3. Check Point SandBlast Agent Management Platform. საფრთხეების პრევენციის პოლიტიკა

კეთილი იყოს თქვენი მობრძანება სერიის მესამე სტატიაში ღრუბელზე დაფუძნებული პერსონალური კომპიუტერის დაცვის მართვის ახალი კონსოლის შესახებ - Check Point SandBlast Agent Management Platform. შეგახსენებთ, რომ ქ პირველი სტატია გავეცანით Infinity Portal-ს და შევქმენით ღრუბელზე დაფუძნებული აგენტების მართვის სერვისი, Endpoint Management Service. In მეორე სტატია ჩვენ შევისწავლეთ ვებ მენეჯმენტის კონსოლის ინტერფეისი და დავაყენეთ აგენტი სტანდარტული პოლიტიკით მომხმარებლის მანქანაზე. დღეს ჩვენ გადავხედავთ სტანდარტული საფრთხის პრევენციის უსაფრთხოების პოლიტიკის შინაარსს და შევამოწმებთ მის ეფექტურობას პოპულარული თავდასხმების წინააღმდეგ ბრძოლაში.

სტანდარტული საფრთხეების პრევენციის პოლიტიკა: აღწერა

ზემოთ მოყვანილი სურათი გვიჩვენებს საფრთხეების პრევენციის პოლიტიკის სტანდარტულ წესს, რომელიც ნაგულისხმევად ვრცელდება მთელ ორგანიზაციაზე (ყველა დაინსტალირებულ აგენტზე) და მოიცავს დაცვის კომპონენტების სამ ლოგიკურ ჯგუფს: ვებ და ფაილების დაცვა, ქცევითი დაცვა და ანალიზი და გამოსწორება. მოდით უფრო ახლოს მივხედოთ თითოეულ ჯგუფს.

ვებ და ფაილების დაცვა

URL ფილტრაცია
URL ფილტრაცია საშუალებას გაძლევთ აკონტროლოთ მომხმარებლის წვდომა ვებ რესურსებზე წინასწარ განსაზღვრული 5 კატეგორიის საიტების გამოყენებით. 5 კატეგორიიდან თითოეული შეიცავს რამდენიმე კონკრეტულ ქვეკატეგორიას, რაც საშუალებას გაძლევთ დააკონფიგურიროთ, მაგალითად, დაბლოკოთ თამაშების ქვეკატეგორიაზე წვდომა და დაუშვათ წვდომა მყისიერი შეტყობინებების ქვეკატეგორიაზე, რომლებიც შედის პროდუქტიულობის დაკარგვის იმავე კატეგორიაში. კონკრეტულ ქვეკატეგორიებთან დაკავშირებული URL-ები განისაზღვრება Check Point-ით. შეგიძლიათ შეამოწმოთ კატეგორია, რომელსაც მიეკუთვნება კონკრეტული URL, ან მოითხოვოთ კატეგორიის უგულებელყოფა სპეციალურ რესურსზე URL-ის კატეგორიზაცია.
მოქმედება შეიძლება დაყენდეს პრევენციაზე, გამოვლენაზე ან გამორთვაზე. ასევე, ამოცნობის მოქმედების არჩევისას, ავტომატურად ემატება პარამეტრი, რომელიც მომხმარებლებს საშუალებას აძლევს გამოტოვონ URL ფილტრაციის გაფრთხილება და გადავიდნენ ინტერესის რესურსზე. თუ Prevent გამოიყენება, ეს პარამეტრი შეიძლება წაიშალოს და მომხმარებელი ვერ შეძლებს აკრძალულ საიტზე წვდომას. აკრძალული რესურსების კონტროლის კიდევ ერთი მოსახერხებელი გზაა ბლოკების სიის დაყენება, რომელშიც შეგიძლიათ მიუთითოთ დომენები, IP მისამართები ან ატვირთოთ .csv ფაილი დასაბლოკად დომენების სიით.

