5. पोइन्ट SandBlast एजेन्ट व्यवस्थापन प्लेटफर्म जाँच गर्नुहोस्। लग, रिपोर्ट र फोरेन्सिक। खतरा शिकार

चेक प्वाइन्ट स्यान्डब्लास्ट एजेन्ट व्यवस्थापन प्लेटफर्म समाधानको बारेमा श्रृंखलाको पाँचौं लेखमा स्वागत छ। अघिल्लो लेखहरू उपयुक्त लिङ्क पछ्याएर फेला पार्न सकिन्छ: पहिलो, दोस्रो, तेस्रो, चौथो। आज हामी व्यवस्थापन प्लेटफर्ममा अनुगमन क्षमताहरू हेर्नेछौं, अर्थात् लगहरू, अन्तरक्रियात्मक ड्यासबोर्डहरू (दृश्य) र रिपोर्टहरूसँग काम गर्ने। हामी प्रयोगकर्ताको मेसिनमा वर्तमान खतराहरू र असामान्य घटनाहरू पहिचान गर्न थ्रेट हन्टिङको विषयमा पनि छुनेछौं।

लग

सुरक्षा घटनाहरूको निगरानीको लागि जानकारीको मुख्य स्रोत लग खण्ड हो, जसले प्रत्येक घटनामा विस्तृत जानकारी प्रदर्शन गर्दछ र तपाइँलाई तपाइँको खोज मापदण्ड परिष्कृत गर्न सुविधाजनक फिल्टरहरू प्रयोग गर्न अनुमति दिन्छ। उदाहरण को लागी, जब तपाइँ रुचि को लग को प्यारामिटर (ब्लेड, कार्य, गम्भीरता, आदि) मा दायाँ क्लिक गर्नुहुन्छ, यो प्यारामिटर को रूप मा फिल्टर गर्न सकिन्छ। फिल्टर: "प्यारामिटर" वा फिल्टर आउट: "प्यारामिटर"। स्रोत प्यारामिटरको लागि पनि IP उपकरण विकल्प चयन गर्न सकिन्छ जहाँ तपाइँ दिइएको IP ठेगाना/नाममा पिङ चलाउन सक्नुहुन्छ वा नामद्वारा स्रोत IP ठेगाना प्राप्त गर्न nslookup चलाउन सक्नुहुन्छ।

लगहरू खण्डमा, घटनाहरू फिल्टर गर्नका लागि, त्यहाँ तथ्याङ्कको उपखण्ड छ, जसले सबै प्यारामिटरहरूमा तथ्याङ्कहरू देखाउँछ: लगहरूको सङ्ख्यासहितको समय रेखाचित्र, साथै प्रत्येक प्यारामिटरका लागि प्रतिशतहरू। यस उपखण्डबाट तपाईले खोज पट्टी प्रयोग नगरीकन र फिल्टरिङ अभिव्यक्तिहरू नलेखी सजिलै लगहरू फिल्टर गर्न सक्नुहुन्छ - केवल रुचिका प्यारामिटरहरू चयन गर्नुहोस् र लगहरूको नयाँ सूची तुरुन्तै प्रदर्शित हुनेछ।

प्रत्येक लगमा विस्तृत जानकारी लग खण्डको दायाँ प्यानलमा उपलब्ध छ, तर सामग्रीहरू विश्लेषण गर्न डबल-क्लिक गरेर लग खोल्न यो धेरै सुविधाजनक छ। तल लग (तस्बिर क्लिक गर्न मिल्ने छ) को उदाहरण छ, जसले संक्रमित ".docx" फाइलमा प्रिभेन्ट एक्शन अफ द थ्रेट इमुलेशन ब्लेडको ट्रिगरिङमा विस्तृत जानकारी देखाउँछ। लगमा धेरै उपखण्डहरू छन् जसले सुरक्षा घटनाको विवरणहरू प्रदर्शन गर्दछ: ट्रिगर गरिएका नीतिहरू र सुरक्षाहरू, फोरेन्सिक विवरणहरू, ग्राहक र ट्राफिकको बारेमा जानकारी। लगबाट उपलब्ध रिपोर्टहरू विशेष ध्यानको योग्य छन् - थ्रेट इमुलेशन रिपोर्ट र फोरेन्सिक रिपोर्ट। यी रिपोर्टहरू SandBlast एजेन्ट ग्राहकबाट पनि खोल्न सकिन्छ।

