2. Check Point SandBlast エージェント管理プラットフォーム。 Web ベースの管理インターフェイスとエージェントのインストール

私たちは、ユーザー コンピュータの保護ツールを管理するための新しいクラウド プラットフォームである Check Point Management Platform、SandBlast Agent の研究を続けています。 前回の記事で SandBlast Agent の主要コンポーネントについて説明し、Check Point Infinity アーキテクチャについて理解し、Infinity ポータルに SandBlast Agent Management Platform アプリケーションを登録しました。今日は、エージェント管理システムの Web インターフェイスについて詳しく説明します。この記事は、クラウド コンソールのすべての機能と能力についての便利なガイドになります。次の記事の準備として、SandBlast Agent をインストールし、そのインターフェイスについて理解しましょう。

クラウド管理コンソールの構造 管理プラットフォーム

SandBlast Agent Management Platform インターフェイスは、次の 3 つのコンポーネントに分割できます。

• コントロールパネル — インターフェイスの上部にあり、アカウントの管理、Check Point テクニカル サポートへの連絡、管理者プロファイルの設定などの基本的な管理タスクを実行できます。

• ナビゲーションバー — 左側にあり、ポリシー設定セクション、ログの表示など、コントロール パネルの主要コンポーネント間を移動できます。

• ワークスペース — 管理コンソールの大部分を占め、ナビゲーション パネルのセクションを構成し、グラフィック情報 (ログ、レポート) を表示し、グローバル システム パラメーターを構成する機能が含まれています。

SandBlast エージェント管理プラットフォーム システムの各要素を詳しく見てみましょう。ワークスペースについてはナビゲーション バーのすべてのコンポーネントについて詳しく説明しますが、ここではコントロール パネルの機能から始めましょう。

コントロールパネル

コントロール パネルには 6 つのコンポーネントが含まれています。左から右に見てみましょう。 XNUMX つ目は「メニュー」ボタンです。このボタンをクリックすると、現在のポータル サービスが表示され、クラウド プロテクション、ネットワーク プロテクション、およびエンドポイント プロテクション カテゴリから新しいサービスをアカウントに追加できます。次に、現在作業しているアプリケーションの名前が表示されます。この場合は SandBlast Agent Management Platform です。アプリケーション アイコンをクリックすると、いつでもナビゲーション パネルの「概要」セクションにアクセスできます。 XNUMX 番目の要素はアカウント管理アイコンです。これを使用すると、自分が管理者である会社のアカウントをすばやく切り替えることができます。

コントロール パネルの 4 番目のコンポーネントはヘルプ ボタンです。このボタンを使用すると、コンソールから直接 Check Point テクニカル サポートに問い合わせることができます。 сайт Check Point クラウドと Web リソースのステータスを監視したり、SandBlast Agent Management Platform と Infinity Portal の管理者ガイドにアクセスしたりできます。次の要素は Infinity ポータル上のプロファイルです。これをクリックすると、プロファイル設定に「フェイル」するか、現在のプロファイルを終了できます。そして最後に、コントロール パネルの最後の要素はサイトに移動するボタンです。 インフィニティポータル.

Infinityポータルのプロファイル設定
Infinity Portal プロファイルの名前をクリックすると、プロファイルを設定するためのワークスペースが開きます。表示されるユーザー名と電話番号を変更したり、インターフェイス言語 (現在は英語と日本語が利用可能です) を変更したり、プロフィールがリンクされているアカウント。さらに、現在のプロファイルのパスワードを変更し、Google Authenticator または Twilio Authy を使用してポータルにアクセスするための 2 要素認証を有効にすることができます。 XNUMX 要素認証を設定するプロセスは非常に簡単です。アプリケーションを使用して QR コードをスキャンし、生成されたアクセス トークンを入力して XNUMX 要素認証が有効になっていることを確認します。

ナビゲーションバー

SandBlast Agent Management Platform 管理コンソールには、以下の図に示すように、ナビゲーション パネルに 9 つのセクションがあり、エージェントの展開と管理、および Web コンソール設定の管理のための多くのタスクを実行できます。各セクションについて簡単に説明します。詳細については、興味のあるセクション名のネタバレ部分をクリックしてください。始めましょう：

