5. 체크포인트 SandBlast 에이전트 관리 플랫폼. 로그, 보고서 및 포렌식. 위협 사냥

Check Point SandBlast 에이전트 관리 플랫폼 솔루션에 관한 시리즈의 다섯 번째 기사에 오신 것을 환영합니다. 이전 기사는 해당 링크를 따라가면 찾을 수 있습니다. 처음으로, 초, 제, 네번째. 오늘은 로그, 대화형 대시보드(보기) 및 보고서 작업과 같은 관리 플랫폼의 모니터링 기능을 살펴보겠습니다. 또한 사용자 컴퓨터의 현재 위협과 변칙 이벤트를 식별하기 위해 Threat Hunting이라는 주제를 다룰 것입니다.

로그

보안 이벤트 모니터링을 위한 정보의 주요 소스는 각 사건에 대한 자세한 정보를 표시하고 편리한 필터를 사용하여 검색 기준을 구체화할 수 있는 로그 섹션입니다. 예를 들어 관심 있는 로그의 매개변수(Blade, Action, Severity 등)를 마우스 오른쪽 버튼으로 클릭하면 이 매개변수를 다음과 같이 필터링할 수 있습니다. 필터: "매개변수" 또는 필터링: "매개변수". 또한 Source 매개변수의 경우 IP 도구 옵션을 선택할 수 있습니다. 여기서는 지정된 IP 주소/이름에 대해 ping을 실행하거나 nslookup을 실행하여 이름별로 소스 IP 주소를 얻을 수 있습니다.

로그 섹션에는 이벤트 필터링을 위해 모든 매개변수에 대한 통계를 표시하는 통계 하위 섹션이 있습니다. 즉, 로그 수와 각 매개변수에 대한 백분율이 포함된 시간 다이어그램이 표시됩니다. 이 하위 섹션에서는 검색 창을 사용하거나 필터링 표현식을 작성하지 않고도 쉽게 로그를 필터링할 수 있습니다. 관심 있는 매개변수를 선택하기만 하면 새 로그 목록이 즉시 표시됩니다.

각 로그에 대한 자세한 정보는 로그 섹션의 오른쪽 패널에서 확인할 수 있지만, 내용을 분석하려면 더블클릭하여 로그를 여는 것이 더 편리합니다. 다음은 감염된 ".docx" 파일에 대한 위협 에뮬레이션 블레이드의 방지 작업 트리거에 대한 자세한 정보를 표시하는 로그의 예(그림을 클릭할 수 있음)입니다. 로그에는 트리거된 정책 및 보호, 포렌식 세부 정보, 클라이언트 및 트래픽에 대한 정보 등 보안 이벤트의 세부 정보를 표시하는 여러 하위 섹션이 있습니다. 로그에서 제공되는 보고서인 위협 에뮬레이션 보고서 및 포렌식 보고서에는 특별한 주의가 필요합니다. 이러한 보고서는 SandBlast Agent 클라이언트에서도 열 수 있습니다.

위협 에뮬레이션 보고서

위협 에뮬레이션 블레이드를 사용하는 경우 Check Point 클라우드에서 에뮬레이션이 수행된 후 에뮬레이션 결과에 대한 자세한 보고서인 위협 에뮬레이션 보고서에 대한 링크가 해당 로그에 나타납니다. 그러한 보고서의 내용은 다음 기사에 자세히 설명되어 있습니다. Check Point SandBlast Network 포렌식을 사용한 악성 코드 분석. 이 보고서는 대화형이며 각 섹션의 세부 정보를 "자세히 살펴볼" 수 있다는 점은 주목할 가치가 있습니다. 또한 가상머신에서 에뮬레이션 과정의 녹화본을 볼 수 있고, 원본 악성 파일을 다운로드하거나 해당 해시를 얻을 수 있으며, 체크포인트 사고대응팀에 문의할 수도 있습니다.

