{"id":92913,"date":"2020-09-01T13:42:56","date_gmt":"2020-09-01T11:42:56","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/5-check-point-sandblast-agent-management-platform-logs-reports-forensics-threat-hunting"},"modified":"2020-09-01T13:42:56","modified_gmt":"2020-09-01T11:42:56","slug":"5-check-point-sandblast-agent-management-platform-logs-reports-forensics-threat-hunting","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/5-check-point-sandblast-agent-management-platform-logs-reports-forensics-threat-hunting","title":{"rendered":"5. Check Point SandBlast Agent Management Platform. Logs, Rapporten & Forensisch Onderzoek. Threat Hunting","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"5.
\n
\nWelkom bij het vijfde artikel in de serie over de Check Point SandBlast Agent Management Platform. U kunt de vorige artikelen bekijken door de desbetreffende link te volgen: eerste<\/a><\/noindex>, tweede<\/a><\/noindex>, derde<\/a><\/noindex>, de vierde<\/a><\/noindex>. Vandaag zullen we de monitoring mogelijkheden binnen het Management Platform bespreken, met name het werken met logs, interactieve dashboards (View) en rapporten. We zullen ook het onderwerp Threat Hunting behandelen om actuele bedreigingen en anomale gebeurtenissen op de gebruikersmachine te identificeren.
\n<\/a><\/noindex><\/p>\n

Logs<\/h2>\n

\nDe belangrijkste informatiebron voor het monitoren van beveiligingsevenementen is de sectie Logs, die gedetailleerde informatie over elk incident weergeeft en het gebruik van handige filters voor het verfijnen van zoekcriteria mogelijk maakt. Bijvoorbeeld, door met de rechtermuisknop op een parameter (Blade, Actie, Ernst en dergelijke) van de gewenste log te klikken, kan deze parameter worden gefilterd als Filter: \u00abParameter\u00bb<\/i> of Filter Verwijderen: \u00abParameter\u00bb<\/i>. Voor de parameter Source kan ook de optie IP Tools worden gekozen, waarmee u een ping kunt uitvoeren naar dit IP-adres\/naam of nslookup kunt uitvoeren om het IP-adres van de bron op naam te verkrijgen.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

In de sectie Logs is er een subsectie Statistics voor het filteren van evenementen, waarin statistieken over alle parameters worden weergegeven: een tijdgrafiek met het aantal logs en percentage gegevens per parameter. Vanuit deze subsectie kunnen logs eenvoudig worden gefilterd zonder gebruik te maken van de zoekbalk en het schrijven van filteruitdrukkingen \u2014 het is voldoende om de gewenste parameters te selecteren en de nieuwe lijst met logs verschijnt onmiddellijk.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Gedetailleerde informatie over elk log is beschikbaar in het rechterpaneel van het Logs-gedeelte, maar het is handiger om het logbestand met een dubbele klik te openen voor een inhoudsanalyse. Hieronder staat een voorbeeld van een log (de afbeelding is klikbaar), waarin gedetailleerde informatie over de activering van de Prevent-actie van de Threat Emulation-blade op een ge\u00efnfecteerd bestand ".docx" zichtbaar is. Het log heeft verschillende subsectoren die details van het beveiligingsevenement weergeven: de ingeschakelde beleidsmaatregelen en bescherming, forensische details, informatie over de cli\u00ebnt en het verkeer. Bijzondere aandacht gaat uit naar de beschikbare rapporten in het log \u2014 het Threat Emulation Report en het Forensics Report. Deze rapporten kunnen ook vanuit de SandBlast Agent-client worden geopend.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Threat Emulation Report<\/h3>\n