• 概要 — 健全性の観点 (保護されたマシンの数、そのオペレーティング システムのバージョン、エージェントのステータス、エラー メッセージなど) およびセキュリティの観点 (攻撃されたマシンのデータ) からクライアント マシンとエージェントの現在の状態を表示する複数のダッシュボードで構成されるセクション。感染したマシン、アクティブな攻撃とブロックされた攻撃、攻撃のタイムラインなど）。

概要セクション: 詳細
このセクションは 2 つのサブセクションで構成されています。 運用概要 и セキュリティ概要最初の「運用概要」では、ユーザーマシンとエージェントの状態に関する情報が表示されます。保護されているマシンの数、ユーザーコンピュータの特性（デバイスタイプ - パーソナルコンピュータ/ラップトップ、オペレーティングシステムタイプ - Windows/MacOS)、エージェントの展開統計、マシンの健全性ステータス、コンピュータ上のウイルス対策データベースの更新情報、インストールされているSandBlast Agentのバージョンとオペレーティングシステムのバージョン、およびアクティブなイベント（アラート）が表示される領域があります。SandBlast Agentクライアントは、このサブセクションからダウンロードできます。

2 番目のサブセクション「セキュリティの概要」には、ユーザー マシンの保護レベルと攻撃 (アクティブおよびブロック) に関する情報が表示されます。このサブセクションでは、表示される情報を時間でフィルタリングしたり、特定のオブジェクトの検索パラメータを設定したりできます。 [セキュリティの概要] セクションの各ブロックは個別に構成できます。指定したフィルターに従って情報を表示するさまざまなタイプの図を追加できます。このサブセクションは、Excel/PDF 形式のレポートとしてダウンロードできます。このサブセクションから SandBlast Agent クライアントをダウンロードすることもできます。

• ポリシー — 統合セキュリティ ポリシー (いわゆる統合ポリシー) のパラメータが設定されるナビゲーション パネルのセクション。また、エージェント配布ルールやグローバル ポリシー設定も定義されます。

ポリシーセクション: 詳細
最初のサブセクション 脅威防止を使用すると、ポリシーが適用されるオブジェクトを示すセキュリティ ポリシー ルールを構成したり、ブレードの動作を微調整したりできます。各ルールには、脅威対策ポリシーの 3 つの論理コンポーネント (Web とファイルの保護、動作の保護、分析と修復) の設定を含めることができます。 Web とファイル保護コンポーネントには、URL フィルタリング、ダウンロード保護、資格情報保護、ファイル保護の設定が含まれています。 Behavioral Protection コンポーネントは、Anti-Bot、Behavioral Guard & Anti-Ransomware、Anti-Exploit ブレードで構成されます。分析と修復コンポーネントには、自動攻撃分析 (フォレンジック)、修復と対応が含まれます。
セキュリティ コンポーネントの設定を制御する 3 つのプリセット プロファイルがあります。調整 (すべてのブレードが検出モードに切り替えられます)、推奨 (一部のブレードが検出モード)、およびデフォルト (検出モードの URL フィルタリングのみ) です。 (除外センターの) 脅威対策セクションに例外を追加して、ポリシー ルールをバイパスすることもできます。

2 番目のサブセクション - Data Protection フルディスク暗号化設定が含まれます。Check Point暗号化とBitLocker暗号化がサポートされています。 WindowsmacOS 用ファイル Vault。さらに、暗号化設定、起動前認証、および詳細設定をカスタマイズできます。 Windows 鑑定

次のサブセクション - 展開、ユーザーのマシンに SandBlast Agent コンポーネントをインストールするための設定を構成します。このサブセクションでは、ポリシー ルールを使用して、異なるマシンおよびエージェントのバージョンに異なるブレードのインストールを分離することができます。

最後のサブセクション グローバルポリシー設定を使用すると、ユーザーのマシンから SandBlast Agent を削除するためのパスワードを構成したり、Check Point に転送するためのデータ パラメータを変更したり、フル ディスク暗号化のパスワード特性を設定したりできます。