URL ფილტრაციის სტანდარტულ პოლიტიკაში მოქმედება დაყენებულია Detect-ზე და არჩეულია ერთი კატეგორია - უსაფრთხოება, რომლისთვისაც მოხდება მოვლენების აღმოჩენა. ეს კატეგორია მოიცავს სხვადასხვა ანონიმიზატორებს, კრიტიკული/მაღალი/საშუალო რისკის მქონე საიტებს, ფიშინგის საიტებს, სპამს და ბევრ სხვას. თუმცა, მომხმარებლებს კვლავ შეეძლებათ რესურსზე წვდომა პარამეტრის „დაუშვას მომხმარებლის გაუქმების URL ფილტრაციის გაფრთხილება და წვდომა ვებსაიტზე“ წყალობით.

ჩამოტვირთვა (ვებ) დაცვა
Emulation & Extraction საშუალებას გაძლევთ მიბაძოთ გადმოწერილი ფაილები Check Point ღრუბლოვანი სავარჯიშოში და გაასუფთავოთ დოკუმენტები ფრენის დროს, წაშალოთ პოტენციურად მავნე კონტენტი ან გადააკეთოთ დოკუმენტი PDF-ში. არსებობს სამი ოპერაციული რეჟიმი:

• აკრძალვა — საშუალებას გაძლევთ მიიღოთ გასუფთავებული დოკუმენტის ასლი საბოლოო ემულაციის განაჩენამდე, ან დაელოდოთ ემულაციის დასრულებას და დაუყოვნებლივ გადმოწეროთ ორიგინალი ფაილი;

• გამოავლინონ — ახორციელებს ემულაციას ფონზე, არ აბრკოლებს მომხმარებელს ორიგინალური ფაილის მიღებაში, განაჩენის მიუხედავად;

• Off — ნებისმიერი ფაილის ჩამოტვირთვა ნებადართულია პოტენციურად მავნე კომპონენტების ემულაციისა და გაწმენდის გარეშე.

ასევე შესაძლებელია მოქმედების არჩევა ფაილებისთვის, რომლებიც არ არის მხარდაჭერილი Check Point-ის ემულაციისა და გაწმენდის ხელსაწყოებით - შეგიძლიათ დაუშვათ ან უარყოთ ყველა მხარდაჭერილი ფაილის ჩამოტვირთვა.

ჩამოტვირთვის დაცვის სტანდარტული პოლიტიკა დაყენებულია აღკვეთაზე, რაც საშუალებას გაძლევთ მიიღოთ ორიგინალური დოკუმენტის ასლი, რომელიც გასუფთავებულია პოტენციურად მავნე შინაარსისგან, ასევე საშუალებას გაძლევთ ჩამოტვირთოთ ფაილები, რომლებიც არ არის მხარდაჭერილი ემულაციისა და გაწმენდის ხელსაწყოებით.

სერთიფიკატის დაცვა
ავტორიზაციის დაცვის კომპონენტი იცავს მომხმარებლის რწმუნებათა სიგელებს და მოიცავს 2 კომპონენტს: ნულოვანი ფიშინგს და პაროლის დაცვას. ნულოვანი ფიშინგი იცავს მომხმარებლებს ფიშინგ რესურსებზე წვდომისგან და პაროლი დაცვა აცნობებს მომხმარებელს კორპორატიული სერთიფიკატების გამოყენების დაუშვებლობის შესახებ დაცული დომენის გარეთ. ნულოვანი ფიშინგის დაყენება შესაძლებელია პრევენციაზე, გამოვლენაზე ან გამორთვაზე. როდესაც დაყენებულია Prevent ქმედება, შესაძლებელია მომხმარებლებს მიეცეთ საშუალება, იგნორირება გაუკეთონ გაფრთხილებას პოტენციური ფიშინგის რესურსის შესახებ და მიიღონ წვდომა რესურსზე, ან გამორთონ ეს პარამეტრი და დაბლოკონ წვდომა სამუდამოდ. Detect ქმედებით მომხმარებლებს ყოველთვის აქვთ შესაძლებლობა, იგნორირება გაუკეთონ გაფრთხილებას და შევიდნენ რესურსზე. პაროლის დაცვა საშუალებას გაძლევთ აირჩიოთ დაცული დომენები, რომლებისთვისაც პაროლები შემოწმებული იქნება შესაბამისობისთვის, და სამი მოქმედებიდან ერთ-ერთი: Detect & Alert (მომხმარებლის შეტყობინება), Detect ან Off.

