1. चेक पोइन्ट फोरेन्सिक प्रयोग गरेर मालवेयरको विश्लेषण। SandBlast नेटवर्क

लेखहरूको नयाँ शृङ्खलामा स्वागत छ, यस पटक घटना अनुसन्धानको विषयमा, चेक पोइन्ट फोरेन्सिक प्रयोग गरेर मालवेयर विश्लेषण। हामीले पहिले प्रकाशित गरेका छौं धेरै भिडियो पाठहरू स्मार्ट घटनामा काम गर्दै, तर यस पटक हामी विभिन्न चेक पोइन्ट उत्पादनहरूमा विशेष घटनाहरूमा फोरेन्सिक रिपोर्टहरू हेर्नेछौं:

• SandBlast नेटवर्क
• SandBlast एजेन्ट
• SandBlast मोबाइल
• CloudGuard SaaS

घटना रोकथाम फोरेन्सिक किन महत्त्वपूर्ण छ? यस्तो देखिन्छ कि तपाईले भाइरस समात्नु भएको छ, यो पहिले नै राम्रो छ, किन यसको सामना गर्ने? अभ्यासले देखाएको रूपमा, आक्रमणलाई रोक्न मात्र होइन, यसले कसरी काम गर्छ भनेर ठ्याक्कै बुझ्नको लागि पनि सल्लाह दिइन्छ: प्रवेश बिन्दु के थियो, कुन कमजोरी प्रयोग गरिएको थियो, कुन प्रक्रियाहरू समावेश छन्, रेजिस्ट्री र फाइल प्रणाली प्रभावित छ कि छैन, कुन परिवार। भाइरस, के सम्भावित क्षति, आदि। यो र अन्य उपयोगी डेटा चेक पोइन्टको व्यापक फोरेन्सिक रिपोर्टहरू (पाठ र ग्राफिकल दुवै) बाट प्राप्त गर्न सकिन्छ। यस्तो रिपोर्ट म्यानुअल रूपमा प्राप्त गर्न धेरै गाह्रो छ। यस डेटाले उपयुक्त कदम चाल्न र भविष्यमा सफल हुनबाट यस्तै आक्रमणहरू रोक्न मद्दत गर्न सक्छ। आज हामी चेक पोइन्ट SandBlast नेटवर्क फोरेन्सिक रिपोर्ट हेर्नेछौं।

SandBlast नेटवर्क

सञ्जाल परिधिको सुरक्षा बलियो बनाउन स्यान्डबक्सहरूको प्रयोग लामो समयदेखि सामान्य भएको छ र यो IPS जस्तै अनिवार्य घटक हो। चेक प्वाइन्टमा, थ्रेट इमुलेशन ब्लेड, जुन स्यान्डब्लास्ट टेक्नोलोजीहरूको भाग हो (त्यहाँ थ्रेट एक्स्ट्र्याक्शन पनि छ), स्यान्डबक्स कार्यक्षमताको लागि जिम्मेवार छ। हामीले पहिले नै प्रकाशित गरिसकेका छौं चेक पोइन्ट SandBlast मा सानो पाठ्यक्रम Gaia 77.30 संस्करणको लागि पनि (यदि तपाईंले हामी अहिले के कुरा गर्दैछौं भनेर बुझ्नुभएको छैन भने म यसलाई हेर्नको लागि सिफारिस गर्दछु)। वास्तुकलाको दृष्टिकोणबाट, त्यसबेलादेखि केही पनि मौलिक रूपमा परिवर्तन भएको छैन। यदि तपाइँसँग तपाइँको नेटवर्कको परिधिमा चेक पोइन्ट गेटवे छ भने, तपाइँ स्यान्डबक्ससँग एकीकरणको लागि दुई विकल्पहरू प्रयोग गर्न सक्नुहुन्छ:

1. SandBlast स्थानीय उपकरण - तपाईंको नेटवर्कमा अतिरिक्त SandBlast उपकरण स्थापना गरिएको छ, जसमा फाइलहरू विश्लेषणको लागि पठाइन्छ।
2. SandBlast क्लाउड - फाइलहरू विश्लेषणको लागि चेक पोइन्ट क्लाउडमा पठाइन्छ।

स्यान्डबक्सलाई नेटवर्क परिधिमा रक्षाको अन्तिम रेखा मान्न सकिन्छ। यो मात्र शास्त्रीय माध्यम द्वारा विश्लेषण पछि जडान हुन्छ - एंटीवायरस, आईपीएस। र यदि त्यस्ता परम्परागत हस्ताक्षर उपकरणहरूले व्यावहारिक रूपमा कुनै पनि विश्लेषणहरू प्रदान गर्दैन भने, त्यसपछि स्यान्डबक्सले फाइललाई किन ब्लक गरिएको थियो र यसले वास्तवमा के खराब गर्छ भनेर विस्तृत रूपमा "बताउन" सक्छ। यो फोरेन्सिक रिपोर्ट स्थानीय र क्लाउड स्यान्डबक्स दुवैबाट प्राप्त गर्न सकिन्छ।