• コンピュータマネジメント — すべてのクライアント マシンに関する詳細情報を表示するナビゲーション パネル領域。また、コンピュータの論理グループの管理、強制アクション (プッシュ オペレーション) の実行、ディスク暗号化の構成 (フル ディスク暗号化アクション) も可能です。

コンピュータ管理セクション: 詳細

「コンピュータ管理」セクションには、設定アイコン、ユーザー マシンに関する情報を表示するフィールド、および表示パラメータを設定するフィルタの 3 つの主要コンポーネントがあります。設定アイコンを左から右の順に見てみましょう。情報の更新。選択したマシンに関するレポートを CSV 形式でアップロードします。 Active Directory からユーザー、マシン、グループに関する情報を取得するディレクトリ スキャナーを作成します。グループ管理(作成/編集/削除);新しい仮想グループを作成します。既存の仮想グループにユーザー マシンを追加します。プッシュ操作カテゴリから強制アクションを追加します (詳細は対応するセクションで説明します)。アクセスの問題が発生した場合に、暗号化されたディスクからデータを回復するタスクを作成します (フルディスク暗号化アクション)。
仮想グループ ユーザー マシンを論理グループに結合して、柔軟な管理を行うことができます。これらのグループは、Active Directory の代替として、または AD と組み合わせて使用​​できます。ユーザー マシン (デスクトップ、ラップトップ、サーバーなど) に自動的に割り当てられる仮想グループがいくつかあります。

ユーザーマシンの表示フィールドは、上図に示すフィルターに従ってカスタマイズできます。最初のフィルター (コンピュータのプロパティによる) には多くの組み込み基準があり、ユーザーのコンピュータの特性、マシンの状態、または SandBlast Agent コンポーネントに基づいてユーザー コンピュータを表示できます。 2 番目のフィルター (仮想グループ別) は仮想グループによるサンプリングの可能性を表し、3 番目 (組織単位ごと) - Active Directory パラメータに基づきます。

• ログ — 多くのパラメータ (ブレード、イベントの重要度、ユーザー マシンなど) に関する統計を表示し、各ログの詳細情報を提供するログ表示パネル。

ログセクション: 詳細
このセクションでは、多くのフィルタリング ツールを使用してログを調査するための便利なインターフェイスを提供します。従来、LOGS セクションの作業領域では、次の 4 つのコンポーネントが区別されます。クエリの上部の検索行と期間の選択です。左側のパネルにはさまざまな基準の統計が表示されます。中央エリアにはすべてのログとそれらに関する基本情報が表示されます。右側のパネルには、選択したログの詳細情報が表示されます。ユーザーとマシンに関する情報を含まないログを表示し (ID を非表示)、Excel ファイルにエクスポートする機能がサポートされています。

• プッシュ操作 — クライアント マシン上で強制的に実行されるタスクが作成および監視されるセクション (ログの収集、マシンの再起動またはシャットダウン、マルウェア/ファイルのスキャンなど)。

プッシュ操作セクション: 詳細
このセクションには 2 つの主要な作業領域があります。上部の作業領域ではクライアント マシンの強制タスクを設定および表示し、下部の作業領域では選択したタスクに関する詳細情報が表示されます。

施行操作には 3 つのカテゴリがあり、それぞれにいくつかのタスクがあります。 アンチマルウェア これは、マルウェアのスキャン、マルウェア署名データベースの更新、隔離からのファイルの復元です。カテゴリ内 フォレンジックと修復 これはインジケーターによる分析、ファイル修復です。カテゴリ内 エージェント設定 これらは、クライアント ログの収集、クライアントの修復、コンピュータのシャットダウン、コンピュータの再起動です。各強制タスクに正確な開始時間を割り当て、説明付きのコメントを追加することもできます。

• エンドポイント設定 — Active Directory との統合が設定されているナビゲーション パネルのセクション、システム メッセージ パラメーター (アラート)、Syslog を使用したログ エクスポートが有効になっており、ライセンスのステータスを監視し、現在のポリシーのタイプ (ユーザー) を選択することもできます。 -ベースまたはコンピュータベース）;

