3. Платформа за управување со агенти за проверка на точката SandBlast. Политика за превенција од закани

Добредојдовте во третата статија од серијата за новата конзола за управување со заштита на персонален компјутер базирана на облак - Check Point SandBlast Agent Management Platform. Да ве потсетам дека во првата статија се запознавме со Infinity порталот и создадовме услуга за управување со агенти базирана на облак, услуга за управување со крајна точка. Во втората статија Го проучувавме интерфејсот на конзолата за управување со веб и инсталиравме агент со стандардна политика на корисничката машина. Денес ќе ја разгледаме содржината на стандардната безбедносна политика за спречување закани и ќе ја тестираме нејзината ефикасност во спротивставувањето на популарните напади.

Стандардна политика за спречување закани: Опис

Сликата погоре покажува стандардно правило за политика за спречување закани, кое стандардно се применува на целата организација (сите инсталирани агенти) и вклучува три логички групи на компоненти за заштита: Заштита на веб и датотеки, Заштита на однесување и Анализа и санација. Ајде внимателно да ја разгледаме секоја од групите.

Заштита на веб и датотеки

Филтрирање URL
Филтрирањето на URL-то ви овозможува да го контролирате корисничкиот пристап до веб-ресурсите, користејќи предефинирани 5 категории на сајтови. Секоја од 5-те категории содржи неколку поспецифични подкатегории, што ви овозможува да конфигурирате, на пример, да го блокирате пристапот до поткатегоријата Игри и да дозволите пристап до поткатегоријата за инстант пораки, кои се вклучени во истата категорија за загуба на продуктивност. URL-адресите поврзани со одредени подкатегории се одредуваат со Check Point. Можете да ја проверите категоријата на која припаѓа одредена URL адреса или да побарате отфрлање на категоријата на посебен ресурс Категоризација на URL-то.
Дејството може да се постави на Спречи, Откриј или Исклучено. Исто така, при изборот на дејството Откриј, автоматски се додава поставка што им овозможува на корисниците да го прескокнат предупредувањето за филтрирање URL и да одат до ресурсот на интерес. Ако се користи Prevent, оваа поставка може да се отстрани и корисникот нема да може да пристапи до забранетата локација. Друг пригоден начин за контрола на забранетите ресурси е да поставите Список за блокирање, во кој можете да наведете домени, IP адреси или да испратите датотека .csv со список на домени што треба да се блокираат.

Во стандардната политика за филтрирање URL, дејството е поставено на Откриј и се избира една категорија - Безбедност, за која ќе се откриваат настани. Оваа категорија вклучува различни анонимизатори, страници со критично/високо/средно ниво на ризик, сајтови за фишинг, спам и многу повеќе. Сепак, корисниците сепак ќе можат да пристапат до ресурсот благодарение на поставката „Дозволи корисникот да го отфрли предупредувањето за филтрирање URL и пристап до веб-локацијата“.

Преземи (веб) Заштита
Емулација и екстракција ви овозможува да ги емулирате преземените датотеки во полето за облак Check Point и да ги чистите документите веднаш, отстранувајќи ја потенцијално злонамерната содржина или претворајќи го документот во PDF. Постојат три режими на работа:

• Спречи — ви овозможува да добиете копија од исчистениот документ пред конечната пресуда за емулација или да чекате да заврши емулацијата и веднаш да ја преземете оригиналната датотека;

• Откријте — врши емулација во позадина, без да го спречи корисникот да ја добие оригиналната датотека, без оглед на пресудата;

• Исклучување — на сите датотеки им е дозволено да се преземаат без да се изврши емулација и чистење на потенцијално злонамерни компоненти.

Исто така, можно е да изберете дејство за датотеки што не се поддржани од алатките за емулација и чистење на Check Point - можете да дозволите или одбиете преземање на сите неподдржани датотеки.

Стандардната политика за заштита од преземање е поставена на Спречи, што ви овозможува да добиете копија од оригиналниот документ што е исчистен од потенцијално злонамерна содржина, како и да дозволите преземање датотеки што не се поддржани од алатки за емулација и чистење.

Заштита на акредитиви
Компонентата за заштита на акредитиви ги заштитува корисничките акредитиви и вклучува 2 компоненти: Нулта фишинг и заштита со лозинка. Нулта фишинг ги штити корисниците од пристап до ресурсите за фишинг, и Лозинка за заштита на го известува корисникот за неприфатливоста на користење на корпоративни акредитиви надвор од заштитениот домен. Нулта фишинг може да се постави на Спречување, Откривање или Исклучено. Кога е поставено дејството Спречи, можно е да им се дозволи на корисниците да го игнорираат предупредувањето за потенцијален ресурс за фишинг и да добијат пристап до ресурсот или да ја оневозможат оваа опција и да го блокираат пристапот засекогаш. Со акцијата Detect, корисниците секогаш имаат можност да го игнорираат предупредувањето и да пристапат до ресурсот. Заштита со лозинка ви овозможува да изберете заштитени домени за кои лозинките ќе се проверуваат за усогласеност и едно од трите дејства: Откриј и предупредување (известување на корисникот), Откриј или Исклучено.