बिन्दु फोरेंसिक रिपोर्ट जाँच गर्नुहोस्

मानौं, तपाईं एक सूचना सुरक्षा विशेषज्ञको रूपमा, काममा आउनुभयो र SmartConsole मा ड्यासबोर्ड खोल्नुभयो। तुरुन्तै तपाईंले पछिल्लो 24 घण्टाका घटनाहरू देख्नुहुन्छ र तपाईंको ध्यान थ्रेट इमुलेशन घटनाहरूमा खिचिएको छ - सबैभन्दा खतरनाक आक्रमणहरू जुन हस्ताक्षर विश्लेषणद्वारा रोकिएका थिएनन्।

तपाइँ यी घटनाहरूमा "ड्रिल डाउन" गर्न सक्नुहुन्छ र थ्रेट इमुलेशन ब्लेडका लागि सबै लगहरू हेर्न सक्नुहुन्छ।

यस पछि, तपाइँ थप रूपमा खतराको क्रिटिकलता स्तर (गम्भीरता), साथै विश्वास स्तर (प्रतिक्रियाको विश्वसनीयता) द्वारा लगहरू फिल्टर गर्न सक्नुहुन्छ:

हामीले रुचि राखेको घटना विस्तार गरिसकेपछि, हामी सामान्य जानकारी (src, dst, severity, प्रेषक, आदि) सँग परिचित हुन सक्छौं।

र त्यहाँ तपाइँ खण्ड देख्न सक्नुहुन्छ फरेन्सिक उपलब्ध संग सारांश रिपोर्ट। यसमा क्लिक गर्दा एक अन्तरक्रियात्मक HTML पृष्ठको रूपमा मालवेयरको विस्तृत विश्लेषण खुल्नेछ:

(यो पृष्ठको अंश हो। मूल यहाँ हेर्न सकिन्छ)

उही रिपोर्टबाट, हामी मूल मालवेयर डाउनलोड गर्न सक्छौं (पासवर्ड-सुरक्षित अभिलेखमा), वा तुरुन्तै चेक पोइन्ट प्रतिक्रिया टोलीलाई सम्पर्क गर्नुहोस्।

ठीक तल तपाईले एउटा सुन्दर एनिमेसन देख्न सक्नुहुन्छ जुन प्रतिशत सर्तहरूमा देखाउँदछ जुन पहिले नै ज्ञात मालिसियस कोड हाम्रो उदाहरणमा समान छ (कोड आफैं र म्याक्रोहरू सहित)। यी एनालिटिक्सहरू चेक पोइन्ट थ्रेट क्लाउडमा मेसिन लर्निङ प्रयोग गरेर डेलिभर गरिन्छ।

त्यसपछि तपाईले देख्न सक्नुहुन्छ कि स्यान्डबक्समा कुन गतिविधिहरूले हामीलाई यो फाइल दुर्भावनापूर्ण छ भन्ने निष्कर्षमा पुग्न अनुमति दियो। यस अवस्थामा, हामी बाइपास प्रविधिको प्रयोग र ransomware डाउनलोड गर्ने प्रयास देख्छौं:

यो नोट गर्न सकिन्छ कि यस अवस्थामा, इमुलेशन दुई प्रणालीहरू (विन 7, विन XP) र विभिन्न सफ्टवेयर संस्करणहरू (Office, Adobe) मा गरिएको थियो। तल स्यान्डबक्समा यो फाइल खोल्ने प्रक्रियाको साथ भिडियो (स्लाइड शो) छ:

उदाहरण भिडियो:

अन्तमा हामी कसरी आक्रमणको विकास भयो भनेर विस्तृत रूपमा देख्न सक्छौं। या त तालिकाको रूपमा वा ग्राफिक रूपमा:

त्यहाँ हामी यो जानकारी RAW ढाँचामा डाउनलोड गर्न सक्छौं र Wireshark मा उत्पन्न ट्राफिकको विस्तृत विश्लेषणको लागि pcap फाइल:

निष्कर्षमा

यो जानकारी प्रयोग गरेर, तपाईं महत्त्वपूर्ण रूपमा आफ्नो नेटवर्क को सुरक्षा बलियो बनाउन सक्नुहुन्छ। भाइरस वितरण होस्टहरू रोक्नुहोस्, शोषण गरिएको कमजोरीहरू, C&C बाट सम्भावित प्रतिक्रिया रोक्नुहोस् र अधिक। यो विश्लेषणलाई बेवास्ता गर्नु हुँदैन।

निम्न लेखहरूमा, हामी समान रूपमा SandBlast Agent, SnadBlast Mobile, साथै CloudGiard SaaS को रिपोर्टहरू हेर्नेछौं। त्यसैले सम्पर्कमा रहनुहोस् (तार, फेसबुक, VK, TS समाधान ब्लग)!

स्रोत: www.habr.com