3. פלטפורמת ניהול סוכנים של צ'ק פוינט SandBlast. מדיניות מניעת איומים

ברוכים הבאים למאמר השלישי בסדרה על קונסולת ניהול הגנת המחשב האישי החדשה מבוססת הענן - Check Point SandBlast Agent Management Platform. תן לי להזכיר לך את זה ב מאמר ראשון הכרנו את פורטל האינפיניטי ויצרנו שירות ניהול סוכנים מבוסס ענן, Endpoint Management Service. ב מאמר שני למדנו את ממשק קונסולת ניהול האינטרנט והתקנו סוכן עם מדיניות סטנדרטית במחשב המשתמש. היום נבחן את התוכן של מדיניות האבטחה הסטנדרטית של מניעת איומים ונבדוק את יעילותה בהתמודדות עם התקפות פופולריות.

מדיניות סטנדרטית למניעת איומים: תיאור

האיור שלמעלה מציג כלל מדיניות סטנדרטי של מניעת איומים, אשר כברירת מחדל חל על הארגון כולו (כל הסוכנים המותקנים) וכולל שלוש קבוצות לוגיות של רכיבי הגנה: הגנה על אינטרנט וקבצים, הגנה על התנהגות וניתוח ותיקון. בואו נסתכל מקרוב על כל אחת מהקבוצות.

הגנה על אינטרנט וקבצים

סינון URL
סינון כתובות אתרים מאפשר לך לשלוט בגישה של משתמשים למשאבי אינטרנט, באמצעות 5 קטגוריות מוגדרות מראש של אתרים. כל אחת מ-5 הקטגוריות מכילה כמה קטגוריות משנה ספציפיות יותר, המאפשרות להגדיר, למשל, חסימת גישה לתת-קטגוריית המשחקים ולאפשר גישה לתת-קטגוריית ההודעות המיידיות, הנכללות באותה קטגוריה של אובדן פרודוקטיביות. כתובות אתרים המשויכות לקטגוריות משנה ספציפיות נקבעות על ידי צ'ק פוינט. אתה יכול לבדוק את הקטגוריה שאליה שייכת כתובת אתר ספציפית או לבקש עקיפה של קטגוריה במשאב מיוחד סיווג כתובות אתרים.
ניתן להגדיר את הפעולה למנע, זיהוי או כבוי. כמו כן, בעת בחירה בפעולת Detect, מתווספת אוטומטית הגדרה המאפשרת למשתמשים לדלג על אזהרת סינון כתובת האתר וללכת למשאב המעניין. אם נעשה שימוש ב-Prevent, ניתן להסיר הגדרה זו והמשתמש לא יוכל לגשת לאתר האסור. דרך נוחה נוספת לשלוט במשאבים אסורים היא להגדיר רשימת חסימות, שבה ניתן לציין דומיינים, כתובות IP, או להעלות קובץ .csv עם רשימה של דומיינים לחסימה.

במדיניות הסטנדרטית לסינון כתובות אתרים, הפעולה מוגדרת ל-Detect ונבחרת קטגוריה אחת - אבטחה, עבורה יתגלו אירועים. קטגוריה זו כוללת אנונימיזרים שונים, אתרים עם רמת סיכון קריטית/גבוהה/בינונית, אתרי פישינג, ספאם ועוד ועוד. עם זאת, משתמשים עדיין יוכלו לגשת למשאב הודות להגדרה "אפשר למשתמש לבטל את התראת סינון כתובת האתר ולגשת לאתר".

הורד (אינטרנט) הגנה
אמולציה וחילוץ מאפשרים לך לחקות קבצים שהורדת בארגז החול של צ'ק פוינט בענן ולנקות מסמכים תוך כדי תנועה, הסרת תוכן זדוני או המרת המסמך ל-PDF. ישנם שלושה מצבי פעולה:

• למנוע - מאפשר לך לקבל עותק של המסמך הנוקה לפני פסק הדין הסופי של האמולציה, או להמתין להשלמת האמולציה ולהוריד את הקובץ המקורי באופן מיידי;

• לְגַלוֹת - מבצע אמולציה ברקע, מבלי למנוע מהמשתמש את קבלת הקובץ המקורי, ללא קשר לפסק הדין;

• כבוי - מותר להוריד כל קבצים מבלי לעבור אמולציה וניקוי של רכיבים שעלולים להיות זדוניים.

