{"id":92913,"date":"2020-09-01T13:42:56","date_gmt":"2020-09-01T11:42:56","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/5-check-point-sandblast-agent-management-platform-logs-reports-forensics-threat-hunting"},"modified":"2020-09-01T13:42:56","modified_gmt":"2020-09-01T11:42:56","slug":"5-check-point-sandblast-agent-management-platform-logs-reports-forensics-threat-hunting","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/5-check-point-sandblast-agent-management-platform-logs-reports-forensics-threat-hunting","title":{"rendered":"5. Check Point SandBlast Agent Management Platform. Log, Rapporti & Investigazioni. Ricerca delle minacce","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"5.
\n
\nBenvenuto al quinto articolo del ciclo sulla piattaforma di gestione Check Point SandBlast Agent. \u00c8 possibile consultare gli articoli precedenti seguendo il link corrispondente: il primo<\/a><\/noindex>, seconda<\/a><\/noindex>, terza<\/a><\/noindex>, quarto<\/a><\/noindex>. Oggi esamineremo le capacit\u00e0 di monitoraggio nella piattaforma di gestione, in particolare il lavoro con i log, i dashboard interattivi (View) e i report. Parleremo anche di Threat Hunting per identificare le minacce attuali e gli eventi anomali sulla macchina dell'utente.
\n<\/a><\/noindex><\/p>\n

Log<\/h2>\n

\nLa principale fonte di informazioni per il monitoraggio degli eventi di sicurezza \u00e8 la sezione Logs, che mostra informazioni dettagliate su ciascun incidente e consente di utilizzare comodi filtri per definire i criteri di ricerca. Ad esempio, facendo clic con il tasto destro del mouse su un parametro (Blade, Action, Severity, ecc.) del log di interesse, quel parametro pu\u00f2 essere filtrato come Filtro: \u00abParameter\u00bb<\/i> o Filtra: \u00abParameter\u00bb<\/i>. Per quanto riguarda il parametro Source, pu\u00f2 essere scelta l'opzione IP Tools, in cui \u00e8 possibile eseguire un ping a questo indirizzo IP\/nome o eseguire nslookup per ottenere l'indirizzo IP della fonte in base al nome.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Nella sezione Logs, per filtrare gli eventi, c'\u00e8 una sottosezione Statistics, in cui viene visualizzata la statistica su tutti i parametri: un diagramma temporale con il numero di log e percentuali per ciascuno dei parametri. Da questa sottosezione \u00e8 possibile filtrare i log facilmente senza accedere alla barra di ricerca e scrivere espressioni di filtro: basta selezionare i parametri di interesse e la nuova lista di log verr\u00e0 immediatamente visualizzata.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Maggiore informazioni su ciascun log sono disponibili nel pannello destro della sezione Logs, tuttavia \u00e8 pi\u00f9 comodo aprire il log con un doppio clic per analizzarne il contenuto. Di seguito \u00e8 riportato un esempio di log (l'immagine \u00e8 cliccabile), in cui \u00e8 visualizzata una dettagliata informazione sull'attivazione dell'azione Prevent del blade Threat Emulation su un file infetto \".docx\". Il log ha diverse sotto-sezioni che mostrano i dettagli dell'evento di sicurezza: politiche e protezioni attivate, dettagli forensi, informazioni sul cliente e sul traffico. \u00c8 particolarmente importante prestare attenzione ai report disponibili nel log \u2014 Threat Emulation Report e Forensics Report. Questi report possono essere aperti anche dal client SandBlast Agent.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Threat Emulation Report<\/h3>\n

\n\"5.<\/a><\/noindex><\/p>\n

Utilizzando il blade Threat Emulation, dopo aver eseguito l'emulazione nel cloud di Check Point, nel log corrispondente appare un collegamento a un rapporto dettagliato sui risultati dell'emulazione \u2014 Threat Emulation Report. Il contenuto di tale rapporto \u00e8 descritto in dettaglio nel nostro articolo su analisi dei malware con la forensica Check Point SandBlast Network<\/a><\/noindex>. \u00c8 importante notare che questo rapporto \u00e8 interattivo e consente di \"approfondire\" i dettagli in ciascuna sezione. \u00c8 inoltre possibile visualizzare la registrazione del processo di emulazione in una macchina virtuale, scaricare il file dannoso originale o ottenere il suo hash, oltre a contattare il Check Point Incident Response Team.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Forensics Report<\/h3>\n

\nPraticamente per ogni evento di sicurezza viene generato un rapporto Forensics Report, che include informazioni dettagliate sul file dannoso: le sue caratteristiche, azioni, punto di ingresso nel sistema e impatto su importanti asset aziendali. La struttura del rapporto \u00e8 stata esaminata in dettaglio nel nostro articolo su analisi dei malware con la forensica Check Point SandBlast Agent<\/a><\/noindex>. Un rapporto simile \u00e8 una fonte importante di informazioni durante l'indagine sugli eventi di sicurezza e, se necessario, \u00e8 possibile inviare immediatamente il contenuto del rapporto al Check Point Incident Response Team.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

