1. चेक पॉइंट फॉरेन्सिक वापरून मालवेअरचे विश्लेषण. सँडब्लास्ट नेटवर्क

या वेळी घटना तपास, विशेषतः चेक पॉइंट फॉरेन्सिक्स वापरून मालवेअर विश्लेषण या विषयावर लेखांच्या नवीन मालिकेत आपले स्वागत आहे. आम्ही यापूर्वी प्रकाशित केले होते अनेक व्हिडिओ धडे स्मार्ट इव्हेंटमध्ये काम करण्याबद्दल, परंतु यावेळी आपण वेगवेगळ्या चेक पॉइंट उत्पादनांमधील विशिष्ट घटनांवरील फॉरेन्सिक अहवाल पाहू:

• सँडब्लास्ट नेटवर्क
• सँडब्लास्ट एजंट
• सँडब्लास्ट मोबाईल
• CloudGuard SaaS

टाळलेल्या घटनांचे फॉरेन्सिक विश्लेषण का महत्त्वाचे आहे? तुम्हाला व्हायरसची लागण झाली आहे असे वाटू शकते, मग त्याच्याशी व्यवहार करण्याची काळजी का घ्यावी? अनुभवावरून असे दिसून येते की केवळ हल्ला रोखणेच नाही तर तो कसा कार्य करतो हे समजून घेणे देखील महत्त्वाचे आहे: प्रवेश बिंदू काय होता, कोणत्या असुरक्षिततेचा वापर केला गेला, कोणत्या प्रक्रियांचा समावेश होता, रजिस्ट्री आणि फाइल सिस्टम प्रभावित झाले होते का, ते कोणते व्हायरस कुटुंब होते, त्यामुळे कोणते संभाव्य नुकसान झाले इत्यादी. हे आणि इतर उपयुक्त डेटा व्यापक चेक पॉइंट फॉरेन्सिक अहवालांमधून (मजकूर आणि ग्राफिकल दोन्ही) मिळवता येतो. असा अहवाल मॅन्युअली मिळवणे खूप कठीण आहे. त्यानंतर हा डेटा तुम्हाला योग्य कारवाई करण्यास आणि भविष्यात असे हल्ले यशस्वी होण्यापासून रोखण्यास मदत करू शकतो. आज, आपण चेक पॉइंट सँडब्लास्ट नेटवर्क फॉरेन्सिक अहवाल पाहू.

सँडब्लास्ट नेटवर्क

नेटवर्क परिमिती सुरक्षा मजबूत करण्यासाठी सँडबॉक्स वापरणे हे फार पूर्वीपासून सामान्य आहे आणि IPS प्रमाणेच एक आवश्यक घटक आहे. चेक पॉइंटची सँडबॉक्स कार्यक्षमता थ्रेट इम्युलेशन ब्लेडद्वारे हाताळली जाते, जी त्याच्या सँडब्लास्ट तंत्रज्ञानाचा भाग आहे (ज्यामध्ये थ्रेट एक्सट्रॅक्शन देखील समाविष्ट आहे). आम्ही हा लेख यापूर्वी प्रकाशित केला आहे. चेक पॉइंट सँडब्लास्ट वर एक छोटा कोर्स गैया आवृत्ती ७७.३० मध्ये परत (जर तुम्हाला आम्ही कशाबद्दल बोलत आहोत हे समजत नसेल तर मी ते पाहण्याची जोरदार शिफारस करतो). आर्किटेक्चरल दृष्टिकोनातून, तेव्हापासून काहीही मूलभूतपणे बदललेले नाही. जर तुमच्या नेटवर्क परिमितीवर चेक पॉइंट गेटवे स्थापित केला असेल, तर तुमच्याकडे सँडबॉक्स एकत्रीकरणासाठी दोन पर्याय आहेत:

1. सँडब्लास्ट स्थानिक उपकरण — तुमच्या नेटवर्कवर एक अतिरिक्त सँडब्लास्ट उपकरण स्थापित केले आहे, ज्यावर फायली विश्लेषणासाठी पाठवल्या जातात.
2. सँडब्लास्ट क्लाउड — विश्लेषणासाठी फायली चेक पॉइंट क्लाउडवर पाठवल्या जातात.

नेटवर्क परिमितीवरील संरक्षणाची शेवटची ओळ सँडबॉक्स मानली जाऊ शकते. अँटीव्हायरस सॉफ्टवेअर आणि आयपीएस सारख्या पारंपारिक साधनांद्वारे विश्लेषण केल्यानंतरच ते सक्रिय केले जाते. पारंपारिक स्वाक्षरी-आधारित साधने जवळजवळ कोणतेही विश्लेषण देत नसली तरी, सँडबॉक्स फाइल का ब्लॉक केली गेली आणि ती कोणती दुर्भावनापूर्ण क्रियाकलाप करते याबद्दल तपशीलवार माहिती प्रदान करू शकते. हा फॉरेन्सिक अहवाल स्थानिक आणि क्लाउड-आधारित सँडबॉक्स दोन्हीमधून मिळवता येतो.