სერთიფიკატების დაცვის სტანდარტული პოლიტიკა არის ის, რომ თავიდან აიცილოს ფიშინგური რესურსები მომხმარებლებისთვის პოტენციურად მავნე საიტზე წვდომაში. ასევე ჩართულია კორპორატიული პაროლების გამოყენებისგან დაცვა, მაგრამ მითითებული დომენების გარეშე ეს ფუნქცია არ იმუშავებს.

ფაილების დაცვა
ფაილების დაცვა პასუხისმგებელია მომხმარებლის აპარატზე შენახული ფაილების დაცვაზე და მოიცავს ორ კომპონენტს: მავნე პროგრამებისა და ფაილების საფრთხის ემულაციას. ანტი-მავნე არის ინსტრუმენტი, რომელიც რეგულარულად სკანირებს მომხმარებლის და სისტემის ყველა ფაილს ხელმოწერის ანალიზის გამოყენებით. ამ კომპონენტის პარამეტრებში შეგიძლიათ დააკონფიგურიროთ რეგულარული სკანირების ან შემთხვევითი სკანირების დრო, ხელმოწერის განახლების პერიოდი და მომხმარებლების შესაძლებლობა გააუქმონ დაგეგმილი სკანირება. ფაილების საფრთხის ემულაცია საშუალებას გაძლევთ მიბაძოთ მომხმარებლის აპარატზე შენახული ფაილები Check Point ღრუბლოვანი სავარჯიშოში, თუმცა უსაფრთხოების ეს ფუნქცია მუშაობს მხოლოდ Detect რეჟიმში.

ფაილების დაცვის სტანდარტული პოლიტიკა მოიცავს დაცვას მავნე პროგრამით და მავნე ფაილების აღმოჩენას ფაილების საფრთხის ემულაციის საშუალებით. რეგულარული სკანირება ტარდება ყოველთვიურად, ხოლო მომხმარებლის აპარატზე ხელმოწერები ახლდება ყოველ 4 საათში. ამავდროულად, მომხმარებლებს კონფიგურირებული აქვთ დაგეგმილი სკანირების გაუქმება, მაგრამ არაუგვიანეს 30 დღისა ბოლო წარმატებული სკანირების დღიდან.

ქცევის დაცვა

ანტი-ბოტი, ქცევის მცველი და ანტი-გამოსყიდვის პროგრამა, ანტი-ექსპლოიტი
დაცვის კომპონენტების ქცევითი დაცვის ჯგუფი მოიცავს სამ კომპონენტს: Anti-Bot, Behavioral Guard & Anti-Ransomware და Anti-Exploit. ანტი ბოტი საშუალებას გაძლევთ აკონტროლოთ და დაბლოკოთ C&C კავშირები მუდმივად განახლებული Check Point ThreatCloud მონაცემთა ბაზის გამოყენებით. ქცევის დაცვა და გამოსასყიდის საწინააღმდეგო პროგრამა მუდმივად აკონტროლებს აქტივობას (ფაილები, პროცესები, ქსელური ურთიერთქმედება) მომხმარებლის მანქანაზე და საშუალებას გაძლევთ თავიდან აიცილოთ გამოსასყიდი პროგრამების თავდასხმები საწყის ეტაპზე. გარდა ამისა, დაცვის ეს ელემენტი საშუალებას გაძლევთ აღადგინოთ ფაილები, რომლებიც უკვე დაშიფრულია მავნე პროგრამის მიერ. ფაილები აღდგება თავდაპირველ საქაღალდეებში, ან შეგიძლიათ მიუთითოთ კონკრეტული გზა, სადაც ყველა აღდგენილი ფაილი შეინახება. ანტი-ექსპლოიტი საშუალებას გაძლევთ აღმოაჩინოთ ნულოვანი დღის შეტევები. ქცევითი დაცვის ყველა კომპონენტი მხარს უჭერს მუშაობის სამ რეჟიმს: პრევენცია, გამოვლენა და გამორთვა.