खतरा अनुकरण रिपोर्ट

थ्रेट इमुलेशन ब्लेड प्रयोग गर्दा, चेक पोइन्ट क्लाउडमा इमुलेशन गरिसकेपछि, इमुलेशन परिणामहरूमा विस्तृत रिपोर्टको लिङ्क - थ्रेट इमुलेशन रिपोर्ट - सम्बन्धित लगमा देखा पर्दछ। यस्तो रिपोर्ट को सामग्री को बारे मा हाम्रो लेख मा विस्तार मा वर्णन गरिएको छ चेक पोइन्ट SandBlast नेटवर्क फोरेन्सिक प्रयोग गरेर मालवेयर विश्लेषण। यो ध्यान दिन लायक छ कि यो रिपोर्ट अन्तरक्रियात्मक छ र तपाइँलाई प्रत्येक खण्डको विवरण "मा डुब्न" अनुमति दिन्छ। भर्चुअल मेसिनमा इमुलेशन प्रक्रियाको रेकर्डिङ हेर्न, मौलिक खराब फाइल डाउनलोड गर्न वा यसको ह्यास प्राप्त गर्न, र चेक पोइन्ट घटना प्रतिक्रिया टोलीलाई सम्पर्क गर्न पनि सम्भव छ।

फोरेन्सिक रिपोर्ट

लगभग कुनै पनि सुरक्षा घटनाको लागि, फोरेन्सिक रिपोर्ट उत्पन्न हुन्छ, जसमा खराब फाइलको बारेमा विस्तृत जानकारी समावेश हुन्छ: यसको विशेषताहरू, कार्यहरू, प्रणालीमा प्रवेश बिन्दु र महत्त्वपूर्ण कम्पनी सम्पत्तिहरूमा प्रभाव। हामीले यस लेखमा विस्तृत रूपमा रिपोर्टको संरचनामा छलफल गर्यौं चेक पोइन्ट SandBlast एजेन्ट फोरेन्सिक प्रयोग गरेर मालवेयर विश्लेषण। यस्तो रिपोर्ट सुरक्षा घटनाहरूको अनुसन्धान गर्दा जानकारीको एक महत्त्वपूर्ण स्रोत हो, र आवश्यक भएमा, रिपोर्टको सामग्री तुरुन्तै चेक पोइन्ट घटना प्रतिक्रिया टोलीलाई पठाउन सकिन्छ।

स्मार्ट दृश्य

चेक प्वाइन्ट स्मार्टभ्यू पीडीएफ ढाँचामा गतिशील ड्यासबोर्डहरू (हेर्नुहोस्) र रिपोर्टहरू सिर्जना गर्न र हेर्नको लागि एक सुविधाजनक उपकरण हो। SmartView बाट तपाईले प्रयोगकर्ता लगहरू र प्रशासकहरूको लागि अडिट घटनाहरू पनि हेर्न सक्नुहुन्छ। तलको चित्रले SandBlast Agent सँग काम गर्नका लागि सबैभन्दा उपयोगी रिपोर्टहरू र ड्यासबोर्डहरू देखाउँछ।

SmartView मा रिपोर्टहरू एक निश्चित समयावधिमा घटनाहरू बारे सांख्यिकीय जानकारी भएका कागजातहरू हुन्। यसले SmartView खुला रहेको मेसिनमा PDF ढाँचामा रिपोर्टहरू अपलोड गर्न समर्थन गर्दछ, साथै प्रशासकको इमेलमा PDF/Excel मा नियमित अपलोड गर्न। थप रूपमा, यसले रिपोर्ट टेम्प्लेटहरूको आयात/निर्यात, तपाईंको आफ्नै रिपोर्टहरू सिर्जना गर्न, र रिपोर्टहरूमा प्रयोगकर्ता नामहरू लुकाउने क्षमतालाई समर्थन गर्दछ। तलको चित्रले निर्मित खतरा रोकथाम रिपोर्टको उदाहरण देखाउँछ।

SmartView मा ड्यासबोर्डहरू (दृश्य) ले प्रशासकलाई सम्बन्धित घटनाका लगहरू पहुँच गर्न अनुमति दिन्छ - केवल रुचिको वस्तुमा डबल-क्लिक गर्नुहोस्, यो चार्ट स्तम्भ होस् वा खराब फाइलको नाम। रिपोर्टहरू जस्तै, तपाईं आफ्नै ड्यासबोर्डहरू सिर्जना गर्न र प्रयोगकर्ता डेटा लुकाउन सक्नुहुन्छ। ड्यासबोर्डहरूले टेम्प्लेटहरूको आयात/निर्यात, प्रशासकको इमेलमा PDF/Excel मा नियमित अपलोड, र वास्तविक समयमा सुरक्षा घटनाहरूको निगरानी गर्न स्वचालित डेटा अपडेटहरूलाई पनि समर्थन गर्दछ।