चेक पॉइंट फॉरेन्सिक्स अहवाल

समजा, तुम्ही माहिती सुरक्षा तज्ञ म्हणून कामावर आलात आणि स्मार्टकन्सोल डॅशबोर्ड उघडलात. तुम्हाला गेल्या २४ तासांतील घटना दिसतात आणि तुमचे लक्ष थ्रेट इम्युलेशन इव्हेंट्सकडे वेधले जाते - हे सर्वात धोकादायक हल्ले आहेत जे सिग्नेचर विश्लेषणाद्वारे ब्लॉक केले गेले नाहीत.

तुम्ही या घटनांमध्ये खोलवर जाऊ शकता आणि थ्रेट इम्युलेशन ब्लेडसाठी सर्व लॉग पाहू शकता.

यानंतर, तुम्ही धोक्याच्या तीव्रतेच्या पातळीनुसार (तीव्रता), तसेच आत्मविश्वास पातळी (ट्रिगरिंगची विश्वसनीयता) द्वारे लॉग फिल्टर करू शकता:

आम्हाला ज्या इव्हेंटमध्ये रस आहे तो वाढवून, आम्ही सामान्य माहिती (src, dst, severity, sender, इ.) पाहू शकतो:

आणि तिथे तुम्हाला एक विभाग देखील दिसेल फॉरेंसिक प्रवेशयोग्य सह सारांश अहवाल. त्यावर क्लिक केल्याने मालवेअरचे परस्परसंवादी HTML पृष्ठ म्हणून तपशीलवार विश्लेषण उघडेल:

(हा पानाचा एक भाग आहे.) मूळ येथे पाहता येईल.)

याच अहवालावरून, आपण मूळ मालवेअर (पासवर्ड-संरक्षित संग्रहात) डाउनलोड करू शकतो किंवा ताबडतोब चेक पॉइंट प्रतिसाद टीमशी संपर्क साधू शकतो.

खाली, तुम्ही एक सुंदर अॅनिमेशन पाहू शकता जे आमच्या नमुना जुळणाऱ्या ज्ञात मालवेअरची टक्केवारी दर्शवते (कोड स्वतः आणि मॅक्रोसह). हे विश्लेषण चेक पॉइंट थ्रेट क्लाउडमध्ये मशीन लर्निंग वापरून प्रदान केले आहे.

त्यानंतर तुम्हाला दिसेल की कोणत्या विशिष्ट सँडबॉक्स क्रियाकलापामुळे ही फाइल दुर्भावनापूर्ण आहे असा निष्कर्ष निघाला. या प्रकरणात, आपण चोरीच्या तंत्रांचा वापर आणि रॅन्समवेअर डाउनलोड करण्याचा प्रयत्न पाहतो:

तुम्ही पाहू शकता की या प्रकरणात, दोन सिस्टीमवर (Win 7, Win XP) आणि वेगवेगळ्या सॉफ्टवेअर आवृत्त्यांवर (Office, Adobe) इम्युलेशन केले गेले. खाली एक व्हिडिओ (स्लाइडशो) आहे जो सँडबॉक्समध्ये ही फाइल उघडण्याची प्रक्रिया दर्शवितो:

व्हिडिओ उदाहरण:

अगदी शेवटी, आपण हल्ल्याची प्रगती तपशीलवार पाहू शकतो, एकतर टेबल किंवा ग्राफिक स्वरूपात:

वायरशार्कमध्ये निर्माण झालेल्या ट्रॅफिकच्या तपशीलवार विश्लेषणासाठी आपण ही माहिती RAW स्वरूपात आणि pcap फाइलमध्ये देखील डाउनलोड करू शकतो:

निष्कर्ष

या माहितीचा वापर करून, तुम्ही तुमच्या नेटवर्कची सुरक्षा लक्षणीयरीत्या मजबूत करू शकता. तुम्ही व्हायरस वितरण होस्ट ब्लॉक करू शकता, शोषित भेद्यता पॅच करू शकता, सी अँड सी मधील संभाव्य अभिप्राय ब्लॉक करू शकता आणि बरेच काही करू शकता. या विश्लेषणाकडे दुर्लक्ष करू नये.

भविष्यातील लेखांमध्ये, आपण सँडब्लास्ट एजंट, स्नॅडब्लास्ट मोबाइल आणि क्लाउडगिअर्ड सास रिपोर्ट्सचा अशाच प्रकारे विचार करू. तर संपर्कात रहा (टेलिग्राम, फेसबुक, VK, टीएस सोल्यूशन ब्लॉग)!

स्त्रोत: www.habr.com