1. चेक पॉइंट फॉरेन्सिक वापरून मालवेअरचे विश्लेषण. सँडब्लास्ट नेटवर्क

लेखांच्या नवीन मालिकेत आपले स्वागत आहे, यावेळी घटना तपासाच्या विषयावर, म्हणजे चेक पॉइंट फॉरेन्सिक्स वापरून मालवेअर विश्लेषण. आम्ही यापूर्वी प्रकाशित केले आहे अनेक व्हिडिओ धडे स्मार्ट इव्हेंटमध्ये काम करताना, परंतु यावेळी आम्ही वेगवेगळ्या चेक पॉइंट उत्पादनांमधील विशिष्ट घटनांवरील फॉरेन्सिक अहवाल पाहू:

• सँडब्लास्ट नेटवर्क
• सँडब्लास्ट एजंट
• सँडब्लास्ट मोबाईल
• CloudGuard SaaS

घटना प्रतिबंध फॉरेन्सिक महत्वाचे का आहे? असे दिसते की आपण व्हायरस पकडला आहे, तो आधीच चांगला आहे, त्याला का सामोरे जावे? सराव दर्शविल्याप्रमाणे, केवळ आक्रमण अवरोधित करणेच नव्हे तर ते कसे कार्य करते हे देखील समजून घेणे योग्य आहे: प्रवेश बिंदू काय होता, कोणती असुरक्षा वापरली गेली, कोणत्या प्रक्रियांचा समावेश आहे, नोंदणी आणि फाइल प्रणाली प्रभावित झाली आहे का, कोणते कुटुंब व्हायरसचे, कोणते संभाव्य नुकसान इ. हा आणि इतर उपयुक्त डेटा चेक पॉइंटच्या सर्वसमावेशक फॉरेन्सिक अहवालांमधून (मजकूर आणि ग्राफिकल दोन्ही) मिळवता येतो. असा अहवाल स्वहस्ते मिळणे फार कठीण आहे. हा डेटा नंतर योग्य कारवाई करण्यात मदत करू शकतो आणि भविष्यात तत्सम हल्ले यशस्वी होण्यापासून रोखू शकतो. आज आपण चेक पॉइंट सँडब्लास्ट नेटवर्क फॉरेन्सिक अहवाल पाहू.

सँडब्लास्ट नेटवर्क

नेटवर्क परिमितीचे संरक्षण मजबूत करण्यासाठी सँडबॉक्सेसचा वापर फार पूर्वीपासून सामान्य झाला आहे आणि तो IPS प्रमाणेच अनिवार्य आहे. चेक पॉइंटवर, थ्रेट इम्युलेशन ब्लेड, जो सँडब्लास्ट तंत्रज्ञानाचा भाग आहे (तेथे थ्रेट एक्स्ट्रॅक्शन देखील आहे), सँडबॉक्स कार्यक्षमतेसाठी जबाबदार आहे. आम्ही आधीच प्रकाशित केले आहे चेक पॉइंट सँडब्लास्ट वर छोटा कोर्स Gaia 77.30 आवृत्तीसाठी देखील (आम्ही आता कशाबद्दल बोलत आहोत हे तुम्हाला समजत नसल्यास मी ते पाहण्याची शिफारस करतो). स्थापत्यशास्त्राच्या दृष्टिकोनातून, तेव्हापासून काहीही मूलभूतपणे बदललेले नाही. तुमच्या नेटवर्कच्या परिमितीवर चेक पॉइंट गेटवे असल्यास, सँडबॉक्ससह एकत्रीकरणासाठी तुम्ही दोन पर्याय वापरू शकता:

1. सँडब्लास्ट स्थानिक उपकरण — तुमच्या नेटवर्कवर अतिरिक्त सँडब्लास्ट उपकरण स्थापित केले आहे, ज्यावर फाइल्स विश्लेषणासाठी पाठवल्या जातात.
2. सँडब्लास्ट मेघ — फाइल्स चेक पॉइंट क्लाउडवर विश्लेषणासाठी पाठवल्या जातात.

नेटवर्क परिमितीवर सँडबॉक्सला संरक्षणाची शेवटची ओळ मानली जाऊ शकते. हे शास्त्रीय माध्यमांद्वारे विश्लेषण केल्यानंतरच कनेक्ट होते - अँटीव्हायरस, आयपीएस. आणि जर अशी पारंपारिक स्वाक्षरी साधने व्यावहारिकदृष्ट्या कोणतेही विश्लेषण प्रदान करत नसतील, तर सँडबॉक्स फाइल का अवरोधित केली आहे आणि ते नेमके काय दुर्भावनापूर्ण आहे हे तपशीलवार "सांगू" शकते. हा फॉरेन्सिक अहवाल स्थानिक आणि क्लाउड सँडबॉक्स दोन्हीमधून मिळू शकतो.