법의학 보고서

거의 모든 보안 이벤트에 대해 악성 파일에 대한 자세한 정보(해당 특성, 활동, 시스템 진입점, 중요한 회사 자산에 미치는 영향)가 포함된 포렌식 보고서가 생성됩니다. 우리는 기사에서 보고서의 구조에 대해 자세히 논의했습니다. Check Point SandBlast Agent 포렌식을 사용한 악성 코드 분석. 이러한 신고는 보안 사건 조사 시 중요한 정보 출처가 되며, 필요한 경우 신고 내용을 체크포인트 사고대응팀에 즉시 전달할 수 있습니다.

SmartView

Check Point SmartView는 동적 대시보드(View)와 PDF 형식의 보고서를 생성하고 볼 수 있는 편리한 도구입니다. SmartView에서는 관리자를 위한 사용자 로그 및 감사 이벤트도 볼 수 있습니다. 아래 그림은 SandBlast Agent 작업에 가장 유용한 보고서와 대시보드를 보여줍니다.

SmartView의 보고서는 일정 기간 동안 발생한 사건에 대한 통계 정보를 담은 문서입니다. SmartView가 열려 있는 시스템에 PDF 형식의 보고서를 업로드하는 것은 물론 관리자의 이메일에 PDF/Excel로 정기적으로 업로드하는 기능도 지원합니다. 또한 보고서 템플릿 가져오기/내보내기, 자체 보고서 생성, 보고서에서 사용자 이름을 숨기는 기능도 지원합니다. 아래 그림은 내장된 위협 예방 보고서의 예를 보여줍니다.

SmartView의 대시보드(보기)를 통해 관리자는 해당 이벤트에 대한 로그에 액세스할 수 있습니다. 차트 열이나 악성 파일 이름 등 관심 있는 개체를 두 번 클릭하기만 하면 됩니다. 보고서와 마찬가지로 자신만의 대시보드를 만들고 사용자 데이터를 숨길 수 있습니다. 대시보드는 또한 템플릿 가져오기/내보내기, 관리자 이메일에 PDF/Excel로 정기적으로 업로드, 자동 데이터 업데이트를 지원하여 보안 이벤트를 실시간으로 모니터링합니다.

추가 모니터링 섹션

개요, 컴퓨터 관리, 엔드포인트 설정 및 푸시 작업 섹션을 언급하지 않으면 관리 플랫폼의 모니터링 도구에 대한 설명이 불완전합니다. 이러한 섹션은 다음 항목에 자세히 설명되어 있습니다. 두 번째 기사그러나 모니터링 문제를 해결하기 위한 능력을 고려하는 것이 유용할 것입니다. 보호된 사용자 컴퓨터의 상태와 보안 이벤트에 대한 정보가 포함된 대시보드인 운영 개요와 보안 개요라는 두 개의 하위 섹션으로 구성된 개요부터 시작해 보겠습니다. 다른 대시보드와 상호 작용할 때와 마찬가지로 운영 개요 및 보안 개요 하위 섹션에서 관심 있는 매개 변수를 두 번 클릭하면 선택한 필터(예: "데스크톱" 또는 "사전")가 있는 컴퓨터 관리 섹션으로 이동할 수 있습니다. 부팅 상태: 활성화됨”) 또는 특정 이벤트에 대한 로그 섹션으로 이동하세요. 보안 개요 하위 섹션은 "사이버 공격 보기 - 엔드포인트" 대시보드로, 데이터를 자동으로 업데이트하도록 사용자 정의하고 설정할 수 있습니다.

컴퓨터 관리 섹션에서는 사용자 컴퓨터의 에이전트 상태, 맬웨어 방지 데이터베이스의 업데이트 상태, 디스크 암호화 단계 등을 모니터링할 수 있습니다. 모든 데이터는 자동으로 업데이트되며 각 필터에 대해 일치하는 사용자 컴퓨터의 비율이 표시됩니다. CSV 형식으로 컴퓨터 데이터를 내보내는 것도 지원됩니다.

