Continuamos a explorar a nova plataforma em nuvem Check Point Management Platform para a gestão da proteção dos computadores dos usuários — SandBlast Agent. Descrevemos os principais componentes do SandBlast Agent, conhecemos a arquitetura do Check Point Infinity e registramos o aplicativo SandBlast Agent Management Platform no portal Infinity Portal. Hoje, vamos explorar detalhadamente a interface web do sistema de gestão de agentes — este artigo servirá como um guia prático para todas as funções e recursos da consola em nuvem. E como preparação para o próximo artigo, vamos instalar o SandBlast Agent e entender sua interface.
Estrutura da consola de gestão Management Platform
A interface do SandBlast Agent Management Platform pode ser dividida em três componentes:
- Painel de controle — localizada na parte superior da interface, permite realizar as tarefas básicas de administração: gerenciar contas, entrar em contato com o suporte técnico da Check Point e configurar o perfil do administrador;
- Painel de navegação — localizado à esquerda, permite alternar entre os principais componentes do painel de controle, como a seção de configuração de políticas, exibição de logs, etc.;
- Área de trabalho — ocupa a maior parte da consola de gestão e inclui a capacidade de configurar as seções do painel de navegação, exibir informações gráficas (logs, relatórios) e configurar parâmetros globais do sistema.
Vamos considerar mais detalhadamente cada elemento do sistema SandBlast Agent Management Platform. As áreas de trabalho serão descritas detalhadamente para todos os componentes do painel de navegação, mas por enquanto, vamos começar com os recursos do painel de controle.
Painel de controle
O painel de controle consiste em 6 componentes, que vamos analisar da esquerda para a direita. O primeiro é o botão ‘Menu’, ao clicar no qual suas atuais serviços do portal são exibidos, permitindo adicionar novos serviços das categorias Cloud Protection, Network Protection e Endpoint Protection à sua conta. Em seguida, temos o nome do aplicativo atual em que você está trabalhando — neste caso, é o SandBlast Agent Management Platform. Ao clicar no ícone do aplicativo, você sempre pode acessar a seção ‘OVERVIEW’ do painel de navegação. O terceiro elemento é o ícone de gerenciamento de contas, que permite alternar rapidamente entre as contas das empresas nas quais você é administrador.
O quarto componente do painel de controle é o botão de ajuda, que permite contatar o suporte técnico da Check Point diretamente do console e acessar para monitorar o status dos recursos em nuvem e da web da Check Point, bem como acessar os "Guias do Administrador" da SandBlast Agent Management Platform e do Infinity Portal. O próximo elemento é o seu perfil no Infinity Portal, clicando no qual você pode "navegar" para as configurações do perfil ou sair do perfil atual. E, finalmente, o último elemento do painel de controle é um botão para acessar o site .
Configurações do perfil do Infinity Portal
Ao clicar no nome do seu perfil no Infinity Portal, abre-se uma área de trabalho para as configurações do perfil: você pode alterar o nome de usuário exibido e o número de telefone, além de mudar o idioma da interface (no momento, estão disponíveis inglês e japonês) e selecionar a conta à qual o perfil está vinculado. Além disso, é possível alterar a senha atual do perfil e ativar a autenticação de dois fatores usando o Google Authenticator ou o Twilio Authy para acessar o portal. O processo de configuração da autenticação de dois fatores é muito simples - através do aplicativo, você escaneia um código QR, após o que insere o token de acesso gerado e confirma a ativação da 2FA.