エンドポイント設定セクション: 詳細
最初のサブセクション ADスキャナを使用すると、ポータルと組織の Active Directory との完全な同期を構成して、すべてのユーザーとマシンに関する情報を取得できます。デフォルトでは、組織分散スキャン モードが有効になっており、SandBlast エージェントがインストールされているマシンは、そのパスに関するデータを管理コンソールに送信し、[コンピュータ管理] セクションにさらに表示されます。モードを完全 Active Directory 同期に変更することもできます。この場合、Active Directory からすべてのデータが管理コンソールに取り込まれます。スキャンを正常に行うには、Active Directory ルート、すべての子コンテナとオブジェクト、および削除されたオブジェクト コンテナに対する完全な読み取り権限を持つアカウントが必要です。

2 番目のサブセクションは、 アラートここでは、マシンの感染やエージェント展開の問題など、重大な状況に関する通知の設定を構成します。ワークスペースの右側では、通知のアクティブ化と非アクティブ化のしきい値を含む、12 の事前定義された重大な状況に応じた設定が構成されます。このサブセクションでは、通知をメールで送信するためのメール サーバー設定も構成できます。

サブセクションが続きます イベントのエクスポートを使用すると、さまざまな形式 (Syslog、CEF、LEEF、汎用) のログをログ サーバーに転送するように設定できます。このオプションでは、Syslog エージェントを起動できる SIEM システムへのログの転送を構成することもできます。

次のサブセクション - ライセンス、一意のキー、ライセンス ステータス、アクティブなエージェントの数、クォータ サイズなどのライセンス情報が表示されます。ライセンスは GLOBAL SETTINS 設定で管理されます。

最後のサブセクションは、 ポリシー動作モードここでは、アクティブなポリシー タイプ (ユーザー ベースのポリシーまたはコンピュータ ベースのポリシー) が選択されます。以下の図のポリシーの説明からわかるように、マシンにのみ関連してポリシーが適用されるか、ユーザーとマシンに関連してポリシーが混合スキームで適用されるかが異なります。

• サービス管理 — Endpoint Management Platform サービスを管理し、SmartView を使用してセキュリティ イベントに関する詳細レポートを表示できるナビゲーション パネル領域。このセクションから、SmartConsole アプリケーションと SandBlast Agent クライアントのインストール ファイルをダウンロードできます。

サービス管理セクション: 詳細

サービス管理セクションの作業領域は、サービス管理とサービス データの表示、およびログとレポートを分析するための SmartView (インターフェイスは下の図に示されています) へのアクセスの 80.40 つのコンポーネントで構成されます。 SmartConsole RXNUMX - SandBlast Agent を含む Check Point 製品管理プログラムをダウンロードするためのパネル。 SandBlast エージェント クライアントをダウンロードするためのパネル。

• 脅威ハンティング — プロアクティブな脅威検出のためのルールが設定されるセクション (現在はベータ版)。

脅威ハンティングセクション: 詳細
脅威ハンティングのアプローチを使用すると、SandBlast Agent がインストールされているユーザー マシン上の異常または悪意のあるアクティビティ (たとえば、Check Point が悪意があるとみなしたドメインへの呼び出し、WMI を使用して起動されたプロセスなど) を積極的に検索できます。プリインストールされた検索を使用することができます。フィルターを使用するか、独自のフィルターを作成します。このテクノロジーは、脅威検出センサーと脅威情報を Check Point に送信する企業のグローバル ネットワークである、継続的に更新されるサービスである Check Point ThreatCloud を使用します。 Threat Hunting は現在開発中であり、Check Point からのリクエストに応じてベータ版へのアクセスが可能です。このツールについては、シリーズの次の記事で詳しく説明します。

• 全体設定 — Infinity Portal 上のすべてのアプリケーションのグローバル設定セクション。これにより、ポータル上の企業アカウント設定の変更、管理者アカウントの管理とそのアクションの追跡、さまざまなアカウント アプリケーションの契約ステータスの表示、API の管理が可能になります。キーを作成し、CloudGuard SaaS からローカル ログ サーバーにログをエクスポートします。