כמו כן, ניתן לבחור פעולה עבור קבצים שאינם נתמכים בכלי אמולציה וניקוי של צ'ק פוינט - ניתן לאפשר או לדחות הורדה של כל הקבצים שאינם נתמכים.

המדיניות הסטנדרטית להגנה על הורדות מוגדרת ל-Prevent, מה שמאפשר לך להשיג עותק של המסמך המקורי שנוקה מתוכן שעלול להיות זדוני, כמו גם לאפשר הורדה של קבצים שאינם נתמכים בכלי אמולציה וניקוי.

הגנה על אישורים
רכיב הגנת האישורים מגן על אישורי המשתמש וכולל 2 רכיבים: אפס פישינג והגנה באמצעות סיסמה. Zero Phishing מגן על משתמשים מפני גישה למשאבי דיוג, וכן הגנה באמצעות סיסמא מודיע למשתמש על אי-קבילות השימוש באישורים תאגידיים מחוץ לתחום המוגן. ניתן להגדיר אפס דיוג למנע, זיהוי או כבוי. כאשר הפעולה Prevent מוגדרת, ניתן לאפשר למשתמשים להתעלם מהאזהרה לגבי משאב דיוג פוטנציאלי ולקבל גישה למשאב, או להשבית אפשרות זו ולחסום גישה לנצח. עם פעולת זיהוי, למשתמשים תמיד יש אפשרות להתעלם מהאזהרה ולגשת למשאב. הגנת סיסמה מאפשרת לך לבחור דומיינים מוגנים שעבורם סיסמאות ייבדקו לתאימות, ואחת משלוש פעולות: Detect & Alert (הודעה למשתמש), Detect או Off.

המדיניות הסטנדרטית להגנה על אישורים היא למנוע מכל משאבי התחזות למנוע ממשתמשים גישה לאתר שעלול להיות זדוני. גם הגנה מפני שימוש בסיסמאות ארגוניות מופעלת, אך ללא הדומיינים שצוינו תכונה זו לא תעבוד.

הגנה על קבצים
Files Protection אחראית להגנה על קבצים המאוחסנים במחשב המשתמש וכוללת שני רכיבים: Anti-Malware ו- Files Threat Emulation. Anti-Malware הוא כלי שסורק באופן קבוע את כל קבצי המשתמש והמערכת באמצעות ניתוח חתימות. בהגדרות של רכיב זה, ניתן להגדיר את ההגדרות לזמני סריקה רגילים או אקראיים, תקופת עדכון החתימה ויכולת המשתמשים לבטל סריקה מתוזמנת. הדמיית איומים של קבצים מאפשר לך לחקות קבצים המאוחסנים במחשב של המשתמש בארגז החול בענן של צ'ק פוינט, עם זאת, תכונת אבטחה זו פועלת רק במצב זיהוי.

המדיניות הסטנדרטית להגנה על קבצים כוללת הגנה באמצעות Anti-Malware וזיהוי קבצים זדוניים עם Files Threat Emulation. סריקה שוטפת מתבצעת מדי חודש, והחתימות במחשב המשתמש מתעדכנות כל 4 שעות. במקביל, משתמשים מוגדרים כך שיוכלו לבטל סריקה מתוזמנת, אך לא יאוחר מ-30 יום מתאריך הסריקה האחרונה שהצליחה.

הגנה התנהגותית

אנטי-בוט, Behavioral Guard & Anti-Ransomware, Anti-Exploit
קבוצת רכיבי ההגנה ההתנהגותית כוללת שלושה מרכיבים: אנטי-בוט, שמירה על התנהגות ומניעת כופר ואנטי-ניצול. אנטי בוט מאפשר לך לנטר ולחסום חיבורי C&C באמצעות מסד הנתונים של Check Point ThreatCloud המתעדכן כל הזמן. Behavioral Guard & Anti-Ransomware עוקב כל הזמן אחר פעילות (קבצים, תהליכים, אינטראקציות רשת) במחשב המשתמש ומאפשר לך למנוע התקפות של תוכנות כופר בשלבים הראשונים. בנוסף, אלמנט הגנה זה מאפשר לך לשחזר קבצים שכבר הוצפנו על ידי התוכנה הזדונית. קבצים משוחזרים לספריות המקוריות שלהם, או שאתה יכול לציין נתיב ספציפי שבו יאוחסנו כל הקבצים המשוחזרים. נגד ניצול מאפשר לך לזהות התקפות ביום אפס. כל רכיבי ההגנה על ההתנהגות תומכים בשלושה מצבי פעולה: מניעה, זיהוי וכבוי.