SmartView<\/h2>\n

\nCheck Point SmartView \u00e8 uno strumento conveniente per la creazione e visualizzazione di dashboard dinamiche (View) e rapporti in formato PDF. Da SmartView \u00e8 anche possibile visualizzare log e eventi di auditing personalizzati per gli amministratori. Nella figura sottostante sono riportati i rapporti e le dashboard pi\u00f9 utili per lavorare con SandBlast Agent.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

I rapporti in SmartView sono documenti contenenti informazioni statistiche sugli eventi in un determinato intervallo di tempo. \u00c8 supportato il download dei rapporti in formato PDF sulla macchina in cui \u00e8 aperto SmartView, cos\u00ec come il download regolare in PDF\/Excel via email all'amministratore. Inoltre, \u00e8 supportato l'import\/export di modelli di rapporti, la creazione di rapporti personalizzati e la possibilit\u00e0 di nascondere i nomi degli utenti nei rapporti. Nella figura sottostante \u00e8 mostrato un esempio di rapporto integrato Threat Prevention.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

I dashboard (Visualizza) in SmartView consentono all'amministratore di accedere ai log relativi a un evento specifico: \u00e8 sufficiente fare doppio clic sull'oggetto di interesse, che si tratti di una colonna di un grafico o del nome di un file malevolo. Come nel caso dei report, \u00e8 possibile creare dashboard personalizzati e nascondere i dati degli utenti. I dashboard supportano anche l'importazione\/esportazione di modelli, il caricamento regolare in PDF\/Excel via email all'amministratore e l'aggiornamento automatico dei dati per il monitoraggio degli eventi di sicurezza in tempo reale.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Sezioni aggiuntive di monitoraggio<\/h2>\n

\nLa descrizione degli strumenti di monitoraggio nella Management Platform sarebbe incompleta senza menzionare le sezioni Overview, Computer Management, Endpoint Settings e Push Operations. Queste sezioni sono state descritte in dettaglio nel seconda articolo<\/a><\/noindex>, tuttavia sar\u00e0 utile esaminare le loro capacit\u00e0 per affrontare le esigenze di monitoraggio. Iniziamo con Overview, che consiste in due sotto-sezioni: Operational Overview e Security Overview, che rappresentano dashboard con informazioni sullo stato delle macchine utente protette e degli eventi di sicurezza. Come nel caso dell'interazione con qualsiasi altro dashboard, le sotto-sezioni Operational Overview e Security Overview permettono, con un doppio clic su un parametro di interesse, di accedere alla sezione Computer Management con il filtro selezionato (ad esempio, \"Desktops\" o \"Pre-Boot Status: Enabled\"), oppure alla sezione Logs per un evento specifico. La sotto-sezione Security Overview \u00e8 un dashboard \"Cyber Attack View \u2013 Endpoint\", che pu\u00f2 essere personalizzato e impostato per l'aggiornamento automatico dei dati.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Dalla sezione Computer Management \u00e8 possibile monitorare lo stato dell'agente sulle macchine utente, lo stato dell'aggiornamento del database Anti-Malware, le fasi di crittografia del disco e molto altro. Tutti i dati vengono aggiornati automaticamente e per ciascun filtro viene visualizzato il valore percentuale delle macchine utente idonee. \u00c8 anche supportata l'esportazione dei dati sui computer in formato CSV.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Un aspetto importante del monitoraggio della sicurezza delle workstation \u00e8 la configurazione delle notifiche per eventi critici (Alerts) e dell'esportazione dei log (Export Events) per la conservazione su un server di log aziendale. Entrambe le configurazioni vengono effettuate nella sezione Endpoint Settings, e per Avvisi<\/i> \u00c8 possibile connettere un server di posta per inviare notifiche sugli eventi all'amministratore e configurare le soglie per l'attivazione\/disattivazione delle notifiche in base alla percentuale\/numero di dispositivi che soddisfano i criteri dell'evento. Esporta Eventi<\/i> Consente di configurare l'inoltro dei log dalla Management Platform a un server di log aziendale per ulteriore elaborazione. Sono supportati i formati SYSLOG, CEF, LEEF, SPLUNK, i protocolli TCP\/UDP, qualsiasi sistema SIEM con un agente syslog funzionante, l'uso della crittografia TLS\/SSL e l'autenticazione del client syslog.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Per un'analisi approfondita degli eventi sull'agente o nel caso di contatti con il supporto tecnico, \u00e8 possibile raccogliere rapidamente i log dal client SandBlast Agent attraverso un'operazione forzata nella sezione Push Operations. \u00c8 possibile configurare l'inoltro dell'archivio creato con i log ai server Check Point o ai server aziendali; inoltre, l'archivio con i log viene salvato sulla macchina dell'utente nella directory C:UsersusernameCPInfo. \u00c8 supportato l'avvio del processo di raccolta dei log a un'ora specificata e la possibilit\u00e0 per l'utente di posticipare l'operazione.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Threat Hunting<\/h2>\n

