5. पॉइंट सँडब्लास्ट एजंट व्यवस्थापन प्लॅटफॉर्म तपासा. नोंदी, अहवाल आणि न्यायवैद्यकशास्त्र. धमकी शिकार

चेक पॉइंट सँडब्लास्ट एजंट मॅनेजमेंट प्लॅटफॉर्म सोल्यूशनबद्दलच्या मालिकेतील पाचव्या लेखात आपले स्वागत आहे. मागील लेख योग्य दुव्याचे अनुसरण करून आढळू शकतात: प्रथम, दुसरा, तिसरा, चौथा. आज आपण मॅनेजमेंट प्लॅटफॉर्ममधील मॉनिटरिंग क्षमता पाहणार आहोत, म्हणजे लॉग, इंटरएक्टिव्ह डॅशबोर्ड (पहा) आणि अहवालांसह कार्य करणे. वापरकर्त्याच्या मशीनवरील वर्तमान धोके आणि विसंगत घटना ओळखण्यासाठी आम्ही थ्रेट हंटिंगच्या विषयावर देखील स्पर्श करू.

नोंदी

सुरक्षा इव्हेंट्सचे निरीक्षण करण्यासाठी माहितीचा मुख्य स्त्रोत लॉग विभाग आहे, जो प्रत्येक घटनेची तपशीलवार माहिती प्रदर्शित करतो आणि तुम्हाला तुमचे शोध निकष परिष्कृत करण्यासाठी सोयीस्कर फिल्टर वापरण्याची परवानगी देतो. उदाहरणार्थ, जेव्हा तुम्ही लॉग ऑफ इंटरेस्टच्या पॅरामीटरवर (ब्लेड, अॅक्शन, तीव्रता इ.) उजवे-क्लिक करता तेव्हा हे पॅरामीटर असे फिल्टर केले जाऊ शकते फिल्टर: "पॅरामीटर" किंवा फिल्टर आउट: "पॅरामीटर". तसेच स्त्रोत पॅरामीटरसाठी आयपी टूल्स पर्याय निवडला जाऊ शकतो जेथे तुम्ही दिलेल्या IP पत्त्यावर/नावावर पिंग चालवू शकता किंवा नावानुसार स्त्रोत IP पत्ता मिळविण्यासाठी nslookup चालवू शकता.

लॉग विभागात, इव्हेंट फिल्टर करण्यासाठी, एक सांख्यिकी उपविभाग आहे, जो सर्व पॅरामीटर्सवर आकडेवारी प्रदर्शित करतो: लॉगच्या संख्येसह एक वेळ आकृती, तसेच प्रत्येक पॅरामीटरसाठी टक्केवारी. या उपविभागातून तुम्ही शोध बार न वापरता आणि फिल्टरिंग एक्स्प्रेशन न लिहिता सहजपणे लॉग फिल्टर करू शकता - फक्त स्वारस्य असलेले पॅरामीटर्स निवडा आणि लॉगची एक नवीन सूची त्वरित प्रदर्शित केली जाईल.

लॉग विभागाच्या उजव्या पॅनेलमध्ये प्रत्येक लॉगची तपशीलवार माहिती उपलब्ध आहे, परंतु सामग्रीचे विश्लेषण करण्यासाठी डबल-क्लिक करून लॉग उघडणे अधिक सोयीचे आहे. खाली लॉगचे उदाहरण आहे (चित्र क्लिक करण्यायोग्य आहे), जे संक्रमित ".docx" फाईलवर प्रिव्हेंट इम्युलेशन ब्लेडच्या कृतीच्या ट्रिगरिंगवर तपशीलवार माहिती प्रदर्शित करते. लॉगमध्ये अनेक उपविभाग आहेत जे सुरक्षा इव्हेंटचे तपशील प्रदर्शित करतात: ट्रिगर केलेली धोरणे आणि संरक्षणे, फॉरेन्सिक तपशील, क्लायंट आणि रहदारीबद्दल माहिती. लॉगमधून उपलब्ध अहवाल विशेष लक्ष देण्यास पात्र आहेत - थ्रेट इम्युलेशन रिपोर्ट आणि फॉरेन्सिक रिपोर्ट. हे अहवाल सँडब्लास्ट एजंट क्लायंटकडून देखील उघडले जाऊ शकतात.