Стандардна политика за заштита на акредитиви е да се спречат какви било ресурси за фишинг да ги спречат корисниците да пристапат до потенцијално злонамерна локација. Овозможена е и заштита од употреба на корпоративни лозинки, но без наведените домени оваа функција нема да работи.

Заштита на датотеки
Заштита на датотеки е одговорна за заштита на датотеките складирани на машината на корисникот и вклучува две компоненти: Анти-Малвер и Емулација на закани за датотеки. Анти-малициозен софтвер е алатка која редовно ги скенира сите кориснички и системски датотеки користејќи анализа на потпис. Во поставките на оваа компонента, можете да ги конфигурирате поставките за редовно скенирање или случајно време на скенирање, периодот на ажурирање на потписот и можноста корисниците да го откажат закажаното скенирање. Емулација на закани за датотеки ви овозможува да емулирате датотеки складирани на машината на корисникот во полето за облак Check Point, меѓутоа, оваа безбедносна карактеристика работи само во режимот Откривање.

Стандардната политика за заштита на датотеки вклучува заштита со Anti-Malware и откривање на малициозни датотеки со емулација на закани за датотеки. Редовното скенирање се врши секој месец, а потписите на корисничката машина се ажурираат на секои 4 часа. Во исто време, корисниците се конфигурирани да можат да откажат закажано скенирање, но не подоцна од 30 дена од датумот на последното успешно скенирање.

Заштита на однесувањето

Анти-бот, чувар на однесување и анти-откуп, анти-експлоит
Групата заштитни компоненти за заштита на однесувањето вклучува три компоненти: Анти-Бот, чувар на однесување и анти-откуп и Анти-експлоит. Анти-бот ви овозможува да ги следите и блокирате C&C врските користејќи ја постојано ажурираната база на податоци Check Point ThreatCloud. Чувар за однесување и анти-откуп постојано ја следи активноста (датотеки, процеси, мрежни интеракции) на корисничката машина и ви овозможува да спречите напади на откупни софтвери во почетните фази. Покрај тоа, овој заштитен елемент ви овозможува да ги вратите датотеките што веќе се шифрирани од малициозен софтвер. Датотеките се враќаат во нивните оригинални директориуми или можете да наведете одредена патека каде што ќе се складираат сите обновени датотеки. Анти-експлоит ви овозможува да откриете напади од нула ден. Сите компоненти за заштита на однесувањето поддржуваат три режими на работа: Спречи, Откриј и Исклучено.

Стандардната политика за заштита на однесувањето обезбедува Превенција за компонентите Anti-Bot и Behavioral Guard & Anti-Ransomware, со обновување на шифрирани датотеки во нивните оригинални директориуми. Компонентата Anti-Exploit е оневозможена и не се користи.

Анализа и санација

Автоматска анализа на напади (форензика), санација и одговор
Две безбедносни компоненти се достапни за анализа и истрага на безбедносни инциденти: Автоматска анализа на напади (форензика) и санација и одговор. Автоматска анализа на напади (форензика) ви овозможува да генерирате извештаи за резултатите од одбивањето напади со детален опис - сè до анализа на процесот на извршување на малициозен софтвер на машината на корисникот. Исто така, можно е да се користи функцијата Threat Hunting, која овозможува проактивно пребарување за аномалии и потенцијално злонамерно однесување користејќи претходно дефинирани или креирани филтри. Ремедијација и одговор ви овозможува да ги конфигурирате поставките за обновување и карантин на датотеки по напад: интеракцијата на корисникот со карантинските датотеки е регулирана, а исто така е можно да се складираат карантинските датотеки во директориумот наведен од администраторот.

Стандардната политика за анализа и ремедијација вклучува заштита, која вклучува автоматски дејства за обновување (завршување процеси, обновување датотеки итн.), а опцијата за испраќање датотеки во карантин е активна, а корисниците можат да бришат само датотеки од карантин.

Стандардна политика за превенција од закани: Тестирање

Check Point CheckMe крајна точка

Најбрзиот и најлесниот начин да се провери безбедноста на машината на корисникот од најпопуларните типови напади е да се спроведе тест користејќи го ресурсот Check Point Провери ме, кој врши голем број типични напади од различни категории и ви овозможува да добиете извештај за резултатите од тестирањето. Во овој случај, користена е опцијата за тестирање на крајната точка, во која се презема извршна датотека и се лансира на компјутерот, а потоа започнува процесот на верификација.