पॉइंट फॉरेन्सिक अहवाल तपासा

समजा तुम्ही माहिती सुरक्षा तज्ञ म्हणून कामावर आला आणि SmartConsole मध्ये डॅशबोर्ड उघडला. ताबडतोब तुम्हाला गेल्या 24 तासांच्या घटना दिसतात आणि तुमचे लक्ष थ्रेट इम्युलेशन इव्हेंट्सकडे वेधले जाते - सर्वात धोकादायक हल्ले जे स्वाक्षरी विश्लेषणाद्वारे अवरोधित केले गेले नाहीत.

तुम्ही या इव्हेंटमध्ये "ड्रिल डाउन" करू शकता आणि थ्रेट इम्युलेशन ब्लेडचे सर्व लॉग पाहू शकता.

यानंतर, तुम्ही धोक्याची गंभीरता पातळी (तीव्रता), तसेच आत्मविश्वास पातळी (प्रतिसादाची विश्वासार्हता) द्वारे लॉग फिल्टर करू शकता:

आम्हाला स्वारस्य असलेल्या इव्हेंटचा विस्तार केल्यावर, आम्ही सामान्य माहिती (src, dst, severity, प्रेषक इ.) सह परिचित होऊ शकतो:

आणि तेथे आपण विभाग पाहू शकता फॉरेंसिक उपलब्ध सह सारांश अहवाल त्यावर क्लिक केल्याने मालवेअरचे तपशीलवार विश्लेषण परस्परसंवादी HTML पृष्ठाच्या स्वरूपात उघडेल:

(हा पृष्ठाचा भाग आहे. मूळ येथे पाहिले जाऊ शकते)

त्याच अहवालावरून, आम्ही मूळ मालवेअर डाउनलोड करू शकतो (संकेतशब्द-संरक्षित संग्रहणात), किंवा त्वरित चेक पॉइंट प्रतिसाद टीमशी संपर्क साधू शकतो.

अगदी खाली आपण एक सुंदर अॅनिमेशन पाहू शकता जे टक्केवारीच्या अटींमध्ये दर्शविते जे आधीपासून ज्ञात दुर्भावनायुक्त कोड आमच्या उदाहरणामध्ये साम्य आहे (कोड स्वतः आणि मॅक्रोसह). चेक पॉइंट थ्रेट क्लाउडमध्ये मशीन लर्निंग वापरून ही विश्लेषणे वितरित केली जातात.

नंतर आपण पाहू शकता की सँडबॉक्समधील कोणत्या क्रियाकलापांनी आम्हाला ही फाईल दुर्भावनापूर्ण असल्याचा निष्कर्ष काढण्याची परवानगी दिली. या प्रकरणात, आम्ही बायपास तंत्रांचा वापर आणि रॅन्समवेअर डाउनलोड करण्याचा प्रयत्न पाहतो:

हे लक्षात घेतले जाऊ शकते की या प्रकरणात, इम्यूलेशन दोन सिस्टम (विन 7, विन एक्सपी) आणि भिन्न सॉफ्टवेअर आवृत्त्यांमध्ये (ऑफिस, अडोब) केले गेले. खाली सँडबॉक्समध्ये ही फाइल उघडण्याच्या प्रक्रियेसह एक व्हिडिओ (स्लाइड शो) आहे:

उदाहरण व्हिडिओ:

अगदी शेवटी आपण हल्ला कसा विकसित झाला ते तपशीलवार पाहू शकतो. एकतर सारणी स्वरूपात किंवा ग्राफिक स्वरूपात:

तेथे आम्ही ही माहिती RAW फॉरमॅटमध्ये डाउनलोड करू शकतो आणि वायरशार्कमध्ये व्युत्पन्न केलेल्या ट्रॅफिकच्या तपशीलवार विश्लेषणासाठी pcap फाइल:

निष्कर्ष

या माहितीचा वापर करून, तुम्ही तुमच्या नेटवर्कचे संरक्षण लक्षणीयरीत्या मजबूत करू शकता. व्हायरस वितरण होस्ट ब्लॉक करा, शोषित असुरक्षा बंद करा, C&C कडून संभाव्य अभिप्राय अवरोधित करा आणि बरेच काही. या विश्लेषणाकडे दुर्लक्ष करता कामा नये.

पुढील लेखांमध्ये, आम्ही त्याचप्रकारे सँडब्लास्ट एजंट, स्नॅडब्लास्ट मोबाइल, तसेच क्लाउडगिअर्ड सासचे अहवाल पाहू. त्यामुळे संपर्कात राहा (तार, फेसबुक, VK, टीएस सोल्यूशन ब्लॉग)!

स्त्रोत: www.habr.com