グローバル設定セクション: 詳細
最初のサブセクション アカウント設定, アカウント名とアカウント ID が表示され、強制認証設定や非アクティブ タイムアウトを構成することもできます。さらに、このサブセクションでは、SSO 認証のパラメーターを指定したり、アカウント タイプ (クライアント、ディストリビューター/リセラー カテゴリのパートナー、または MSSP カテゴリのパートナー) を変更したりできます。

次のサブセクション ユーザー、ポータルの管理者に関する情報 (連絡先情報、ポータルへの登録日時と最終ログイン日時) が表示されます。同じセクションで、管理者と読み取り専用ユーザーの 2 種類のユーザーを追加できます。

サブセクションが続きます 監査を使用すると、ポータル管理者のアクションを追跡できます。以下の図に示すように、管理者のアクティビティ ログには、ユーザー名、イベントの日付と時刻、サービス、イベントのカテゴリと種類、およびログの簡単な説明が含まれます。たとえば、以下のログは、ポータルへのログイン (ログイン)、アカウント タイプの「ディストリビューター」への変更 (アカウント更新)、および特定のユーザーのポータルへのアクセスのための 2 要素認証の追加 (ユーザー更新) のイベントを記録します。 ）。

4 番目のサブセクションは、 契約: ポータル内のアプリケーションの契約情報 (契約の有効期限、契約の数、クォータの使用量 (存在する場合)) が表示されます。また、このサブセクションでは、[関連付けられたアカウント] 項目からリンクされた Check Point アカウントを管理できます。

次のサブセクション - APIキー、利用可能なすべての Infinity Portal アプリケーションの API キーを管理します。キーを生成すると、クライアント ID と秘密キーが作成され、後でサードパーティ アプリケーションによるポータルへのアクセスに使用できます。

最後の 2 つのサブセクションは、 イベントのエクスポート и パートナー設定1 つ目では、CloudGuard SaaS からローカル ログ サーバーにログをエクスポートするプロセスについて説明し、2 つ目では、アカウントに関する情報を表示し、新しいアカウントを追加できます (パートナー カテゴリのアカウントのみ)。

SandBlast Agent: インストールとインターフェイスの理解

エージェント配布オプション
Check Point では、エージェントをユーザーのコンピュータに配布する 2 つの方法 (自動と手動) について説明しています。 自動展開 — サードパーティのソリューション (Active Directory グループ ポリシーなど) を使用して初期クライアント (初期クライアント) をインストールし、ポリシーをエージェントに自動的にダウンロードすることによって実行されます。 手動展開 — 脅威防止ポリシーやデータ保護ポリシーが組み込まれたクライアントがダウンロードされ、サードパーティのソリューションを使用してユーザーのマシンに配布されます。最初の方法は、初期クライアント バージョンの重量がすべてのポリシーを備えた本格的なバージョンよりも数十倍軽いため、より便利です。これにより、たとえば電子メールの添付ファイルとしてエージェントを配布できます。一方、手動展開では、インストール後にポリシーとブレードをエージェントにロードする時間が必要ありません。すべてのコンポーネントがすでに SandBlast Agent パッケージに含まれています。

自動エージェント展開を使用してみましょう。初期クライアント バージョンは、コンソールの 2 つのセクション (サービス管理と概要) からダウンロードできます。 「サービス管理」セクションで「初期クライアントのダウンロード」オプションを選択すると、初期クライアントがダウンロードされます。 [概要] セクションからダウンロードする場合、SandBlast エージェントを構築するには、クイック インストール (初期)、脅威対策エージェント、データ保護と脅威対策の 3 つのオプションがあります。 2 番目と 3 番目のオプションは手動展開に適しており、1 番目のオプションは初期クライアント ビルドです。

ダウンロードされた EPS.msi ファイルはユーザーのマシンに転送され、その後インストール プロセスを開始する必要があります。インストールが成功すると、Check Point Endpoint Security アイコンがシステム トレイに表示され、エージェントが管理サーバーから切断されたことが示されます。

このとき、クライアントは組み込みアドレスを使用してクラウド管理サーバーへの接続を自動的に試行します。これは非常に迅速なプロセスであり、数分後にエージェントのインストールがスケジュールされていることを示す新しいアラートが表示されます。このメッセージは、エージェントがクラウド管理サーバーに正常に接続したことを示します。