\n\"5.<\/a><\/noindex><\/p>\n

Bij het gebruik van de Threat Emulation blade verschijnt na de emulatie in de Check Point cloud een link naar een gedetailleerd rapport over de emulatieresultaten in het bijbehorende log \u2014 het Threat Emulation Report. De inhoud van dit rapport wordt uitvoerig beschreven in ons artikel over het analyseren van malware met Check Point SandBlast Network forensics<\/a><\/noindex>. Het is vermeldenswaard dat dit rapport interactief is en het mogelijk maakt om in detail in elke sectie te duiken. Daarnaast is er de mogelijkheid om de opname van het emulatieproces in een virtuele machine te bekijken, het originele kwaadaardige bestand te downloaden of de hash ervan te verkrijgen, en om contact op te nemen met het Check Point Incident Response Team.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Forensics Report<\/h3>\n

\nVoor bijna elk beveiligingsincident wordt een Forensics Report gegenereerd, waarin gedetailleerde informatie over het kwaadaardige bestand is opgenomen: de kenmerken, acties, het toegangspunt tot het systeem en de impact op belangrijke bedrijfsmiddelen. De structuur van het rapport is uitvoerig besproken in ons artikel over het analyseren van malware met Check Point SandBlast Agent forensics<\/a><\/noindex>. Zo'n rapport is een belangrijke informatiebron bij het onderzoeken van beveiligingsincidenten, en indien nodig kan de inhoud van het rapport direct worden verzonden naar het Check Point Incident Response Team.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

SmartView<\/h2>\n

\nCheck Point SmartView is een handige tool voor het opbouwen en bekijken van dynamische dashboards (View) en rapporten in PDF-formaat. Vanuit SmartView kunnen ook gebruikerslogs en auditgebeurtenissen voor beheerders worden bekeken. Hieronder staan de meest nuttige rapporten en dashboards voor het werken met SandBlast Agent.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Rapporten in SmartView zijn documenten met statistische informatie over gebeurtenissen gedurende een bepaalde periode. Exporteren van rapporten naar PDF op de machine waar SmartView is geopend is mogelijk, evenals regelmatige export naar PDF\/Excel naar het e-mailadres van de beheerder. Bovendien wordt de import\/export van sjablonen voor rapporten ondersteund, het cre\u00ebren van eigen rapporten en de mogelijkheid om gebruikersnamen in rapporten te verbergen. Hieronder is een voorbeeld weergegeven van het ingebouwde rapport Threat Prevention.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Dashboards (View) in SmartView geven de beheerder toegang tot logs voor het betreffende evenement \u2014 het is genoeg om twee keer op het gewenste object te klikken, of het nu een kolom in een diagram is of de naam van een schadelijk bestand. Net als bij rapporten kunnen eigen dashboards worden aangemaakt en kunnen gebruikersgegevens worden verborgen. Voor dashboards wordt ook import\/export van sjablonen ondersteund, regelmatige uitvoer naar PDF\/Excel naar het e-mailadres van de beheerder en automatische gegevensupdates voor real-time beveiligingsmonitoring.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Aanvullende monitoringsecties<\/h2>\n