Painel de navegação
O console de gerenciamento da SandBlast Agent Management Platform contém 9 seções no painel de navegação, como mostrado na figura abaixo, permitindo realizar várias tarefas de implantação e administração dos agentes, bem como gerenciar as configurações do console web. Vamos revisar brevemente cada uma das seções, e para obter informações detalhadas - clique no spoiler com o nome da seção de seu interesse. Vamos lá:
- VISÃO GERAL — seção composta por vários painéis que exibem o status atual das máquinas cliente e dos agentes sob a perspectiva de funcionalidade (número de máquinas protegidas, suas versões de sistema operacional, estado dos agentes, mensagens de erro, etc.) e sob a perspectiva de segurança (dados sobre máquinas atacadas e infectadas, ataques ativos e bloqueados, linha do tempo de ataques, etc.);
Seção VISÃO GERAL: detalhes
Esta seção é composta por dois subníveis: Visão Geral Operacional e Visão Geral de Segurança. Na primeira seção, Visão Geral Operacional, são exibidas informações sobre o estado dos dispositivos e agentes dos usuários: quantidade de dispositivos protegidos, características dos computadores dos usuários (tipo de dispositivo — computador pessoal/notebook, tipo de sistema operacional — Windows/MacOS), estatísticas do processo de implantação de agentes, 'estado de saúde' dos dispositivos, informações sobre a atualização de bancos de dados antivírus nos computadores, bem como versões do SandBlast Agent instaladas e versões dos sistemas operacionais em uso, e uma área com eventos ativos (Alertas). A partir desta subseção, é possível baixar o cliente SandBlast Agent.
A segunda subseção, Visão Geral de Segurança, exibe informações sobre o nível de proteção dos dispositivos dos usuários e sobre ataques (ativos e bloqueados). Esta subseção permite filtrar as informações exibidas por tempo, bem como definir parâmetros de busca por objetos específicos. Cada um dos blocos da seção Visão Geral de Segurança pode ser configurado individualmente — é possível adicionar gráficos de diferentes tipos, que exibirão informações de acordo com o filtro definido. A subseção pode ser exportada como um relatório nos formatos Excel/PDF. A partir desta subseção, também é possível baixar o cliente SandBlast Agent.
- POLÍTICA — seção do painel de navegação, onde são configurados os parâmetros da política de segurança unificada (denominada Política Unificada), além de definir regras para a disseminação de agentes e configurações globais de políticas;
Seção POLÍTICA: detalhes
A primeira subseção, Prevenção de Ameaças, permite configurar as regras de política de segurança especificando os objetos aos quais a política será aplicada, bem como ajustar detalhadamente o funcionamento das blades. Cada regra pode conter configurações para três componentes lógicos da política de Prevenção de Ameaças: Proteção da Web e Arquivos, Proteção Comportamental, Análise e Remediação. O componente Proteção da Web e Arquivos inclui configurações de Filtragem de URL, Proteção de Download, Proteção de Credenciais, Proteção de Arquivos. O componente Proteção Comportamental consiste nas blades Anti-Bot, Behavioral Guard e Anti-Ransomware, Anti-Exploit. O componente Análise e Remediação inclui Análise automatizada de ataques (forense), Remediação e Resposta.
Existem 3 perfis pré-configurados que regulam as configurações dos componentes de segurança: Tuning (todas as blades estão no modo Detect), Recommended (parte das blades está no modo Detect) e Default (apenas URL Filtering está no modo Detect). Além disso, na seção Threat Prevention, é possível adicionar exceções (no Exclusions Center) para contornar as regras de política.
A segunda seção — Proteção de Dados, inclui as configurações de criptografia de disco Full Disk Encryption. É suportada a criptografia Check Point e a criptografia BitLocker para Windows, File Vault para MacOS. Além disso, existe a possibilidade de configurar parâmetros de criptografia adicionais, Pre-Boot Authentication e configurações avançadas de Windows Authentication.
A próxima seção — Deployment, onde as configurações de instalação dos componentes SandBlast Agent nos computadores dos usuários são ajustadas. Nesta seção, é possível segmentar a instalação de diferentes blades para diferentes máquinas e versões de agentes com base nas regras de política.
A última seção, Configurações da Política Global, permite configurar uma senha para remover o SandBlast Agent do computador do usuário, alterar os parâmetros de dados a serem enviados ao Check Point, além de definir as características da senha para Full Disk Encryption.