धोका अनुकरण अहवाल

थ्रेट इम्युलेशन ब्लेड वापरताना, चेक पॉईंट क्लाउडमध्ये इम्युलेशन पूर्ण केल्यानंतर, इम्युलेशन परिणामांवरील तपशीलवार अहवालाची लिंक - थ्रेट इम्युलेशन रिपोर्ट - संबंधित लॉगमध्ये दिसून येते. अशा अहवालाची सामग्री आमच्या लेखात तपशीलवार वर्णन केली आहे चेक पॉइंट सँडब्लास्ट नेटवर्क फॉरेन्सिक्स वापरून मालवेअर विश्लेषण. हे लक्षात घेण्यासारखे आहे की हा अहवाल परस्परसंवादी आहे आणि तुम्हाला प्रत्येक विभागाचे तपशील "तपशील" करण्यास अनुमती देतो. व्हर्च्युअल मशीनमध्ये इम्युलेशन प्रक्रियेचे रेकॉर्डिंग पाहणे, मूळ दुर्भावनापूर्ण फाइल डाउनलोड करणे किंवा तिचा हॅश मिळवणे आणि चेक पॉइंट घटना प्रतिसाद टीमशी संपर्क करणे देखील शक्य आहे.

फॉरेन्सिक अहवाल

जवळजवळ कोणत्याही सुरक्षा इव्हेंटसाठी, फॉरेन्सिक्स अहवाल तयार केला जातो, ज्यामध्ये दुर्भावनायुक्त फाइलबद्दल तपशीलवार माहिती समाविष्ट असते: त्याची वैशिष्ट्ये, क्रिया, सिस्टममध्ये प्रवेश बिंदू आणि महत्त्वाच्या कंपनीच्या मालमत्तेवर प्रभाव. बद्दलच्या लेखात आम्ही अहवालाच्या संरचनेबद्दल तपशीलवार चर्चा केली चेक पॉइंट सँडब्लास्ट एजंट फॉरेन्सिक्स वापरून मालवेअर विश्लेषण. सुरक्षा घटनांची तपासणी करताना असा अहवाल माहितीचा एक महत्त्वाचा स्रोत आहे आणि आवश्यक असल्यास, अहवालातील सामग्री त्वरित चेक पॉइंट घटना प्रतिसाद टीमकडे पाठविली जाऊ शकते.

स्मार्ट व्ह्यू

चेक पॉइंट स्मार्टव्यू हे डायनॅमिक डॅशबोर्ड (पहा) आणि पीडीएफ फॉरमॅटमध्ये रिपोर्ट्स तयार करण्यासाठी आणि पाहण्यासाठी एक सोयीस्कर साधन आहे. SmartView वरून तुम्ही प्रशासकांसाठी वापरकर्ता लॉग आणि ऑडिट इव्हेंट देखील पाहू शकता. खालील आकृती सँडब्लास्ट एजंटसह काम करण्यासाठी सर्वात उपयुक्त अहवाल आणि डॅशबोर्ड दाखवते.

SmartView मधील अहवाल हे ठराविक कालावधीतील घटनांबद्दल सांख्यिकीय माहिती असलेले दस्तऐवज असतात. हे ज्या मशिनवर SmartView उघडे आहे त्या मशीनवर PDF फॉरमॅटमध्ये रिपोर्ट अपलोड करण्यास, तसेच प्रशासकाच्या ईमेलवर PDF/Excel वर नियमित अपलोड करण्यास समर्थन देते. याव्यतिरिक्त, ते अहवाल टेम्पलेट्सची आयात/निर्यात, तुमचे स्वतःचे अहवाल तयार करणे आणि अहवालांमध्ये वापरकर्ता नावे लपविण्याच्या क्षमतेस समर्थन देते. खालील आकृती अंगभूत धोका प्रतिबंधक अहवालाचे उदाहरण दर्शवते.

SmartView मधील डॅशबोर्ड (दृश्य) प्रशासकाला संबंधित इव्हेंटसाठी लॉग ऍक्सेस करण्याची परवानगी देतात - फक्त स्वारस्य असलेल्या ऑब्जेक्टवर डबल-क्लिक करा, मग तो चार्ट कॉलम असो किंवा दुर्भावनायुक्त फाइलचे नाव. अहवालांप्रमाणे, तुम्ही तुमचे स्वतःचे डॅशबोर्ड तयार करू शकता आणि वापरकर्ता डेटा लपवू शकता. डॅशबोर्ड टेम्प्लेट्सच्या आयात/निर्यात, प्रशासकाच्या ईमेलवर PDF/Excel वर नियमित अपलोड आणि रिअल टाइममध्ये सुरक्षा इव्हेंट्सचे निरीक्षण करण्यासाठी स्वयंचलित डेटा अद्यतनांना देखील समर्थन देतात.

