1. Анализа на малициозен софтвер користејќи форензика на Check Point. SandBlast мрежа

Добредојдовте во нова серија написи, овој пат на тема истрага за инциденти, имено анализа на малициозен софтвер со помош на форензика на Check Point. Ние претходно објавивме неколку видео лекции за работа во Smart Event, но овој пат ќе ги разгледаме извештаите од форензиката за конкретни настани во различни производи на Check Point:

• SandBlast мрежа
• SandBlast агент
• SandBlast Mobile
• CloudGuard SaaS

Зошто е важна форензиката за спречување инциденти? Се чини дека сте го фатиле вирусот, веќе е добро, зошто да се справите со него? Како што покажува практиката, препорачливо е не само да се блокира нападот, туку и да се разбере точно како функционира: која беше влезната точка, каква ранливост се користеше, кои процеси се вклучени, дали се засегнати регистарот и датотечен систем, кое семејство на вируси, каква потенцијална штета итн. Овој и други корисни податоци може да се добијат од сеопфатните форензички извештаи на Check Point (и текстуални и графички). Многу е тешко да се добие таков извештај рачно. Овие податоци потоа можат да помогнат да се преземат соодветни мерки и да се спречи успехот на слични напади во иднина. Денес ќе го разгледаме извештајот за форензика на Check Point SandBlast Network.

SandBlast мрежа

Употребата на песочни кутии за зајакнување на заштитата на мрежниот периметар одамна е вообичаена и е задолжителна компонента како IPS. Во Check Point, сечилото Threat Emulation, кое е дел од SandBlast технологиите (има и Threat Extraction), е одговорно за функционалноста на sandbox. Веќе објавивме претходно мал курс за Check Point SandBlast исто така и за верзијата Gaia 77.30 (топло препорачувам да ја гледате ако не разбирате за што зборуваме сега). Од архитектонска гледна точка, оттогаш ништо суштински не се променило. Ако имате Check Point Gateway на периметарот на вашата мрежа, тогаш можете да користите две опции за интеграција со песокот:

1. Локален апарат SandBlast — на вашата мрежа е инсталиран дополнителен SandBlast апарат, на кој датотеките се испраќаат на анализа.
2. Облак SandBlast — датотеките се испраќаат на анализа во облакот Check Point.

Песокот може да се смета за последна линија на одбрана на периметарот на мрежата. Се поврзува само по анализа со класични средства - антивирус, IPS. И ако таквите традиционални алатки за потпис не обезбедуваат практично никаква аналитика, тогаш песокот може детално да „каже“ зошто датотеката е блокирана и што точно злонамерно прави. Овој форензички извештај може да се добие и од локално и од облак песок.

Извештај за форензика за проверка на точката

Да речеме дека вие, како специјалист за безбедност на информации, дојдовте на работа и отворивте контролна табла во SmartConsole. Веднаш гледате инциденти во последните 24 часа и вашето внимание го привлекуваат настаните за емулација на закани - најопасните напади кои не беа блокирани со анализа на потпис.

Можете да ги „продлабочите“ овие настани и да ги видите сите дневници за сечилото за емулација на закани.

После ова, можете дополнително да ги филтрирате дневниците по ниво на критичност на заканата (Сериозност), како и по ниво на доверба (сигурност на одговорот):

Откако го проширивме настанот за кој сме заинтересирани, можеме да се запознаеме со општите информации (src, dst, сериозност, испраќач итн.):

И таму можете да го видите делот Forensics со достапни Резиме извештај. Со кликнување на него ќе се отвори детална анализа на малициозниот софтвер во форма на интерактивна HTML страница:

(Ова е дел од страницата. Оригиналот може да се види овде)

Од истиот извештај, можеме да го преземеме оригиналниот малициозен софтвер (во архива заштитена со лозинка) или веднаш да контактираме со тимот за одговор на Check Point.

Веднаш подолу можете да видите прекрасна анимација која во проценти покажува кој веќе познат злонамерен код го има заедничко нашиот пример (вклучувајќи го самиот код и макроата). Овие аналитики се испорачуваат со користење на машинско учење во Облакот за закана за проверка на точката.

Потоа можете да видите точно кои активности во песокот ни овозможија да заклучиме дека оваа датотека е злонамерна. Во овој случај, гледаме употреба на техники за бајпас и обид за преземање откупни софтвери:

Може да се забележи дека во овој случај, емулацијата беше спроведена во два системи (Win 7, Win XP) и различни верзии на софтвер (Office, Adobe). Подолу има видео (слајд шоу) со процесот на отворање на оваа датотека во песокот:

Пример видео:

На самиот крај можеме детално да видиме како се развивал нападот. Или во табеларна форма или графички:

Таму можеме да ги преземеме овие информации во формат RAW и датотека pcap за детална аналитика на генерираниот сообраќај во Wireshark:

Заклучок

Користејќи ги овие информации, можете значително да ја зајакнете заштитата на вашата мрежа. Блокирајте ги домаќините на дистрибуција на вируси, затворете ги експлоатираните пропусти, блокирајте ги можните повратни информации од C&C и многу повеќе. Оваа анализа не треба да се занемари.

Во следните статии, на сличен начин ќе ги разгледаме извештаите на SandBlast Agent, SnadBlast Mobile, како и CloudGiard SaaS. Затоа останете во тек (Телеграма, Facebook, VK, Блог за TS Solution)!

Извор: www.habr.com