\nEen beschrijving van de monitoringtools in het Management Platform zou incompleet zijn zonder de secties Overzicht, Computerbeheer, Eindpuntinstellingen en Push-operaties te vermelden. Deze secties zijn gedetailleerd beschreven in tweede artikel<\/a><\/noindex>, maar het is nuttig om hun mogelijkheden voor monitoringtaken te bekijken. Laten we beginnen met Overzicht, dat uit twee subsections bestaat \u2014 Operationeel Overzicht en Beveiligingsoverzicht, die dashboards zijn met informatie over de status van de beveiligde gebruikersmachines en beveiligingsevents. Net als bij interactie met andere dashboards, stellen de subsections Operationeel Overzicht en Beveiligingsoverzicht de gebruiker in staat om door dubbelklikken op een interessant parameter naar de sectie Computerbeheer te gaan met de gekozen filter (bijvoorbeeld 'Desktops' of 'Pre-Boot Status: Ingeschakeld'), of naar de sectie Logs voor een specifiek evenement. De subsector Beveiligingsoverzicht is een dashboard 'Cyberaanvalsoverzicht - Eindpunt', dat kan worden gepersonaliseerd en automatische gegevensupdates kan worden ingesteld.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Vanuit de sectie Computerbeheer kan de status van de agent op gebruikersmachines, de status van database-updates voor Anti-Malware, de fasen van schijfversleuteling en veel meer worden gevolgd. Alle gegevens worden automatisch bijgewerkt, en voor elk van de filters wordt het percentage geschikte gebruikersmachines weergegeven. Export van computerdata in CSV-formaat wordt eveneens ondersteund.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Een belangrijk aspect van het monitoren van de beveiliging van werkstations is het instellen van meldingen voor kritische evenementen (Alerts) en het exporteren van logs (Export Events) voor opslag op de logserver van het bedrijf. Beide instellingen worden uitgevoerd in de sectie Eindpuntinstellingen, en voor Alerts<\/i> er is de mogelijkheid om een e-mailserver aan te sluiten voor het verzenden van meldingen over gebeurtenissen naar de beheerder en om de drempelwaarden voor in- of uitschakeling van meldingen te configureren op basis van percentage\/aantal apparaten die aan de criteria van de gebeurtenis voldoen. Export Events<\/i> maakt het mogelijk om logboeken van het Management Platform naar de logserver van het bedrijf door te sturen voor verdere verwerking. Ondersteuning voor de formaten SYSLOG, CEF, LEEF, SPLUNK, protocollen TCP\/UDP, alle SIEM-systemen met een werkende syslog-agent, gebruik van TLS\/SSL-encryptie en authenticatie van de syslog-client.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Voor diepgaande analyse van gebeurtenissen op de agent of in het geval van contact met technische ondersteuning kunnen de logs van de SandBlast Agent-client snel worden verzameld via een geforceerde operatie in de sectie Push Operations. Het is mogelijk om de samengestelde logarchieven door te sturen naar de Check Point-servers of naar de bedrijfsservers; het archief met logs wordt ook opgeslagen op de gebruikersmachine in de directory C:UsersusernameCPInfo. Het is mogelijk om het proces van logverzameling op een bepaald tijdstip te starten en de operatie door de gebruiker uit te stellen.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Threat Hunting<\/h2>\n

\nDe methode Threat Hunting wordt gebruikt voor proactieve opsporing van kwaadaardige activiteiten en abnormaal gedrag in het systeem voor verder onderzoek van potenti\u00eble beveiligingsincidenten. De sectie Threat Hunting in het Management Platform maakt het mogelijk om gebeurtenissen te doorzoeken met specifieke parameters in de gegevens van de gebruikersmachine.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

De Threat Hunting-tool heeft verschillende vooraf ingestelde zoekopdrachten, bijvoorbeeld: voor de classificatie van kwaadaardige domeinen of bestanden, het volgen van zeldzame verzoeken naar bepaalde IP-adressen (ten opzichte van de algemene statistieken). De structuur van de zoekopdracht bestaat uit drie parameters: indicator<\/i> (netwerkprotocol, proces-id, bestandstype, enz.), operator<\/i> (\"is\", \"is niet\", \"bevat\", \"een van\" enz.) en de body van de verzoek<\/i>. In de body van de verzoek kunnen reguliere expressies worden gebruikt, en het is mogelijk om meerdere filters gelijktijdig in de zoekregel te gebruiken.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Na het selecteren van de filter en het voltooien van de aanvraagverwerking, krijgt u toegang tot alle relevante gebeurtenissen, met de mogelijkheid om gedetailleerde informatie over de gebeurtenis te bekijken, het aanvraagobject in quarantaine te plaatsen of een gedetailleerd Forensics Report te genereren met een beschrijving van de gebeurtenis. Momenteel is deze tool in b\u00e8tafase en zijn er plannen om de mogelijkheden uit te breiden, bijvoorbeeld door het toevoegen van gebeurtenisinformatie in de vorm van de Mitre Att&ck-matrix.<\/p>\n

