3. 체크포인트 SandBlast 에이전트 관리 플랫폼. 위협 예방 정책

새로운 클라우드 기반 개인용 컴퓨터 보호 관리 콘솔인 Check Point SandBlast 에이전트 관리 플랫폼에 관한 시리즈의 세 번째 기사에 오신 것을 환영합니다. 그 점을 상기시켜 드리겠습니다. 첫 번째 기사 Infinity Portal에 대해 알아보고 클라우드 기반 에이전트 관리 서비스인 Endpoint Management Service를 만들었습니다. ~ 안에 두 번째 기사 우리는 웹 관리 콘솔 인터페이스를 연구하고 사용자 컴퓨터에 표준 정책이 포함된 에이전트를 설치했습니다. 오늘은 표준 위협 예방 보안 정책의 내용을 살펴보고 대중적인 공격에 대응하는 효과를 테스트해 보겠습니다.

표준 위협 예방 정책: 설명

위 그림은 기본적으로 전체 조직(설치된 모든 에이전트)에 적용되고 웹 및 파일 보호, 동작 보호, 분석 및 치료라는 세 가지 논리적 보호 구성 요소 그룹을 포함하는 표준 위협 예방 정책 규칙을 보여줍니다. 각 그룹을 자세히 살펴보겠습니다.

웹 및 파일 보호

URL 필터링
URL 필터링을 사용하면 미리 정의된 5가지 사이트 범주를 사용하여 웹 리소스에 대한 사용자 액세스를 제어할 수 있습니다. 5개 범주 각각에는 몇 가지 구체적인 하위 범주가 포함되어 있습니다. 예를 들어 게임 하위 범주에 대한 액세스를 차단하고 동일한 생산성 손실 범주에 포함된 인스턴트 메시징 하위 범주에 대한 액세스를 허용하도록 구성할 수 있습니다. 특정 하위 카테고리와 연관된 URL은 Check Point에 의해 결정됩니다. 특정 URL이 속한 카테고리를 확인하거나 특정 리소스에 대한 카테고리 재정의를 요청할 수 있습니다. URL 분류.
작업은 방지, 감지 또는 끄기로 설정할 수 있습니다. 또한 감지 작업을 선택하면 사용자가 URL 필터링 경고를 건너뛰고 관심 있는 리소스로 이동할 수 있도록 하는 설정이 자동으로 추가됩니다. 방지를 사용하면 이 설정을 제거할 수 있으며 사용자는 금지된 사이트에 접근할 수 없게 됩니다. 금지된 리소스를 제어하는 ​​또 다른 편리한 방법은 도메인, IP 주소를 지정하거나 차단할 도메인 목록이 포함된 .csv 파일을 업로드할 수 있는 차단 목록을 설정하는 것입니다.

URL 필터링의 표준 정책에서 작업은 감지로 설정되고 이벤트가 감지되는 보안 카테고리가 하나 선택됩니다. 이 카테고리에는 다양한 익명 서비스, 위험 수준이 심각/높음/중간인 사이트, 피싱 사이트, 스팸 등이 포함됩니다. 그러나 "사용자가 URL 필터링 경고를 해제하고 웹 사이트에 액세스할 수 있도록 허용" 설정 덕분에 사용자는 계속해서 리소스에 액세스할 수 있습니다.

다운로드(웹) 보호
에뮬레이션 및 추출을 사용하면 Check Point 클라우드 샌드박스에서 다운로드한 파일을 에뮬레이션하고 즉시 문서를 정리하여 잠재적인 악성 콘텐츠를 제거하거나 문서를 PDF로 변환할 수 있습니다. 세 가지 작동 모드가 있습니다:

• 방지 — 최종 에뮬레이션 결과가 나오기 전에 정리된 문서의 사본을 얻거나 에뮬레이션이 완료될 때까지 기다렸다가 원본 파일을 즉시 다운로드할 수 있습니다.

• 감지 — 판정에 관계없이 사용자가 원본 파일을 수신하는 것을 방해하지 않고 백그라운드에서 에뮬레이션을 수행합니다.

• 떨어져서 — 잠재적인 악성 구성 요소를 에뮬레이션하고 정리하지 않고도 모든 파일을 다운로드할 수 있습니다.