अतिरिक्त अनुगमन खण्डहरू

व्यवस्थापन प्लेटफर्ममा अनुगमन उपकरणहरूको विवरण सिंहावलोकन, कम्प्युटर व्यवस्थापन, अन्त्य बिन्दु सेटिङहरू र पुश अपरेशन सेक्सनहरू उल्लेख नगरी अपूर्ण हुनेछ। यी खण्डहरूमा विस्तृत रूपमा वर्णन गरिएको छ दोस्रो लेखतथापि, अनुगमन समस्याहरू समाधान गर्न तिनीहरूको क्षमताहरू विचार गर्न उपयोगी हुनेछ। ओभरभ्यूबाट सुरु गरौं, जसमा दुईवटा उपखण्डहरू छन् - अपरेशनल ओभरभ्यू र सेक्युरिटी ओभरभ्यू, जुन सुरक्षित प्रयोगकर्ता मेसिन र सुरक्षा घटनाहरूको अवस्थाको बारेमा जानकारी भएको ड्यासबोर्डहरू हुन्। कुनै पनि अन्य ड्यासबोर्डसँग अन्तर्क्रिया गर्दा, अपरेशनल अवलोकन र सुरक्षा अवलोकन उपखण्डहरू, रुचिको प्यारामिटरमा डबल-क्लिक गर्दा, तपाइँलाई चयन गरिएको फिल्टर (उदाहरणका लागि, "डेस्कटपहरू" वा "पूर्व-प्रि-) संग कम्प्युटर व्यवस्थापन खण्डमा पुग्न अनुमति दिन्छ। बुट स्थिति: सक्षम"), वा विशेष घटनाको लागि लग खण्डमा। सुरक्षा अवलोकन उपखण्ड एक "साइबर आक्रमण दृश्य - अन्त्य बिन्दु" ड्यासबोर्ड हो, जुन अनुकूलित गर्न सकिन्छ र डेटा स्वचालित रूपमा अद्यावधिक गर्न सेट गर्न सकिन्छ।

कम्प्युटर व्यवस्थापन खण्डबाट तपाईंले प्रयोगकर्ता मेसिनहरूमा एजेन्टको स्थिति, एन्टी-मालवेयर डाटाबेसको अद्यावधिक स्थिति, डिस्क इन्क्रिप्शनका चरणहरू, र थप धेरै कुराहरू निगरानी गर्न सक्नुहुन्छ। सबै डेटा स्वचालित रूपमा अपडेट हुन्छ, र प्रत्येक फिल्टरको लागि मिल्दो प्रयोगकर्ता मेसिनहरूको प्रतिशत प्रदर्शित हुन्छ। CSV ढाँचामा कम्प्युटर डाटा निर्यात पनि समर्थित छ।

वर्कस्टेशनहरूको सुरक्षा अनुगमन गर्ने एउटा महत्त्वपूर्ण पक्ष भनेको कम्पनीको लग सर्भरमा भण्डारणको लागि महत्वपूर्ण घटनाहरू (अलर्टहरू) र निर्यात लगहरू (निर्यात घटनाहरू) बारे सूचनाहरू सेट अप गर्नु हो। दुबै सेटिङहरू अन्तिम बिन्दु सेटिङहरू खण्डमा बनाइएका छन्, र को लागि सतर्कता प्रशासकलाई घटना सूचनाहरू पठाउनको लागि मेल सर्भर जडान गर्न र घटनाको मापदण्ड पूरा गर्ने यन्त्रहरूको प्रतिशत/संख्याको आधारमा सूचनाहरू ट्रिगर/असक्षम गर्ने थ्रेसहोल्डहरू कन्फिगर गर्न सम्भव छ। घटनाहरू निर्यात गर्नुहोस् थप प्रशोधनको लागि व्यवस्थापन प्लेटफर्मबाट कम्पनीको लग सर्भरमा लगहरूको स्थानान्तरण कन्फिगर गर्न अनुमति दिन्छ। SYSLOG, CEF, LEEF, SPLUNK ढाँचाहरू, TCP/UDP प्रोटोकलहरू, चलिरहेको syslog एजेन्टको साथ कुनै SIEM प्रणालीहरू, TLS/SSL एन्क्रिप्शन र syslog ग्राहक प्रमाणीकरणको प्रयोगलाई समर्थन गर्दछ।