\"5.<\/a><\/noindex><\/p>\n

Conclusie<\/h3>\n

\nLaten we de balans opmaken: in dit artikel hebben we de mogelijkheden voor het monitoren van beveiligingsgebeurtenissen in het SandBlast Agent Management Platform besproken, hebben we een nieuwe tool voor proactieve opsporing van kwaadwillende activiteiten en anomalie\u00ebn op gebruikersmachines \u2014 Threat Hunting \u2014 onderzocht. Het volgende artikel zal het sluitstuk van deze cyclus zijn en daarin zullen we de meest voorkomende vragen over de Management Platform-oplossingen behandelen en de testmogelijkheden van dit product bespreken.<\/p>\n

Grote verzameling materiaal over Check Point van TS Solution<\/a><\/noindex>. Volg onze sociale media om de volgende publicaties over het SandBlast Agent Management Platform niet te missen (Telegram<\/a><\/noindex>, Facebook<\/a><\/noindex>, VK<\/a><\/noindex>, TS Solution Blog<\/a><\/noindex>, Yandex.Zen<\/a><\/noindex>).
\n
Bron: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0414\u043e\u0431\u0440\u043e \u043f\u043e\u0436\u0430\u043b\u043e\u0432\u0430\u0442\u044c \u043d\u0430 \u043f\u044f\u0442\u0443\u044e \u0441\u0442\u0430\u0442\u044c\u044e \u0446\u0438\u043a\u043b\u0430 \u043e \u0440\u0435\u0448\u0435\u043d\u0438\u0438 Check Point SandBlast Agent Management Platform. \u0421 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0438\u043c\u0438 \u0441\u0442\u0430\u0442\u044c\u044f\u043c\u0438 \u043c\u043e\u0436\u043d\u043e \u043e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u0442\u044c\u0441\u044f, \u043f\u0435\u0440\u0435\u0439\u0434\u044f \u043f\u043e \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u0439 \u0441\u0441\u044b\u043b\u043a\u0435: \u043f\u0435\u0440\u0432\u0430\u044f, \u0432\u0442\u043e\u0440\u0430\u044f, \u0442\u0440\u0435\u0442\u044c\u044f, \u0447\u0435\u0442\u0432\u0451\u0440\u0442\u0430\u044f. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0430 \u0432 Management Platform, \u0430 \u0438\u043c\u0435\u043d\u043d\u043e \u0440\u0430\u0431\u043e\u0442\u0443 \u0441 \u043b\u043e\u0433\u0430\u043c\u0438, \u0438\u043d\u0442\u0435\u0440\u0430\u043a\u0442\u0438\u0432\u043d\u044b\u043c\u0438 \u0434\u0430\u0448\u0431\u043e\u0440\u0434\u0430\u043c\u0438 (View) \u0438 \u043e\u0442\u0447\u0451\u0442\u0430\u043c\u0438. \u0422\u0430\u043a\u0436\u0435 \u0437\u0430\u0442\u0440\u043e\u043d\u0435\u043c \u0442\u0435\u043c\u0443 Threat Hunting \u0434\u043b\u044f \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u044f \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0433\u0440\u043e\u0437 \u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":92914,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-92913","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd475. Check Point SandBlast Agent Management Platform. Logs, Rapporten & Forensics. Threat Hunting | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/5-check-point-sandblast-agent-management-platform-logs-reports-forensics-threat-hunting","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd475. Check Point SandBlast Agent Management Platform. Logs, Reports & Forensics. Threat Hunting | ProHoster","og:url":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/5-check-point-sandblast-agent-management-platform-logs-reports-forensics-threat-hunting","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-01T11:42:56+00:00","article:modified_time":"2020-09-01T11:42:56+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"92913","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:58:25","updated":"2022-09-30 07:34:54","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/92913","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=92913"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/92913\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media\/92914"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=92913"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=92913"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=92913"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}