Check Point 에뮬레이션 및 정리 도구에서 지원하지 않는 파일에 대한 작업을 선택할 수도 있습니다. 지원되지 않는 모든 파일의 다운로드를 허용하거나 거부할 수 있습니다.

다운로드 보호의 표준 정책은 방지로 설정되어 잠재적으로 악성 콘텐츠가 제거된 원본 문서의 복사본을 얻을 수 있을 뿐만 아니라 에뮬레이션 및 정리 도구에서 지원하지 않는 파일의 다운로드도 허용합니다.

자격 증명 보호
자격 증명 보호 구성 요소는 사용자 자격 증명을 보호하며 제로 피싱 및 비밀번호 보호라는 2가지 구성 요소를 포함합니다. 피싱 제로 사용자가 피싱 리소스에 액세스하지 못하도록 보호합니다. 암호 보호 보호된 도메인 외부에서 회사 자격 증명을 사용할 수 없음을 사용자에게 알립니다. 제로 피싱은 예방, 감지 또는 끄기로 설정할 수 있습니다. 방지 작업이 설정되면 사용자가 잠재적인 피싱 리소스에 대한 경고를 무시하고 리소스에 대한 액세스 권한을 얻도록 허용하거나 이 옵션을 비활성화하고 액세스를 영구적으로 차단할 수 있습니다. 감지 작업을 사용하면 사용자는 항상 경고를 무시하고 리소스에 액세스할 수 있습니다. 비밀번호 보호를 사용하면 비밀번호의 준수 여부를 확인할 보호된 도메인을 선택하고 감지 및 경고(사용자에게 알림), 감지 또는 끄기의 세 가지 작업 중 하나를 선택할 수 있습니다.

자격 증명 보호의 표준 정책은 피싱 리소스로 인해 사용자가 잠재적으로 악의적인 사이트에 액세스하지 못하도록 방지하는 것입니다. 회사 비밀번호 사용에 대한 보호도 활성화되어 있지만 지정된 도메인이 없으면 이 기능이 작동하지 않습니다.

파일 보호
파일 보호는 사용자 컴퓨터에 저장된 파일을 보호하는 역할을 하며 맬웨어 방지 및 파일 위협 에뮬레이션이라는 두 가지 구성 요소를 포함합니다. 안티 - 멀웨어 서명 분석을 사용하여 모든 사용자 및 시스템 파일을 정기적으로 검사하는 도구입니다. 이 구성 요소의 설정에서는 정기 검사 또는 무작위 검사 시간, 서명 업데이트 기간 및 사용자가 예약 검사를 취소하는 기능에 대한 설정을 구성할 수 있습니다. 파일 위협 에뮬레이션 Check Point 클라우드 샌드박스에서 사용자 컴퓨터에 저장된 파일을 에뮬레이션할 수 있습니다. 그러나 이 보안 기능은 감지 모드에서만 작동합니다.

파일 보호의 표준 정책에는 맬웨어 방지를 통한 보호와 파일 위협 에뮬레이션을 통한 악성 파일 탐지가 포함됩니다. 정기 검사는 매달 수행되며 사용자 컴퓨터의 서명은 4시간마다 업데이트됩니다. 동시에 사용자는 예약된 검사를 취소할 수 있도록 구성되지만 마지막 검사가 성공한 날짜로부터 30일 이내에는 가능합니다.

행동 보호

안티봇, 행동 보호 및 랜섬웨어 방지, 악용 방지
보호 구성 요소의 동작 보호 그룹에는 안티봇, 동작 보호 및 랜섬웨어 방지, 악용 방지라는 세 가지 구성 요소가 포함됩니다. 안티 봇 지속적으로 업데이트되는 Check Point ThreatCloud 데이터베이스를 사용하여 C&C 연결을 모니터링하고 차단할 수 있습니다. 행동 보호 및 랜섬웨어 방지 사용자 컴퓨터의 활동(파일, 프로세스, 네트워크 상호 작용)을 지속적으로 모니터링하고 초기 단계에서 랜섬웨어 공격을 방지할 수 있습니다. 또한 이 보호 요소를 사용하면 악성 코드에 의해 이미 암호화된 파일을 복원할 수 있습니다. 파일은 원래 디렉터리로 복원되거나, 복구된 모든 파일이 저장될 특정 경로를 지정할 수 있습니다. 악용 방지 제로데이 공격을 탐지할 수 있습니다. 모든 행동 보호 구성 요소는 예방, 탐지, 끄기의 세 가지 작동 모드를 지원합니다.