ქცევითი დაცვის სტანდარტული პოლიტიკა ითვალისწინებს პრევენციას Anti-Bot და Behavioral Guard & Anti-Ransomware კომპონენტებისთვის, დაშიფრული ფაილების აღდგენით მათ თავდაპირველ დირექტორიაში. Anti-Exploit კომპონენტი გამორთულია და არ გამოიყენება.

ანალიზი და გამოსწორება

თავდასხმის ავტომატური ანალიზი (კრიმინალისტიკა), გამოსწორება და რეაგირება
უსაფრთხოების ინციდენტების ანალიზისა და გამოძიებისთვის ხელმისაწვდომია უსაფრთხოების ორი კომპონენტი: თავდასხმის ავტომატური ანალიზი (კრიმინალისტიკა) და გამოსწორება და რეაგირება. თავდასხმის ავტომატური ანალიზი (კრიმინალისტიკა) საშუალებას გაძლევთ შექმნათ მოხსენებები თავდასხმების მოგერიების შედეგების შესახებ დეტალური აღწერილობით - მომხმარებლის აპარატზე მავნე პროგრამის შესრულების პროცესის ანალიზამდე. ასევე შესაძლებელია გამოიყენოთ Threat Hunting ფუნქცია, რომელიც შესაძლებელს ხდის წინასწარ განსაზღვრული ან შექმნილი ფილტრების გამოყენებით ანომალიების და პოტენციურად მავნე ქცევის პროაქტიულად ძიებას. გამოსწორება და რეაგირება საშუალებას გაძლევთ დააკონფიგურიროთ ფაილების აღდგენისა და კარანტინის პარამეტრები შეტევის შემდეგ: მომხმარებლის ურთიერთქმედება საკარანტინო ფაილებთან რეგულირდება და ასევე შესაძლებელია საკარანტინო ფაილების შენახვა ადმინისტრატორის მიერ მითითებულ დირექტორიაში.

ანალიზისა და გამოსწორების სტანდარტული პოლიტიკა მოიცავს დაცვას, რომელიც მოიცავს აღდგენის ავტომატურ მოქმედებებს (პროცესების დასრულება, ფაილების აღდგენა და ა.შ.) და ფაილების კარანტინში გაგზავნის ვარიანტი აქტიურია და მომხმარებლებს შეუძლიათ მხოლოდ ფაილების კარანტინიდან წაშლა.

სტანდარტული საფრთხეების პრევენციის პოლიტიკა: ტესტირება

Check Point CheckMe Endpoint

ყველაზე სწრაფი და მარტივი გზა მომხმარებლის აპარატის უსაფრთხოების შესამოწმებლად ყველაზე პოპულარული ტიპის თავდასხმებისგან არის ტესტის ჩატარება რესურსის გამოყენებით. Check Point Check Me, რომელიც ახორციელებს სხვადასხვა კატეგორიის ტიპურ შეტევებს და საშუალებას გაძლევთ მიიღოთ ანგარიში ტესტირების შედეგების შესახებ. ამ შემთხვევაში გამოყენებული იქნა Endpoint ტესტირების ვარიანტი, რომელშიც ჩამოტვირთულია შესრულებადი ფაილი და გაშვება კომპიუტერზე, შემდეგ კი იწყება გადამოწმების პროცესი.