अतिरिक्त निरीक्षण विभाग

मॅनेजमेंट प्लॅटफॉर्ममधील मॉनिटरिंग टूल्सचे वर्णन विहंगावलोकन, संगणक व्यवस्थापन, एंडपॉईंट सेटिंग्ज आणि पुश ऑपरेशन्स विभागांचा उल्लेख केल्याशिवाय अपूर्ण असेल. या विभागांमध्ये तपशीलवार वर्णन केले आहे दुसरा लेखतथापि, देखरेख समस्यांचे निराकरण करण्यासाठी त्यांची क्षमता विचारात घेणे उपयुक्त ठरेल. चला विहंगावलोकन सह प्रारंभ करूया, ज्यामध्ये दोन उपविभाग आहेत - ऑपरेशनल विहंगावलोकन आणि सुरक्षा विहंगावलोकन, जे संरक्षित वापरकर्ता मशीन आणि सुरक्षा इव्हेंटच्या स्थितीबद्दल माहिती असलेले डॅशबोर्ड आहेत. इतर कोणत्याही डॅशबोर्डशी संवाद साधताना, ऑपरेशनल विहंगावलोकन आणि सुरक्षा विहंगावलोकन उपविभाग, स्वारस्याच्या पॅरामीटरवर डबल-क्लिक केल्यावर, निवडलेल्या फिल्टरसह (उदाहरणार्थ, “डेस्कटॉप” किंवा “पूर्व- बूट स्थिती: सक्षम”), किंवा विशिष्ट कार्यक्रमासाठी लॉग या विभागात. सुरक्षा विहंगावलोकन उपविभाग हा "सायबर अटॅक व्ह्यू - एंडपॉइंट" डॅशबोर्ड आहे, जो सानुकूलित केला जाऊ शकतो आणि डेटा स्वयंचलितपणे अपडेट करण्यासाठी सेट केला जाऊ शकतो.

संगणक व्यवस्थापन विभागातून तुम्ही वापरकर्ता मशीनवरील एजंटची स्थिती, अँटी-मालवेअर डेटाबेसची अद्यतन स्थिती, डिस्क एन्क्रिप्शनचे टप्पे आणि बरेच काही तपासू शकता. सर्व डेटा स्वयंचलितपणे अद्यतनित केला जातो आणि प्रत्येक फिल्टरसाठी जुळणार्‍या वापरकर्त्याच्या मशीनची टक्केवारी प्रदर्शित केली जाते. CSV स्वरूपात संगणक डेटा निर्यात करणे देखील समर्थित आहे.

वर्कस्टेशन्सच्या सुरक्षेचे निरीक्षण करण्याचा एक महत्त्वाचा पैलू म्हणजे कंपनीच्या लॉग सर्व्हरवर स्टोरेजसाठी गंभीर इव्हेंट्स (सूचना) आणि निर्यात लॉग (एक्सपोर्ट इव्हेंट्स) बद्दल सूचना सेट करणे. दोन्ही सेटिंग्ज एंडपॉईंट सेटिंग्ज विभागात आणि यासाठी केल्या आहेत सतर्क अॅडमिनिस्ट्रेटरला इव्हेंट सूचना पाठवण्यासाठी मेल सर्व्हर कनेक्ट करणे आणि इव्हेंट निकष पूर्ण करणाऱ्या डिव्हाइसेसच्या टक्केवारी/संख्येनुसार सूचना ट्रिगर/अक्षम करण्यासाठी थ्रेशोल्ड कॉन्फिगर करणे शक्य आहे. कार्यक्रम निर्यात करा पुढील प्रक्रियेसाठी तुम्हाला मॅनेजमेंट प्लॅटफॉर्मवरून कंपनीच्या लॉग सर्व्हरवर लॉगचे हस्तांतरण कॉन्फिगर करण्याची परवानगी देते. SYSLOG, CEF, LEEF, SPLUNK फॉरमॅट्स, TCP/UDP प्रोटोकॉल, चालू असलेल्या syslog एजंटसह कोणत्याही SIEM सिस्टीमला, TLS/SSL एन्क्रिप्शनचा वापर आणि syslog क्लायंट ऑथेंटिकेशनला सपोर्ट करते.