Во процесот на проверка на безбедноста на работниот компјутер, SandBlast Agent сигнализира за идентификувани и рефлектирани напади на компјутерот на корисникот, на пример: сечилото Anti-Bot известува за откривање инфекција, сечилото Anti-Malware го откри и избриша злонамерна датотека CP_AM.exe, а сечилото за емулација на закани инсталираше дека датотеката CP_ZD.exe е злонамерна.

Врз основа на резултатите од тестирањето користејќи CheckMe Endpoint, го имаме следниот резултат: од 6 категории на напади, стандардната политика за спречување закани не успеа да се справи само со една категорија - Browser Exploit. Ова е затоа што стандардната политика за спречување закани не го вклучува сечилото за заштита од експлоатација. Вреди да се напомене дека без инсталиран SandBlast Agent, компјутерот на корисникот го помина скенирањето само во категоријата Ransomware.

KnowBe4 RanSim

За да ја тестирате работата на сечилото Anti-Ransomware, можете да користите бесплатно решение KnowBe4 RanSim, кој извршува серија тестови на машината на корисникот: 18 сценарија за инфекција со откуп и 1 сценарио за инфекција со криптоминер. Вреди да се напомене дека присуството на многу сечила во стандардната политика (Емулација на закани, Анти-малициозен софтвер, заштита на однесувањето) со акцијата Спречи не дозволува овој тест да се извршува правилно. Сепак, дури и со намалено ниво на безбедност (Емулација на закани во режим на исклучување), тестот за сечилото Anti-Ransomware покажува високи резултати: 18 од 19 тестови поминаа успешно (1 не успеа да започне).

Злонамерни датотеки и документи

Индикативно е да се провери работата на различни сечила на стандардната политика за спречување закани користејќи злонамерни датотеки од популарни формати преземени на машината на корисникот. Овој тест вклучуваше 66 датотеки во формати PDF, DOC, DOCX, EXE, XLS, XLSX, CAB, RTF. Резултатите од тестот покажаа дека SandBlast Agent можеше да блокира 64 злонамерни датотеки од вкупно 66. Заразените датотеки беа избришани по преземањето или исчистени од злонамерна содржина со помош на „Extraction“ за закана и беа примени од корисникот.

Препораки за подобрување на политиката за превенција од закани

1. Филтрирање URL

Првото нешто што треба да се коригира во стандардната политика за да се зголеми нивото на безбедност на машината на клиентот е да се префрли сечилото за филтрирање на URL на Превенција и да се наведат соодветните категории за блокирање. Во нашиот случај, сите категории беа избрани освен Општа употреба, бидејќи тие ги вклучуваат повеќето ресурси до кои е неопходно да се ограничи пристапот до корисниците на работното место. Исто така, за таквите страници, препорачливо е да се отстрани можноста корисниците да го прескокнуваат прозорецот за предупредување со отштиклирање на параметарот „Дозволи корисникот да го отфрли предупредувањето за филтрирање URL и пристап до веб-локацијата“.

2.Заштита за преземање

Втората опција на која вреди да се обрне внимание е можноста корисниците да преземаат датотеки што не се поддржани од емулацијата Check Point. Бидејќи во овој дел ги разгледуваме подобрувањата на стандардната политика за спречување закани од безбедносна перспектива, најдобрата опција би била да се блокира преземањето на неподдржани датотеки.

3. Заштита на датотеки

Исто така, треба да обрнете внимание на поставките за заштита на датотеки - особено, поставките за периодично скенирање и можноста корисникот да го одложи принудното скенирање. Во овој случај, мора да се земе предвид временската рамка на корисникот, а добра опција од аспект на безбедност и перформанси е да се конфигурира принудното скенирање да се извршува секој ден, при што времето е избрано по случаен избор (од 00:00 до 8: 00), а корисникот може да го одложи скенирањето најмногу за една недела.

4. Анти-експлоит

Значаен недостаток на стандардната политика за спречување закани е тоа што сечилото Anti-Exploit е оневозможено. Препорачливо е да се овозможи ова сечило со акцијата Спречи за да се заштити работната станица од напади користејќи експлоатирања. Со оваа поправка, повторното тестирање CheckMe завршува успешно без откривање на пропусти на производната машина на корисникот.

Заклучок

Да резимираме: во оваа статија се запознавме со компонентите на стандардната политика за спречување закани, ја тестиравме оваа политика користејќи различни методи и алатки, а исто така опишавме препораки за подобрување на поставките на стандардната политика за зголемување на нивото на безбедност на корисничката машина . Во следната статија од серијата, ќе продолжиме да ја проучуваме политиката за заштита на податоци и да ги погледнеме Поставките за глобална политика.

Голем избор на материјали на Check Point од TS Solution. За да не ги пропуштите следните публикации на тема Платформа за управување со агенти SandBlast, следете ги ажурирањата на нашите социјални мрежи (Телеграма, Facebook, VK, Блог за TS Solution, Yandex Зен).

Извор: www.habr.com