- GERENCIAMENTO DE COMPUTADORES — um área do painel de navegação que exibe informações detalhadas sobre todas as máquinas clientes, além de permitir gerenciar grupos lógicos de computadores, executar ações forçadas (Push Operation) e configurar a criptografia de disco (Ações de Criptografia de Disco);
Seção GERENCIAMENTO DE COMPUTADORES: detalhadamente
Na seção GERENCIAMENTO DE COMPUTADORES, existem três componentes principais: ícones de configuração, uma área de exibição de informações sobre máquinas dos usuários e filtros para ajustar os parâmetros de exibição. Vamos analisar os ícones de configuração da esquerda para a direita: atualização de informações; exportação do relatório da máquina selecionada em formato CSV; criação de um Directory Scanner para obter informações sobre usuários, máquinas e grupos do Active Directory; gerenciamento de grupos (criação/edição/exclusão); criação de um novo grupo virtual; adição de uma máquina de usuário a um grupo virtual existente; adição de uma ação forçada da categoria Push Operation (discutida em detalhe na seção correspondente); criação de tarefas de recuperação de dados de um disco criptografado em caso de problemas de acesso (Ações de Criptografia de Disco).
Grupos Virtuais permitem agrupar máquinas de usuários em grupos lógicos para uma gestão flexível. Esses grupos podem ser usados como uma alternativa ao Active Directory ou em conjunto com o AD. Existem vários grupos virtuais que são automaticamente atribuídos às máquinas de usuários, como Desktops, Laptops, Servidores, entre outros.
O campo de exibição das máquinas de usuários pode ser configurado de acordo com os filtros mostrados na imagem acima. O primeiro filtro (por propriedade dos computadores) possui vários critérios embutidos e permite exibir os computadores de usuários com base em suas características, estado da máquina ou componentes do SandBlast Agent. O segundo filtro (por grupo virtual) possibilita a seleção por grupos virtuais, e o terceiro (por unidade organizacional) — por parâmetros do Active Directory.
- LOGS — painel de exibição de logs, demonstrando estatísticas sobre vários parâmetros (blades, criticidade do evento, máquinas de usuários etc.), e fornecendo informações detalhadas sobre cada log;
Seção LOGS: detalhes
Esta seção oferece uma interface conveniente para a análise de logs, com várias ferramentas de filtragem. De maneira geral, na área de trabalho da seção LOGS, podemos destacar 4 componentes: a barra de busca superior para consultas e escolha de intervalo de tempo; o painel esquerdo com estatísticas sobre diferentes critérios; a área central exibindo todos os logs e suas informações principais; o painel direito com a exibição detalhada das informações sobre o log selecionado. É possível exibir logs sem informações sobre o usuário e a máquina (Ocultar Identidades) e exportar para um arquivo Excel.
- OPERAÇÕES PUSH — seção onde são criadas e rastreadas tarefas executadas na máquina cliente de forma forçada (coleta de logs, reinicialização ou desligamento da máquina, verificação de malware/arquivos etc.);
Seção OPERAÇÕES PUSH: detalhes
Nesta seção, existem duas áreas de trabalho principais: na parte superior são configuradas e exibidas as tarefas forçadas para máquinas clientes, enquanto na parte inferior é apresentada informação detalhada sobre a tarefa selecionada.
Existem três categorias de operações forçadas, cada uma com várias tarefas: na categoria Anti-Malware estão as tarefas Verificar Malware, Atualizar banco de dados de assinaturas de malware, Restaurar arquivos da quarentena; na categoria Análise e Remediação Analise por Indicador, Remediação de Arquivos; na categoria Configurações do Agente Coletar Logs do Cliente, Reparar Cliente, Desligar Computador, Reiniciar Computador. Cada tarefa forçada também pode ter um horário de início designado e adicionar um comentário com a descrição.
- CONFIGURAÇÕES DO ENDPOINT — seção do painel de navegação onde se configura a integração com o Active Directory, as opções de mensagens do sistema (Alertas), habilita-se a exportação de logs através do Syslog, além de poder monitorar o estado das licenças e escolher o tipo de política em vigor (baseada em usuário ou baseada em computador);
Seção CONFIGURAÇÕES DO ENDPOINT: detalhes
A primeira subseção, Scanners AD, permite configurar a sincronização total do portal com o Active Directory da sua organização para obter informações sobre todos os usuários e máquinas. O modo Organization Distributed Scan está ativado por padrão, onde máquinas com o SandBlast Agent instalado enviam seus dados para o console de gerenciamento para futura exibição na seção GERENCIAMENTO DE COMPUTADORES. Também é possível mudar para o modo de Sincronização Total do Active Directory, onde todos os dados do Active Directory serão puxados para o console de gerenciamento. Para uma varredura bem-sucedida, é necessária uma conta com permissões de leitura completas para: root do Active Directory, todos os contêineres e objetos descendentes, e o contêiner de objetos excluídos.