\nIl metodo Threat Hunting viene utilizzato per la ricerca proattiva di attivit\u00e0 malevole e comportamenti anomali nel sistema per un'ulteriore indagine su potenziali eventi di sicurezza. La sezione Threat Hunting nella Management Platform consente di cercare eventi con parametri specifici nei dati della macchina dell'utente.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Lo strumento Threat Hunting presenta diverse query preimpostate, ad esempio: per la classificazione di domini o file malevoli, monitorare chiamate rare a determinati indirizzi IP (rispetto alla statistica generale). La struttura della query \u00e8 composta da tre parametri: indicatore<\/i> (protocollo di rete, identificatore di processo, tipo di file, ecc.), operatore<\/i> (\"\u00e8\", \"non \u00e8\", \"include\", \"uno di\" ecc.) e corpo della query<\/i>. Nel corpo della query \u00e8 possibile utilizzare espressioni regolari, \u00e8 supportato l'uso di pi\u00f9 filtri contemporaneamente nella stringa di ricerca.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Dopo aver selezionato il filtro e completato l'elaborazione della richiesta, si ha accesso a tutti gli eventi pertinenti, con la possibilit\u00e0 di visualizzare informazioni dettagliate sull'evento, mettere l'oggetto della richiesta in quarantena o generare un rapporto dettagliato Forensics Report con la descrizione dell'evento. Al momento, questo strumento \u00e8 in fase beta e in futuro \u00e8 previsto un ampliamento delle funzionalit\u00e0, ad esempio l'aggiunta di informazioni sugli eventi in formato matrice Mitre Att&ck.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Conclusione<\/h3>\n

\nRiassumiamo: in questo articolo abbiamo esaminato le capacit\u00e0 di monitoraggio degli eventi di sicurezza nella SandBlast Agent Management Platform, esplorato un nuovo strumento per la ricerca proattiva di attivit\u00e0 dannose e anomalie sui computer degli utenti \u2014 Threat Hunting. Il prossimo articolo sar\u00e0 conclusivo di questo ciclo e in esso affronteremo le domande pi\u00f9 frequenti riguardanti la Management Platform e parleremo delle opportunit\u00e0 di test di questo prodotto.<\/p>\n

Una vasta raccolta di materiali su Check Point da TS Solution<\/a><\/noindex>. Per non perdere i prossimi articoli sulla SandBlast Agent Management Platform - segui gli aggiornamenti sui nostri social network (Telegram<\/a><\/noindex>, Facebook<\/a><\/noindex>, VK<\/a><\/noindex>, Blog di TS Solution<\/a><\/noindex>, Yandex.Zen<\/a><\/noindex>).
\n
Fonte: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0414\u043e\u0431\u0440\u043e \u043f\u043e\u0436\u0430\u043b\u043e\u0432\u0430\u0442\u044c \u043d\u0430 \u043f\u044f\u0442\u0443\u044e \u0441\u0442\u0430\u0442\u044c\u044e \u0446\u0438\u043a\u043b\u0430 \u043e \u0440\u0435\u0448\u0435\u043d\u0438\u0438 Check Point SandBlast Agent Management Platform. \u0421 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0438\u043c\u0438 \u0441\u0442\u0430\u0442\u044c\u044f\u043c\u0438 \u043c\u043e\u0436\u043d\u043e \u043e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u0442\u044c\u0441\u044f, \u043f\u0435\u0440\u0435\u0439\u0434\u044f \u043f\u043e \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u0439 \u0441\u0441\u044b\u043b\u043a\u0435: \u043f\u0435\u0440\u0432\u0430\u044f, \u0432\u0442\u043e\u0440\u0430\u044f, \u0442\u0440\u0435\u0442\u044c\u044f, \u0447\u0435\u0442\u0432\u0451\u0440\u0442\u0430\u044f. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0430 \u0432 Management Platform, \u0430 \u0438\u043c\u0435\u043d\u043d\u043e \u0440\u0430\u0431\u043e\u0442\u0443 \u0441 \u043b\u043e\u0433\u0430\u043c\u0438, \u0438\u043d\u0442\u0435\u0440\u0430\u043a\u0442\u0438\u0432\u043d\u044b\u043c\u0438 \u0434\u0430\u0448\u0431\u043e\u0440\u0434\u0430\u043c\u0438 (View) \u0438 \u043e\u0442\u0447\u0451\u0442\u0430\u043c\u0438. \u0422\u0430\u043a\u0436\u0435 \u0437\u0430\u0442\u0440\u043e\u043d\u0435\u043c \u0442\u0435\u043c\u0443 Threat Hunting \u0434\u043b\u044f \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u044f \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0433\u0440\u043e\u0437 \u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":92914,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-92913","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd475. Check Point SandBlast Agent Management Platform. Log, Rapporti & Forensics. Threat Hunting | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/5-check-point-sandblast-agent-management-platform-logs-reports-forensics-threat-hunting","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd475. Check Point SandBlast Agent Management Platform. Logs, Reports & Forensics. Threat Hunting | ProHoster","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/5-check-point-sandblast-agent-management-platform-logs-reports-forensics-threat-hunting","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-01T11:42:56+00:00","article:modified_time":"2020-09-01T11:42:56+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"92913","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:58:25","updated":"2022-09-30 07:34:54","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/92913","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=92913"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/92913\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/92914"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=92913"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=92913"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=92913"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}