행동 보호에 대한 표준 정책은 Anti-Bot 방지, 행동 보호 및 Anti-Ransomware 구성 요소를 제공하고 암호화된 파일을 원래 디렉터리에 복원합니다. 악용 방지 구성 요소가 비활성화되어 사용되지 않습니다.

분석 및 해결

자동화된 공격 분석(포렌식), 교정 및 대응
보안 사고 분석 및 조사에는 자동 공격 분석(포렌식)과 교정 및 대응이라는 두 가지 보안 구성 요소를 사용할 수 있습니다. 자동 공격 분석(포렌식) 사용자 컴퓨터에서 악성 코드를 실행하는 프로세스를 분석하는 것까지 자세한 설명과 함께 공격을 방어한 결과에 대한 보고서를 생성할 수 있습니다. 사전 정의되거나 생성된 필터를 사용하여 이상 현상 및 잠재적으로 악의적인 동작을 사전에 검색할 수 있는 Threat Hunting 기능을 사용할 수도 있습니다. 해결 및 대응 공격 후 파일의 복구 및 격리에 대한 설정을 구성할 수 있습니다. 격리 파일과의 사용자 상호 작용이 규제되며 격리된 파일을 관리자가 지정한 디렉터리에 저장할 수도 있습니다.

표준 분석 및 교정 정책에는 복구를 위한 자동 작업(프로세스 종료, 파일 복원 등)을 포함하는 보호가 포함되어 있으며 파일을 격리로 보내는 옵션이 활성화되어 있으며 사용자는 격리에서 파일을 삭제할 수만 있습니다.

표준 위협 예방 정책: 테스트

체크포인트 CheckMe 엔드포인트

가장 널리 사용되는 유형의 공격에 대해 사용자 시스템의 보안을 확인하는 가장 빠르고 쉬운 방법은 리소스를 사용하여 테스트를 수행하는 것입니다. 체크포인트 체크미, 다양한 범주의 일반적인 공격을 수행하고 테스트 결과에 대한 보고서를 얻을 수 있습니다. 이 경우 실행 파일을 다운로드하여 컴퓨터에 실행한 후 확인 프로세스가 시작되는 엔드포인트 테스트 옵션이 사용되었습니다.

작동 중인 컴퓨터의 보안을 확인하는 과정에서 SandBlast Agent는 사용자 컴퓨터에서 식별되고 반영된 공격에 대해 신호를 보냅니다. 예를 들어 Anti-Bot 블레이드는 감염 감지를 보고하고 Anti-Malware 블레이드는 해당 공격을 감지하고 삭제했습니다. 악성 파일 CP_AM.exe와 위협 에뮬레이션 블레이드가 설치되어 CP_ZD.exe 파일이 악성인 것으로 나타났습니다.

CheckMe Endpoint를 사용한 테스트 결과에 따르면 다음과 같은 결과가 나왔습니다. 6개 공격 범주 중 표준 위협 예방 정책은 브라우저 공격이라는 단 하나의 범주에만 대처하지 못했습니다. 이는 표준 위협 예방 정책에 악용 방지 블레이드가 포함되어 있지 않기 때문입니다. SandBlast Agent를 설치하지 않으면 사용자의 컴퓨터가 랜섬웨어 범주에서만 검사를 통과했다는 점은 주목할 가치가 있습니다.

KnowBe4 RanSim

Anti-Ransomware 블레이드의 작동을 테스트하려면 무료 솔루션을 사용할 수 있습니다. KnowBe4 RanSim, 사용자 컴퓨터에서 18개의 랜섬웨어 감염 시나리오와 1개의 크립토마이너 감염 시나리오 등 일련의 테스트를 실행합니다. 예방 작업이 포함된 표준 정책(위협 에뮬레이션, 맬웨어 방지, 행동 감시)에 많은 블레이드가 있으면 이 테스트가 올바르게 실행되지 않는다는 점은 주목할 가치가 있습니다. 그러나 보안 수준이 낮아진 경우에도(오프 모드의 위협 에뮬레이션) 안티랜섬웨어 블레이드 테스트는 높은 결과를 보여줍니다. 18개 테스트 중 19개 테스트가 성공적으로 통과되었습니다(1개는 시작 실패).