Endpoint Security アイコンを右クリックすると、クライアントが接続した管理サーバーの名前や現在の接続ステータスなど、管理サーバーと確立された接続に関する詳細情報を取得できます。

管理サーバーへの接続に成功すると、(セキュリティ ポリシーに従って) 必要なコンポーネントをユーザー マシンにダウンロードするプロセスが開始されます。管理者は、Web 管理コンソールの [コンピュータ管理] セクションでエージェントのインストール プロセスのステータスを監視できます。ユーザー マシンがクラウド管理サーバーに正常に接続されると、[コンピュータ管理] セクションのステータスが [スケジュール済み] から [ダウンロード中] に変わります。すべてのコンポーネントをダウンロードして確認した後、ユーザーはエージェントをすぐにインストールするか、インストール プロセスを延期するかを選択するよう求められます。プロセスの開始から 2 日以内にユーザーがエージェントをインストールしない場合、エージェントは強制的にインストールされ、インストールの開始を促すウィンドウにその旨が表示されます。

エージェントのインストールが開始されると、管理コンソールの [コンピュータの管理] セクションのユーザー マシンが [展開中] ステータスに切り替わります。エージェントのインストール プロセスが完了したら、Endpoint Security アイコンを右クリックして [概要の表示] を選択することで、そのインターフェイスを開くことができます。

インストール後、「今すぐ更新」をクリックして、エージェント上のポリシーとデータベースを更新するプロセスを開始することをお勧めします。マルウェア対策データベースの最初の更新には時間がかかる場合があります。すべてのデータベースが更新されるとすぐに、システムの最初の自動スキャンが開始されます。この時点で、管理コンソールのクライアント マシンは「完了」ステータスで表示され、エージェントのインストールが成功したことを示します。

エージェント インターフェイスを見てみましょう。左下隅に、エージェントのステータス (オンライン/切断) とクラウド管理サーバーの名前が表示されます。この場合、ステータスは「オンライン」、管理サーバーの名前は「matssolution」です。エージェントの現在のバージョンは右下隅に表示されます。バージョン E83.11 (83.11.2702) がインストールされています。エージェントのナビゲーション パネルは、いくつかのセクションで構成されます。

• 概要 — すべてのブレードのステータスと、ユーザーのコンピュータのセキュリティ ポリシーへの準拠に関する情報が表示されるメイン セクション。また、このセクションから各ブレードに「詳しく」アクセスして、ステータスとセキュリティ イベントに関するより詳細な情報を取得することもできます。

• 今すぐアップデート — エージェントに適用されているセキュリティ ポリシーとデータベースの関連性を確認するプロセスを開始できます。

• 今すぐシステムをスキャンしてください - 悪意のあるソフトウェアまたはファイルの存在についてシステムをスキャンするプロセスを開始します。

• 高機能 - インストールされているポリシーの表示、ログの表示または収集、およびユーザーのコンピュータを展開エージェントとして使用できる高度なエージェント設定。

初期ポリシーに変更が加えられていないため、エージェントには現在、標準値を持つ脅威対策ポリシー ブレードのみが含まれています。最初の脅威対策ポリシーの内容については、シリーズの次の記事で詳しく説明します。

まとめ

行った作業を要約します。この記事では、SandBlast Agent Management Platform Web 管理コンソールのインターフェイスを詳しく理解し、ユーザー マシンにエージェントをインストールして、そのインターフェイスを研究しました。

シリーズの次の記事では、標準的な脅威対策ポリシーを検討し、最も一般的な攻撃に対抗するためにそれをテストします。また、ユーザー マシンのセキュリティ レベルを高めるための独自のポリシー ルールも作成します。

TS ソリューションの Check Point に関する豊富な資料。 SandBlast エージェント管理プラットフォームのトピックに関する次の出版物を見逃さないように、ソーシャル ネットワークの更新情報をフォローしてください (Telegram, Facebook, VK, TSソリューションブログ, Yandex.Den).

出所： habr.com