המדיניות הסטנדרטית להגנה על התנהגות מספקת Prevent עבור הרכיבים Anti-Bot ו-Behavioral Guard & Anti-Ransomware, עם שחזור של קבצים מוצפנים בספריות המקוריות שלהם. רכיב Anti-Exploit מושבת ואינו בשימוש.

ניתוח ותיקון

ניתוח תקיפה אוטומטי (פורנזי), תיקון ותגובה
שני מרכיבי אבטחה זמינים לניתוח וחקירה של אירועי אבטחה: ניתוח מתקפות אוטומטי (פורנזי) ותיקון ותגובה. ניתוח תקיפה אוטומטי (פורנזי) מאפשר לך להפיק דוחות על תוצאות הדחת התקפות עם תיאור מפורט - עד לניתוח תהליך ביצוע התוכנה הזדונית במחשב של המשתמש. אפשר גם להשתמש בתכונת Threat Hunting, המאפשרת לחפש באופן יזום חריגות והתנהגות זדונית באמצעות מסננים מוגדרים מראש או שנוצרו. תיקון ותגובה מאפשר לך להגדיר הגדרות לשחזור והסגר של קבצים לאחר התקפה: אינטראקציה של משתמשים עם קבצי הסגר מוסדרת, וניתן גם לאחסן קבצים בהסגר בספרייה שצוינה על ידי המנהל.

המדיניות הסטנדרטית של Analysis & Remediation כוללת הגנה הכוללת פעולות אוטומטיות לשחזור (סיום תהליכים, שחזור קבצים וכו'), והאפשרות לשלוח קבצים להסגר פעילה, ומשתמשים יכולים למחוק קבצים מההסגר בלבד.

מדיניות סטנדרטית למניעת איומים: בדיקות

Check Point CheckMe Endpoint

הדרך המהירה והקלה ביותר לבדוק את האבטחה של המחשב של המשתמש מול סוגי ההתקפות הפופולריים ביותר היא לבצע בדיקה באמצעות המשאב צ'ק פוינט בדוק אותי, המבצעת מספר התקפות אופייניות מקטגוריות שונות ומאפשרת לקבל דיווח על תוצאות הבדיקות. במקרה זה, נעשה שימוש באפשרות בדיקת נקודת קצה, שבה מורידים קובץ הפעלה ומופעל למחשב, ולאחר מכן מתחיל תהליך האימות.

בתהליך בדיקת האבטחה של מחשב עובד, SandBlast Agent מאותת על התקפות מזוהות ומשתקפות על מחשב המשתמש, לדוגמה: הלהב Anti-Bot מדווח על זיהוי של זיהום, הלהב Anti-Malware זיהה ומחק את קובץ זדוני CP_AM.exe, והלהב האמולציית איומים הותקן שקובץ CP_ZD.exe הוא זדוני.

בהתבסס על תוצאות הבדיקה באמצעות CheckMe Endpoint, יש לנו את התוצאה הבאה: מתוך 6 קטגוריות תקיפה, המדיניות הסטנדרטית למניעת איומים לא הצליחה להתמודד עם קטגוריה אחת בלבד - ניצול דפדפן. הסיבה לכך היא שהמדיניות הסטנדרטית למניעת איומים אינה כוללת את הלהב נגד ניצול. ראוי לציין כי ללא SandBlast Agent מותקן, המחשב של המשתמש עבר את הסריקה רק בקטגוריית Ransomware.

KnowBe4 RanSim

כדי לבדוק את פעולת הלהב Anti-Ransomware, אתה יכול להשתמש בפתרון חינמי KnowBe4 RanSim, אשר מריץ סדרה של בדיקות על המחשב של המשתמש: 18 תרחישי הדבקה בתוכנת כופר ותרחיש זיהום קריפטומינר אחד. ראוי לציין שהנוכחות של להבים רבים במדיניות הסטנדרטית (הדמיית איומים, Anti-Malware, Behavioral Guard) עם פעולת Prevent אינה מאפשרת לבדיקה זו לפעול כהלכה. עם זאת, אפילו עם רמת אבטחה מופחתת (הדמיית איומים במצב כבוי), מבחן הלהב נגד תוכנות כופר מציג תוצאות גבוהות: 1 מתוך 18 בדיקות עברו בהצלחה (19 לא הצליח להתחיל).