एजंटवरील घटनांच्या सखोल विश्लेषणासाठी किंवा तांत्रिक समर्थनाशी संपर्क साधण्याच्या बाबतीत, तुम्ही पुश ऑपरेशन्स विभागात सक्तीने केलेल्या ऑपरेशनचा वापर करून सँडब्लास्ट एजंट क्लायंटकडून त्वरीत लॉग गोळा करू शकता. तुम्ही चेक पॉइंट सर्व्हर किंवा कॉर्पोरेट सर्व्हरवर लॉगसह व्युत्पन्न केलेल्या संग्रहणाचे हस्तांतरण कॉन्फिगर करू शकता आणि लॉगसह संग्रहण वापरकर्त्याच्या मशीनवर C:UsersusernameCPInfo निर्देशिकेत सेव्ह केले आहे. हे निर्दिष्ट वेळी लॉग संकलन प्रक्रिया सुरू करण्यास आणि वापरकर्त्याद्वारे ऑपरेशन पुढे ढकलण्याच्या क्षमतेस समर्थन देते.

धमकी शिकार

संभाव्य सुरक्षा इव्हेंटची अधिक चौकशी करण्यासाठी सिस्टममधील दुर्भावनापूर्ण क्रियाकलाप आणि विसंगत वर्तन शोधण्यासाठी थ्रेट हंटिंगचा वापर केला जातो. मॅनेजमेंट प्लॅटफॉर्ममधील थ्रेट हंटिंग विभाग तुम्हाला वापरकर्ता मशीन डेटामध्ये निर्दिष्ट पॅरामीटर्ससह इव्हेंट शोधण्याची परवानगी देतो.

थ्रेट हंटिंग टूलमध्ये अनेक पूर्वनिर्धारित क्वेरी आहेत, उदाहरणार्थ: दुर्भावनापूर्ण डोमेन किंवा फाइल्सचे वर्गीकरण करण्यासाठी, विशिष्ट IP पत्त्यांवर (सामान्य आकडेवारीशी संबंधित) दुर्मिळ विनंत्या ट्रॅक करा. विनंती संरचनेत तीन पॅरामीटर्स असतात: सूचक (नेटवर्क प्रोटोकॉल, प्रक्रिया अभिज्ञापक, फाइल प्रकार इ.), ऑपरेटर (“आहे”, “नाही”, “समाविष्ट”, “पैकी एक”, इ.) आणि विनंती शरीर. तुम्ही विनंतीच्या मुख्य भागामध्ये रेग्युलर एक्सप्रेशन वापरू शकता आणि सर्च बारमध्ये तुम्ही एकाच वेळी अनेक फिल्टर वापरू शकता.

फिल्टर निवडल्यानंतर आणि विनंती प्रक्रिया पूर्ण केल्यानंतर, तुम्हाला इव्हेंटबद्दल तपशीलवार माहिती पाहण्याची, विनंती ऑब्जेक्ट अलग ठेवण्याची किंवा इव्हेंटच्या वर्णनासह तपशीलवार फॉरेन्सिक अहवाल तयार करण्याची क्षमता असलेल्या सर्व संबंधित इव्हेंटमध्ये प्रवेश असतो. सध्या, हे साधन बीटा आवृत्तीमध्ये आहे आणि भविष्यात क्षमतांचा संच विस्तारित करण्याची योजना आहे, उदाहरणार्थ, Miter Att&ck मॅट्रिक्सच्या स्वरूपात इव्हेंटबद्दल माहिती जोडणे.

निष्कर्ष

चला सारांश द्या: या लेखात आम्ही सँडब्लास्ट एजंट मॅनेजमेंट प्लॅटफॉर्ममधील सुरक्षा इव्हेंट्सचे निरीक्षण करण्याच्या क्षमतेकडे पाहिले आणि वापरकर्त्याच्या मशीनवरील दुर्भावनापूर्ण क्रिया आणि विसंगती शोधण्यासाठी सक्रियपणे नवीन साधनाचा अभ्यास केला - थ्रेट हंटिंग. पुढील लेख या मालिकेतील अंतिम लेख असेल आणि त्यात आम्ही व्यवस्थापन प्लॅटफॉर्म सोल्यूशनबद्दल वारंवार विचारले जाणारे प्रश्न पाहू आणि या उत्पादनाची चाचणी करण्याच्या शक्यतांबद्दल बोलू.

TS सोल्यूशन कडून चेक पॉइंटवर सामग्रीची मोठी निवड. सँडब्लास्ट एजंट मॅनेजमेंट प्लॅटफॉर्म या विषयावरील पुढील प्रकाशने चुकवू नये म्हणून, आमच्या सोशल नेटवर्क्सवरील अद्यतनांचे अनुसरण करा (तार, फेसबुक, VK, टीएस सोल्यूशन ब्लॉग, यांडेक्स झेन).

स्त्रोत: www.habr.com