워크스테이션 보안 모니터링의 중요한 측면은 중요한 이벤트(경고)에 대한 알림을 설정하고 회사 로그 서버에 저장할 로그(이벤트 내보내기)를 내보내는 것입니다. 두 가지 설정 모두 엔드포인트 설정 섹션에서 이루어지며, 알림 메일 서버를 연결하여 관리자에게 이벤트 알림을 보내고 이벤트 기준을 충족하는 장치의 비율/수에 따라 알림 트리거/비활성화에 대한 임계값을 구성할 수 있습니다. 수출 이벤트 추가 처리를 위해 관리 플랫폼에서 회사의 로그 서버로 로그 전송을 구성할 수 있습니다. SYSLOG, CEF, LEEF, SPLUNK 형식, TCP/UDP 프로토콜, syslog 에이전트가 실행 중인 모든 SIEM 시스템, TLS/SSL 암호화 사용 및 syslog 클라이언트 인증을 지원합니다.

에이전트의 이벤트에 대한 심층 분석을 위해 또는 기술 지원에 문의하는 경우 푸시 작업 섹션에서 강제 작업을 사용하여 SandBlast 에이전트 클라이언트에서 로그를 빠르게 수집할 수 있습니다. 로그와 함께 생성된 아카이브를 Check Point 서버 또는 기업 서버로 전송하도록 구성할 수 있으며, 로그가 있는 아카이브는 사용자 컴퓨터의 C:UsersusernameCPInfo 디렉터리에 저장됩니다. 지정된 시간에 로그 수집 프로세스를 시작하고 사용자가 작업을 연기하는 기능을 지원합니다.

위협 사냥

Threat Hunting은 잠재적인 보안 이벤트를 추가로 조사하기 위해 시스템에서 악의적인 활동과 비정상적인 동작을 사전에 검색하는 데 사용됩니다. 관리 플랫폼의 Threat Hunting 섹션을 사용하면 사용자 머신 데이터에서 지정된 매개변수를 사용하여 이벤트를 검색할 수 있습니다.

Threat Hunting 도구에는 사전 정의된 몇 가지 쿼리가 있습니다. 예를 들어 악성 도메인이나 파일을 분류하고 특정 IP 주소에 대한 드문 요청을 추적합니다(일반 통계와 관련하여). 요청 구조는 세 가지 매개변수로 구성됩니다. 지시자 (네트워크 프로토콜, 프로세스 식별자, 파일 형식 등) 연산자 (“이다”, “같지 않다”, “포함한다”, “다음 중 하나” 등) 및 요청 본문. 요청 본문에 정규식을 사용할 수 있으며 검색창에서 여러 필터를 동시에 사용할 수 있습니다.

필터를 선택하고 요청 처리를 완료한 후에는 모든 관련 이벤트에 액세스할 수 있으며, 이벤트에 대한 자세한 정보를 보고, 요청 개체를 격리하거나, 이벤트 설명이 포함된 자세한 포렌식 보고서를 생성할 수 있습니다. 현재 이 도구는 베타 버전이며 앞으로 Mitre Att&ck 매트릭스 형식으로 이벤트에 대한 정보를 추가하는 등 기능 세트를 확장할 계획입니다.

결론

요약하자면, 이 기사에서는 SandBlast 에이전트 관리 플랫폼에서 보안 이벤트를 모니터링하는 기능을 살펴보고 사용자 컴퓨터에서 악의적인 활동과 이상 현상을 사전에 검색하기 위한 새로운 도구인 Threat Hunting을 연구했습니다. 다음 기사는 이 시리즈의 마지막 기사가 될 것이며 이 기사에서는 관리 플랫폼 솔루션에 대해 가장 자주 묻는 질문을 살펴보고 이 제품을 테스트할 수 있는 가능성에 대해 이야기할 것입니다.

TS솔루션의 체크포인트 소재 다양한 선택. SandBlast 에이전트 관리 플랫폼 주제에 대한 다음 간행물을 놓치지 않으려면 당사 소셜 네트워크의 업데이트를 따르십시오(텔레그램, 페이스북, VK, TS 솔루션 블로그, Yandex.Dzena).

출처 : habr.com