קבצים ומסמכים זדוניים

זה מעיד לבדוק את פעולתם של להבים שונים של מדיניות מניעת איומים הסטנדרטית באמצעות קבצים זדוניים בפורמטים פופולריים שהורדו למחשב המשתמש. בדיקה זו כללה 66 קבצים בפורמטים PDF, DOC, DOCX, EXE, XLS, XLSX, CAB, RTF. תוצאות הבדיקה הראו כי SandBlast Agent הצליח לחסום 64 קבצים זדוניים מתוך 66. קבצים נגועים נמחקו לאחר הורדה, או נוקו מתוכן זדוני באמצעות Threat Extraction והתקבלו על ידי המשתמש.

המלצות לשיפור מדיניות מניעת איומים

1. סינון כתובות אתרים

הדבר הראשון שצריך לתקן במדיניות הרגילה כדי להגביר את רמת האבטחה של מחשב הלקוח הוא להעביר את להב ה-URL Filtering ל-Prevent ולציין את הקטגוריות המתאימות לחסימה. במקרה שלנו, כל הקטגוריות נבחרו מלבד שימוש כללי, שכן הן כוללות את רוב המשאבים אליהם יש צורך להגביל את הגישה למשתמשים במקום העבודה. כמו כן, עבור אתרים כאלה, מומלץ להסיר את היכולת למשתמשים לדלג על חלון האזהרה על ידי ביטול הסימון של הפרמטר "אפשר למשתמש לבטל את התראת סינון כתובת האתר ולגשת לאתר".

2. הגנת הורדה

האפשרות השנייה שכדאי לשים לב אליה היא היכולת של משתמשים להוריד קבצים שאינם נתמכים על ידי אמולציית צ'ק פוינט. מכיוון שבסעיף זה אנו בוחנים שיפורים למדיניות הסטנדרטית למניעת איומים מנקודת מבט אבטחה, האפשרות הטובה ביותר תהיה לחסום הורדה של קבצים שאינם נתמכים.

3. הגנה על קבצים

כמו כן, יש לשים לב להגדרות להגנה על קבצים - בפרט, להגדרות לסריקה תקופתית ולאפשרות של המשתמש לדחות סריקה כפויה. במקרה זה, יש לקחת בחשבון את מסגרת הזמן של המשתמש, ואפשרות טובה מנקודת מבט של אבטחה וביצועים היא להגדיר סריקה כפויה לפעול כל יום, כאשר הזמן נבחר באופן אקראי (מ-00:00 עד 8: 00), והמשתמש יכול לדחות את הסריקה למשך שבוע לכל היותר.

4. נגד ניצול

חסרון משמעותי של המדיניות הסטנדרטית למניעת איומים הוא שהלהב נגד ניצול מושבת. מומלץ להפעיל את הלהב הזה עם הפעולה Prevent כדי להגן על תחנת העבודה מפני התקפות באמצעות ניצולים. עם תיקון זה, הבדיקה החוזרת של CheckMe מסתיימת בהצלחה מבלי לזהות נקודות תורפה במכונת הייצור של המשתמש.

מסקנה

נסכם: במאמר זה הכרנו את מרכיבי המדיניות הסטנדרטית למניעת איומים, בדקנו מדיניות זו בשיטות וכלים שונים, וכן תיארנו המלצות לשיפור הגדרות המדיניות הסטנדרטית להגברת רמת האבטחה של מחשב המשתמש . במאמר הבא בסדרה, נעבור ללימוד מדיניות הגנת המידע ונבחן את הגדרות המדיניות הגלובלית.

מבחר גדול של חומרים בצ'ק פוינט מבית TS Solution. כדי לא לפספס את הפרסומים הבאים בנושא SandBlast Agent Management Platform, עקבו אחר העדכונים ברשתות החברתיות שלנו (מברק, פייסבוק, VK, בלוג פתרונות TS, יאנדקס זן).

מקור: www.habr.com