სამუშაო კომპიუტერის უსაფრთხოების შემოწმების პროცესში, SandBlast Agent სიგნალს აძლევს მომხმარებლის კომპიუტერზე გამოვლენილი და ასახული თავდასხმების შესახებ, მაგალითად: Anti-Bot blade იუწყება ინფექციის გამოვლენის შესახებ, Anti-Malware blade-მა აღმოაჩინა და წაშალა მავნე ფაილი CP_AM.exe და Threat Emulation blade-მა დააინსტალირა, რომ CP_ZD.exe ფაილი მავნეა.

CheckMe Endpoint-ის გამოყენებით ტესტირების შედეგებზე დაყრდნობით, ჩვენ გვაქვს შემდეგი შედეგი: 6 თავდასხმის კატეგორიიდან, საფრთხეების პრევენციის სტანდარტული პოლიტიკა ვერ გაუმკლავდა მხოლოდ ერთ კატეგორიას - Browser Exploit. ეს იმიტომ ხდება, რომ სტანდარტული საფრთხის პრევენციის პოლიტიკა არ შეიცავს ანტი-ექსპლოიტის დანას. აღსანიშნავია, რომ SandBlast Agent-ის დაყენების გარეშე, მომხმარებლის კომპიუტერმა გაიარა სკანირება მხოლოდ Ransomware კატეგორიაში.

KnowBe4 RanSim

Anti-Ransomware blade-ის მუშაობის შესამოწმებლად შეგიძლიათ გამოიყენოთ უფასო გადაწყვეტა KnowBe4 RanSim, რომელიც ატარებს ტესტების სერიას მომხმარებლის აპარატზე: 18 გამოსასყიდი პროგრამის ინფექციის სცენარს და 1 კრიპტომაინერის ინფექციის სცენარს. აღსანიშნავია, რომ სტანდარტულ პოლიტიკაში მრავალი დანის არსებობა (საფრთხის ემულაცია, მავნე პროგრამული უზრუნველყოფის საწინააღმდეგო პროგრამა, ქცევის დაცვა) მოქმედებით Prevent არ იძლევა საშუალებას ამ ტესტის სწორად გაშვება. თუმცა, უსაფრთხოების შემცირებული დონის შემთხვევაშიც კი (საფრთხის ემულაცია გამორთული რეჟიმში), Anti-Ransomware blade ტესტი აჩვენებს მაღალ შედეგებს: 18 ტესტიდან 19-მა წარმატებით გაიარა (1 ვერ დაიწყო).

მავნე ფაილები და დოკუმენტები

საჩვენებელია საფრთხის პრევენციის სტანდარტული პოლიტიკის სხვადასხვა დანის მუშაობის შემოწმება მომხმარებლის მანქანაში ჩამოტვირთული პოპულარული ფორმატების მავნე ფაილების გამოყენებით. ეს ტესტი მოიცავდა 66 ფაილს PDF, DOC, DOCX, EXE, XLS, XLSX, CAB, RTF ფორმატებში. ტესტის შედეგებმა აჩვენა, რომ SandBlast Agent-მა შეძლო დაბლოკოს 64 მავნე ფაილი 66-დან. ინფიცირებული ფაილები წაიშალა ჩამოტვირთვის შემდეგ, ან გასუფთავდა მავნე შინაარსისგან Threat Extraction-ის გამოყენებით და მიიღეს მომხმარებლის მიერ.