악성 파일 및 문서

사용자 컴퓨터에 다운로드된 널리 사용되는 형식의 악성 파일을 사용하여 표준 위협 예방 정책의 다양한 블레이드 작동을 확인하는 것이 좋습니다. 이 테스트에는 PDF, DOC, DOCX, EXE, XLS, XLSX, CAB, RTF 형식의 66개 파일이 포함되었습니다. 테스트 결과, SandBlast Agent는 악성 파일 64개 중 66개를 차단할 수 있는 것으로 나타났습니다. 감염된 파일은 다운로드 후 삭제하거나 Threat Extraction을 사용하여 악성 콘텐츠를 삭제한 후 사용자에게 수신했습니다.

위협 예방 정책 개선을 위한 권장 사항

1. URL 필터링

클라이언트 컴퓨터의 보안 수준을 높이기 위해 표준 정책에서 가장 먼저 수정해야 할 사항은 URL 필터링 블레이드를 방지로 전환하고 차단에 적합한 범주를 지정하는 것입니다. 우리의 경우 일반 사용을 제외한 모든 범주가 ​​선택되었습니다. 왜냐하면 작업장에서 사용자의 접근을 제한하는 데 필요한 대부분의 리소스가 포함되어 있기 때문입니다. 또한 이러한 사이트의 경우 "사용자가 URL 필터링 경고를 해제하고 웹 사이트에 액세스하도록 허용" 매개변수를 선택 취소하여 사용자가 경고 창을 건너뛸 수 있는 기능을 제거하는 것이 좋습니다.

2. 다운로드 보호

주목할만한 두 번째 옵션은 사용자가 Check Point 에뮬레이션에서 지원하지 않는 파일을 다운로드할 수 있는 기능입니다. 이 섹션에서는 보안 관점에서 표준 위협 예방 정책의 개선 사항을 살펴보고 있으므로 가장 좋은 옵션은 지원되지 않는 파일의 다운로드를 차단하는 것입니다.

3. 파일 보호

또한 파일 보호 설정, 특히 정기 검사 설정 및 사용자가 강제 검사를 연기할 수 있는 기능에도 주의를 기울여야 합니다. 이 경우 사용자의 시간대를 고려해야 하며, 보안 및 성능 관점에서 좋은 옵션은 강제 검사를 매일 실행하고 시간을 무작위로 선택하여(00:00부터 8:00까지) 구성하는 것입니다. XNUMX), 사용자는 최대 XNUMX주일 동안 검사를 연기할 수 있습니다.

4. 악용 방지

표준 위협 예방 정책의 중요한 단점은 악용 방지 블레이드가 비활성화된다는 것입니다. 익스플로잇을 사용한 공격으로부터 워크스테이션을 보호하려면 방지 작업으로 이 블레이드를 활성화하는 것이 좋습니다. 이 수정 사항을 사용하면 사용자의 프로덕션 시스템에서 취약점을 감지하지 않고 CheckMe 재테스트가 성공적으로 완료됩니다.

결론

요약하자면, 이 문서에서는 표준 위협 예방 정책의 구성 요소에 대해 알아보고, 다양한 방법과 도구를 사용하여 이 정책을 테스트했으며, 사용자 컴퓨터의 보안 수준을 높이기 위해 표준 정책의 설정을 개선하기 위한 권장 사항도 설명했습니다. . 시리즈의 다음 기사에서는 데이터 보호 정책을 연구하고 글로벌 정책 설정을 살펴보겠습니다.

TS솔루션의 체크포인트 소재 다양한 선택. SandBlast 에이전트 관리 플랫폼 주제에 대한 다음 간행물을 놓치지 않으려면 당사 소셜 네트워크의 업데이트를 따르십시오(텔레그램, 페이스북, VK, TS 솔루션 블로그, Yandex.Dzena).

출처 : habr.com