A segunda subseção é Alerts, onde se configuram as opções para notificações de situações críticas, como infecções de máquinas ou problemas com a implantação do agente. No lado direito do espaço de trabalho, são configuradas as opções para 12 situações críticas predefinidas, incluindo os limites de ativação e desativação das notificações. Nesta subseção, é possível também configurar as opções do servidor de e-mail para enviar notificações por e-mail.
Em seguida, temos a subseção Exportar Eventos, que permite configurar a transmissão de logs de vários formatos (Syslog, CEF, LEEF, Genérico) para o seu servidor de logs. Esta opção também permite configurar o envio de logs para o seu sistema SIEM, onde pode estar em execução um agente Syslog.
A próxima seção — Licenças, que exibe informações sobre licenças: chave única, status da licença, número de agentes ativos e tamanho da cota. A gestão das licenças é feita nas configurações CONFIGURAÇÕES GERAIS.
A última subseção é Modo de Operação da Política, onde o tipo de política ativa é selecionado: Política baseada em Usuários ou Política baseada em Computadores. Como pode ser visto na descrição das políticas na figura abaixo — elas diferem na aplicação das políticas exclusivamente em relação às máquinas ou uma aplicação mista em relação a usuários e máquinas.
- GERENCIAMENTO DE SERVIÇOS — área do painel de navegação que permite gerenciar o serviço Plataforma de Gerenciamento de Endpoint e usar o SmartView para visualizar relatórios detalhados sobre eventos de segurança. Também é a partir desta seção que se pode baixar os arquivos de instalação para o aplicativo console SmartConsole e o cliente SandBlast Agent;
Seção GERENCIAMENTO DE SERVIÇOS: detalhes
O espaço de trabalho da seção GERENCIAMENTO DE SERVIÇOS consiste em três componentes: gerenciamento do serviço e exibição de dados do serviço, além do acesso ao SmartView (interface mostrada na imagem abaixo) para análise de logs e relatórios; painel para download do SmartConsole R80.40 — programa de gerenciamento de produtos Check Point, incluindo o SandBlast Agent; painel para download do cliente SandBlast Agent.
- CAÇA A AMEAÇAS — seção onde as regras para busca proativa de ameaças são configuradas (atualmente em versão Beta);
Seção CAÇA A AMEAÇAS: detalhes
A abordagem de Caça a Ameaças permite buscar proativamente atividades anômalas ou maliciosas em máquinas de usuários com o SandBlast Agent instalado — por exemplo, acessos a domínios maliciosos, processos iniciados via WMI, etc. Existe a possibilidade de usar filtros pré-definidos para busca ou criar filtros personalizados. Esta tecnologia utiliza o Check Point ThreatCloud — um serviço constantemente atualizado, que representa uma rede global de sensores de detecção de ameaças e empresas que enviam informações sobre ameaças para a Check Point. No momento, a Caça a Ameaças está em desenvolvimento e o acesso à versão Beta é concedido mediante solicitação à Check Point. Abordaremos detalhadamente esta ferramenta em um dos próximos artigos da série.
- CONFIGURAÇÕES GLOBAIS — seção de configurações globais para todos os seus aplicativos no portal Infinity Portal, permitindo alterar as configurações da conta da empresa no portal, gerenciar contas de administradores e monitorar suas ações, visualizar o estado dos contratos para diversos aplicativos da conta, além de gerenciar chaves API e exportar logs do CloudGuard SaaS para o seu servidor de logs local.
Seção CONFIGURAÇÕES GLOBAIS: detalhes
A primeira subseção, Configurações da Conta, exibe o nome da sua conta e o ID da Conta, além de permitir configurar as opções de autenticação forçada e timeout de inatividade. Além disso, nesta subseção, é possível especificar as configurações para autenticação SSO e alterar o tipo de conta (cliente, parceiro da categoria Distribuidor/Revendedor ou parceiro da categoria MSSP).
