1. 체크포인트 포렌식을 활용한 악성코드 분석. 샌드블래스트 네트워크

이번에는 사건 조사 주제, 즉 Check Point 포렌식을 사용한 악성 코드 분석에 관한 새로운 기사 시리즈에 오신 것을 환영합니다. 우리는 이전에 출판했습니다 여러 가지 비디오 강의 Smart Event 작업에 대해 설명하지만 이번에는 다양한 Check Point 제품의 특정 이벤트에 대한 포렌식 보고서를 살펴보겠습니다.

• 샌드블래스트 네트워크
• SandBlast 에이전트
• SandBlast 모바일
• CloudGuard SaaS

사고 예방 포렌식은 왜 중요한가요? 바이러스에 감염된 것 같은데 이미 좋은데 왜 처리합니까? 실습에서 알 수 있듯이 공격을 차단하는 것뿐만 아니라 공격이 어떻게 작동하는지 정확히 이해하는 것이 좋습니다. 진입점이 무엇인지, 어떤 취약점이 사용되었는지, 관련된 프로세스는 무엇인지, 레지스트리 및 파일 시스템이 영향을 받는지, 어떤 제품군인지 등을 알 수 있습니다. 바이러스의 피해 가능성, 피해 가능성 등. 이 데이터와 기타 유용한 데이터는 Check Point의 포괄적인 포렌식 보고서(텍스트 및 그래픽 모두)에서 얻을 수 있습니다. 그러한 보고서를 수동으로 얻는 것은 매우 어렵습니다. 그러면 이 데이터는 적절한 조치를 취하고 향후 유사한 공격이 성공하지 못하도록 방지하는 데 도움이 될 수 있습니다. 오늘은 Check Point SandBlast Network 포렌식 보고서를 살펴보겠습니다.

샌드블래스트 네트워크

네트워크 경계 보호를 강화하기 위해 샌드박스를 사용하는 것은 오랫동안 일반화되어 왔으며 IPS만큼 필수 구성 요소입니다. Check Point에서는 SandBlast 기술(위협 추출도 있음)의 일부인 위협 에뮬레이션 블레이드가 샌드박스 기능을 담당합니다. 우리는 이미 이전에 출판했습니다. Check Point SandBlast의 소규모 코스 Gaia 77.30 버전에도 적용됩니다(지금 우리가 말하는 내용을 이해하지 못하신다면 꼭 시청해 보시기 바랍니다). 건축학적 관점에서 볼 때 그 이후로 근본적으로 변한 것은 없습니다. 네트워크 경계에 Check Point Gateway가 있는 경우 샌드박스와의 통합을 위해 두 가지 옵션을 사용할 수 있습니다.

1. SandBlast 로컬 어플라이언스 — 분석을 위해 파일이 전송되는 추가 SandBlast 어플라이언스가 네트워크에 설치됩니다.
2. 샌드블래스트 클라우드 — 분석을 위해 파일이 Check Point 클라우드로 전송됩니다.

샌드박스는 네트워크 경계의 최후 방어선으로 간주될 수 있습니다. 바이러스 백신, IPS와 같은 고전적인 수단으로 분석한 후에만 연결됩니다. 그리고 이러한 기존 서명 도구가 실질적으로 분석 기능을 제공하지 않는 경우 샌드박스는 파일이 차단된 이유와 파일이 정확히 어떤 악성 기능을 수행하는지 자세히 "알려줄" 수 있습니다. 이 포렌식 보고서는 로컬 및 클라우드 샌드박스 모두에서 얻을 수 있습니다.

체크포인트 포렌식 보고서

정보 보안 전문가인 귀하가 출근하여 SmartConsole에서 대시보드를 열었다고 가정해 보겠습니다. 지난 24시간 동안의 사건을 즉시 확인하고 시그니처 분석으로 차단되지 않은 가장 위험한 공격인 위협 에뮬레이션 이벤트에 주의를 기울입니다.

이러한 이벤트를 "드릴다운"하여 위협 에뮬레이션 블레이드에 대한 모든 로그를 볼 수 있습니다.

그런 다음 위협 중요도 수준(심각도)과 신뢰 수준(대응 신뢰성)을 기준으로 로그를 추가로 필터링할 수 있습니다.

관심 있는 이벤트를 확장하면 일반 정보(src, dst, 심각도, 보낸 사람 등)를 알 수 있습니다.

그리고 거기에서 섹션을 볼 수 있습니다. 법의학 사용 가능 요약 보고서. 이를 클릭하면 대화형 HTML 페이지 형태로 악성코드에 대한 자세한 분석이 열립니다.

(페이지의 일부입니다. 원본은 여기에서 보실 수 있습니다)

동일한 보고서에서 원본 악성코드를 다운로드하거나(비밀번호로 보호된 아카이브에 있음) Check Point 대응팀에 즉시 연락할 수 있습니다.

바로 아래에는 이미 알려진 악성 코드(코드 자체 및 매크로 포함)가 우리 인스턴스에 공통적으로 포함되어 있는 것을 백분율로 보여주는 아름다운 애니메이션이 있습니다. 이러한 분석은 Check Point Threat Cloud의 기계 학습을 사용하여 제공됩니다.

그러면 샌드박스의 어떤 활동으로 인해 이 파일이 악성이라는 결론을 내릴 수 있는지 정확하게 확인할 수 있습니다. 이 경우 우회 기술을 사용하고 랜섬웨어를 다운로드하려는 시도를 볼 수 있습니다.

이 경우 에뮬레이션은 두 시스템(Win 7, Win XP)과 서로 다른 소프트웨어 버전(Office, Adobe)에서 수행되었음을 알 수 있습니다. 아래에는 샌드박스에서 이 파일을 여는 과정을 보여주는 비디오(슬라이드 쇼)가 있습니다.

예시 비디오:

마지막에는 공격이 어떻게 발전했는지 자세히 볼 수 있습니다. 표 형식 또는 그래픽 형식:

Wireshark에서 생성된 트래픽에 대한 자세한 분석을 위해 이 정보를 RAW 형식과 pcap 파일로 다운로드할 수 있습니다.

결론

이 정보를 사용하면 네트워크 보호를 크게 강화할 수 있습니다. 바이러스 배포 호스트를 차단하고, 악용된 취약점을 차단하고, C&C로부터 가능한 피드백을 차단하는 등 다양한 기능을 제공합니다. 이 분석을 무시해서는 안됩니다.

다음 기사에서는 SandBlast Agent, SnadBlast Mobile 및 CloudGiard SaaS의 보고서를 유사하게 살펴보겠습니다. 그러니 계속 지켜봐 주시기 바랍니다(텔레그램, 페이스북, VK, TS 솔루션 블로그)!

출처 : habr.com