ulteriori elaborazioni. Sono supportati i formati SYSLOG, CEF, LEEF, SPLUNK, i protocolli TCP/UDP, qualsiasi sistema SIEM con un agente syslog funzionante, l'uso della crittografia TLS/SSL e l'autenticazione del cliente syslog.
Per un'analisi approfondita degli eventi sull'agente o in caso di contatto con il supporto tecnico, è possibile raccogliere rapidamente i log dal client SandBlast Agent tramite un'operazione forzata nella sezione Operazioni Push. Si può configurare l'invio dell'archivio creato contenente i log ai server Check Point o ai server aziendali. Inoltre, l'archivio dei log è salvato sulla macchina dell'utente nella directory C:UsersusernameCPInfo. È supportato l'avvio del processo di raccolta log a un orario specificato e la possibilità di posticipare l'operazione da parte dell'utente.
Threat Hunting
Il metodo di Threat Hunting è utilizzato per la ricerca proattiva di attività dannose e comportamenti anomali nel sistema, per un'ulteriore indagine su potenziali eventi di sicurezza. La sezione Threat Hunting nella Management Platform permette di cercare eventi con parametri specificati nei dati della macchina dell'utente.
Lo strumento di Threat Hunting ha diverse query preimpostate, ad esempio: per classificare domini o file malevoli, monitorare richieste rare a determinati indirizzi IP (rispetto alle statistiche generali). La struttura della query è composta da tre parametri: indicatore (protocollo di rete, identificatore del processo, tipo di file, ecc.), operatore («è», «non è», «include», «uno dei» ecc.) e corpo della richiesta. Nel corpo della richiesta è possibile utilizzare espressioni regolari e supporta l'uso simultaneo di più filtri nella stringa di ricerca.
Dopo aver selezionato il filtro e completato l'elaborazione della richiesta, si ha accesso a tutti gli eventi pertinenti, con la possibilità di visualizzare informazioni dettagliate sull'evento, mettere l'oggetto della richiesta in quarantena o generare un rapporto dettagliato chiamato Forensics Report con la descrizione dell'evento. Attualmente, questo strumento è in versione beta e in futuro si prevede di ampliare l'insieme di funzionalità, ad esempio, aggiungendo informazioni sull'evento in forma di matrice Mitre Att&ack.
Conclusione
In sintesi: in questo articolo abbiamo esaminato le possibilità di monitoraggio degli eventi di sicurezza nella SandBlast Agent Management Platform, esplorando un nuovo strumento per la ricerca proattiva di attività dannose e anomalie sui computer degli utenti — il Threat Hunting. Il prossimo articolo sarà l'ultimo di questo ciclo e affronteremo le domande più frequenti relative alla Management Platform, illustrando anche le possibilità di testare questo prodotto.
. Per non perdere i prossimi aggiornamenti sulla SandBlast Agent Management Platform, segui gli aggiornamenti sui nostri social media (, , , , ).
Fonte: habr.com