რეკომენდაციები საფრთხეების პრევენციის პოლიტიკის გასაუმჯობესებლად

1. URL ფილტრაცია

პირველი, რაც უნდა გამოსწორდეს სტანდარტულ პოლიტიკაში კლიენტის აპარატის უსაფრთხოების დონის გასაზრდელად, არის URL Filtering blade-ის გადართვა Prevent-ზე და მიუთითეთ შესაბამისი კატეგორიები დაბლოკვისთვის. ჩვენს შემთხვევაში, ყველა კატეგორია შეირჩა, გარდა ზოგადი გამოყენებისა, რადგან ისინი მოიცავს იმ რესურსების უმეტეს ნაწილს, რომლებზეც აუცილებელია მომხმარებლებისთვის წვდომის შეზღუდვა სამუშაო ადგილზე. ასევე, ასეთი საიტებისთვის, მიზანშეწონილია მომხმარებლებმა გააუქმონ გამაფრთხილებელი ფანჯრის გამოტოვების შესაძლებლობა პარამეტრის „დაუშვას მომხმარებლის გაუქმების URL ფილტრაციის გაფრთხილება და წვდომა ვებსაიტზე“ მონიშვნის მოხსნით.

2. ჩამოტვირთვის დაცვა

მეორე ვარიანტი, რომელსაც ყურადღება უნდა მიაქციოთ, არის მომხმარებელთა შესაძლებლობა ჩამოტვირთონ ფაილები, რომლებიც არ არის მხარდაჭერილი Check Point ემულაციის მიერ. ვინაიდან ამ განყოფილებაში ჩვენ განვიხილავთ სტანდარტული საფრთხეების პრევენციის პოლიტიკის გაუმჯობესებას უსაფრთხოების თვალსაზრისით, საუკეთესო ვარიანტი იქნება მხარდაჭერილი ფაილების ჩამოტვირთვის დაბლოკვა.

3. ფაილების დაცვა

თქვენ ასევე უნდა მიაქციოთ ყურადღება ფაილების დაცვის პარამეტრებს - კერძოდ, პერიოდული სკანირების პარამეტრებს და მომხმარებლის იძულებითი სკანირების გადადების შესაძლებლობას. ამ შემთხვევაში, მხედველობაში უნდა იქნას მიღებული მომხმარებლის დროის ჩარჩო, ხოლო უსაფრთხოებისა და შესრულების თვალსაზრისით კარგი ვარიანტია იძულებითი სკანირების კონფიგურაცია ყოველდღიურად, დროის შემთხვევით შერჩევით (00:00 საათიდან 8:00 საათამდე: XNUMX), და მომხმარებელს შეუძლია გადადოს სკანირება მაქსიმუმ ერთი კვირით.

4. ანტი-ექსპლოიტი

საფრთხის პრევენციის სტანდარტული პოლიტიკის მნიშვნელოვანი ნაკლი არის ის, რომ ანტი-ექსპლოიტის დანა გამორთულია. რეკომენდირებულია ამ დანის ჩართვა Prevent მოქმედებით, რათა დაიცვას სამუშაო სადგური შეტევებისგან ექსპლოიტების გამოყენებით. ამ შესწორებით, CheckMe ხელახალი ტესტი წარმატებით სრულდება მომხმარებლის წარმოების მანქანაზე დაუცველობის აღმოჩენის გარეშე.

დასკვნა

მოდით შევაჯამოთ: ამ სტატიაში ჩვენ გავეცანით სტანდარტული საფრთხის პრევენციის პოლიტიკის კომპონენტებს, შევამოწმეთ ეს პოლიტიკა სხვადასხვა მეთოდებისა და ხელსაწყოების გამოყენებით და ასევე აღვწერეთ რეკომენდაციები სტანდარტული პოლიტიკის პარამეტრების გასაუმჯობესებლად მომხმარებლის მანქანის უსაფრთხოების დონის გასაზრდელად. . სერიის შემდეგ სტატიაში ჩვენ გადავალთ მონაცემთა დაცვის პოლიტიკის შესწავლაზე და გადავხედავთ გლობალური პოლიტიკის პარამეტრებს.

მასალების დიდი არჩევანი Check Point-ზე TS Solution-ისგან. იმისათვის, რომ არ გამოტოვოთ შემდეგი პუბლიკაციები თემაზე SandBlast Agent Management Platform, მიჰყევით განახლებებს ჩვენს სოციალურ ქსელებში (დეპეშა, Facebook, VK, TS Solution ბლოგი, Yandex Zen).

წყარო: www.habr.com