एजेन्टमा भएका घटनाहरूको गहिरो विश्लेषणको लागि वा प्राविधिक सहयोगलाई सम्पर्क गर्ने अवस्थामा, तपाईंले पुश अपरेशन सेक्सनमा जबरजस्ती अपरेशन प्रयोग गरेर SandBlast एजेन्ट ग्राहकबाट लगहरू द्रुत रूपमा सङ्कलन गर्न सक्नुहुन्छ। तपाईंले लगहरूद्वारा उत्पन्न अभिलेखको स्थानान्तरणलाई पोइन्ट सर्भरहरू वा कर्पोरेट सर्भरहरू जाँच गर्न कन्फिगर गर्न सक्नुहुन्छ, र लगहरू भएको अभिलेखलाई C:UsersusernameCPInfo डाइरेक्टरीमा प्रयोगकर्ताको मेसिनमा सुरक्षित गरिन्छ। यसले निर्दिष्ट समयमा लग सङ्कलन प्रक्रिया सुरू गर्न र प्रयोगकर्ताद्वारा सञ्चालन स्थगित गर्ने क्षमतालाई समर्थन गर्दछ।

खतरा शिकार

सम्भावित सुरक्षा घटनाको थप अनुसन्धान गर्न प्रणालीमा दुर्भावनापूर्ण गतिविधिहरू र असामान्य व्यवहारको लागि सक्रिय रूपमा खोजी गर्न थ्रेट हन्टिङ प्रयोग गरिन्छ। व्यवस्थापन प्लेटफर्ममा खतरा शिकार खण्डले तपाईंलाई प्रयोगकर्ता मेसिन डेटामा निर्दिष्ट प्यारामिटरहरूसँग घटनाहरू खोज्न अनुमति दिन्छ।

थ्रेट हन्टिङ उपकरणसँग धेरै पूर्वनिर्धारित प्रश्नहरू छन्, उदाहरणका लागि: खराब डोमेन वा फाइलहरू वर्गीकरण गर्न, निश्चित IP ठेगानाहरूमा दुर्लभ अनुरोधहरू ट्र्याक गर्नुहोस् (सामान्य तथ्याङ्कको सापेक्ष)। अनुरोध संरचना तीन प्यारामिटरहरू समावेश छन्: सूचक (नेटवर्क प्रोटोकल, प्रक्रिया पहिचानकर्ता, फाइल प्रकार, आदि), अपरेटर (“है”, “हैन”, “समावेश”, “एक”, आदि) र शरीर अनुरोध गर्नुहोस्। तपाईंले अनुरोधको मुख्य भागमा नियमित अभिव्यक्तिहरू प्रयोग गर्न सक्नुहुन्छ, र तपाईंले खोज पट्टीमा एकै साथ धेरै फिल्टरहरू प्रयोग गर्न सक्नुहुन्छ।

फिल्टर चयन गरेपछि र अनुरोध प्रशोधन पूरा गरेपछि, तपाईंसँग घटनाको बारेमा विस्तृत जानकारी हेर्न, अनुरोध वस्तुलाई क्वारेन्टाइन गर्न वा घटनाको विवरणसहितको विस्तृत फोरेन्सिक रिपोर्ट उत्पन्न गर्ने क्षमताको साथ सबै सान्दर्भिक घटनाहरूमा पहुँच हुन्छ। हाल, यो उपकरण बिटा संस्करणमा छ र भविष्यमा यो क्षमताहरूको सेट विस्तार गर्ने योजना छ, उदाहरणका लागि, Miter Att&ck म्याट्रिक्सको रूपमा घटनाको बारेमा जानकारी थप्दै।

निष्कर्षमा

संक्षेप गरौं: यस लेखमा हामीले स्यान्डब्लास्ट एजेन्ट व्यवस्थापन प्लेटफर्ममा सुरक्षा घटनाहरू निगरानी गर्ने क्षमताहरू हेर्यौं, र प्रयोगकर्ता मेसिनहरूमा दुर्भावनापूर्ण कार्यहरू र विसंगतिहरूको लागि सक्रिय रूपमा खोजी गर्नको लागि नयाँ उपकरण अध्ययन गर्‍यौं - थ्रेट हन्टिंग। अर्को लेख यस शृङ्खलाको अन्तिम हुनेछ र यसमा हामी व्यवस्थापन प्लेटफर्म समाधानको बारेमा प्रायः सोधिने प्रश्नहरू हेर्नेछौं र यस उत्पादनको परीक्षण गर्ने सम्भावनाहरूको बारेमा कुरा गर्नेछौं।

TS समाधानबाट चेक पोइन्टमा सामग्रीहरूको ठूलो चयन। SandBlast Agent Management Platform को विषयमा अर्को प्रकाशनहरू नछुटाउनको लागि, हाम्रो सामाजिक सञ्जालहरूमा अद्यावधिकहरू पालना गर्नुहोस् (तार, फेसबुक, VK, TS समाधान ब्लग, Yandex Zen).

स्रोत: www.habr.com