A próxima subseção, Usuários, exibe informações sobre os administradores do seu portal — dados de contato, além da data e hora do registro e do último login no portal. Nesta mesma seção, é possível adicionar usuários de dois tipos — administrador e usuário somente leitura.
Em seguida, temos a subseção Auditorias, que permite rastrear as ações dos administradores do portal. Como mostrado na figura abaixo, os logs de atividade dos administradores incluem o nome de usuário, data e hora do evento, serviço, categoria e tipo de evento, além de uma breve descrição do log. Por exemplo, nos logs abaixo, estão registrados eventos de login no portal (Login), alteração do tipo de conta (Conta Atualizada) para “Distribuidor”, bem como a adição de autenticação de dois fatores para acesso ao portal a um usuário específico (Usuário Atualizado).
A quarta subseção é Contratos, que exibe informações sobre os contratos para seus aplicativos no portal — data de expiração do contrato, número de contratos e uso da cota (se houver). Também nesta subseção, é possível gerenciar as contas vinculadas ao Check Point da seção CONTAS ASSOCIADAS.
A próxima seção — Chaves API, onde é gerenciado o acesso às chaves API para todos os aplicativos disponíveis do Infinity Portal. Ao gerar uma chave, são criados o Client ID e a Secret Key, que poderão ser usados posteriormente para acesso ao portal por aplicativos de terceiros.
As últimas duas subseções são Exportar Eventos e Configurações do Parceiro, o primeiro descreve o processo de exportação de logs do CloudGuard SaaS para seu servidor de logs local, e o segundo permite visualizar informações sobre as contas e adicionar novas (apenas para contas da categoria Partner).
SandBlast Agent: instalação e introdução à interface
Opções de distribuição dos agentes
A Check Point descreve duas maneiras de distribuir agentes para computadores dos usuários: automática e manual. Implantação automática — é realizada através da instalação do cliente inicial (Initial Client) utilizando soluções de terceiros (por exemplo, políticas de grupo do Active Directory) e, em seguida, o carregamento das políticas no agente de forma automatizada. Implantação manual — o cliente com políticas integradas de Threat Prevention e/ou Data Protection é baixado e, em seguida, distribuído para máquinas dos usuários com soluções de terceiros. O primeiro método é mais conveniente, pois a versão do Initial Client pesa dezenas de vezes menos que a versão completa com todas as políticas, permitindo distribuir o agente, por exemplo, por e-mail como anexo. Por outro lado, a implantação manual não requer tempo para o processo de carregamento das políticas e blades no agente após a instalação — todos os componentes já estão incluídos no pacote do SandBlast Agent.
Utilizaremos a implantação automática do agente. A versão do Initial Client pode ser baixada de duas seções do console: Service Management e Overview. Na seção Service Management, ao selecionar a opção Download Initial Client, o cliente inicial é baixado. Ao baixar na seção Overview, existem três opções de construção do SandBlast Agent: Quick Install (Initial), Threat Prevention Agent e Data Protection & Threat Prevention. A segunda e a terceira opções são adequadas para a implantação manual, enquanto a primeira representa a construção do Initial Client.
O arquivo baixado EPS.msi é transferido para a máquina do usuário, após o qual o processo de instalação deve ser iniciado. Após a conclusão da instalação bem-sucedida, um ícone do Check Point Endpoint Security aparece na Barra de Tarefas, sinalizando que o agente está desconectado do servidor de gerenciamento.
Neste momento, o cliente tenta automaticamente se conectar ao servidor de controle em nuvem através do endereço embutido. Este é um processo bastante rápido e, após alguns minutos, uma nova notificação indica a instalação programada do agente. Esta mensagem indica que a conexão do agente com o servidor de controle em nuvem foi bem-sucedida.
Ao clicar com o botão direito no ícone de Endpoint Security, é possível obter informações mais detalhadas sobre a conexão estabelecida com o servidor de controle, como o nome do servidor de controle ao qual o cliente se conectou e o status atual da conexão.
Após a conexão bem-sucedida com o servidor de controle, o processo de download dos componentes necessários (de acordo com a política de segurança) na máquina do usuário começa. O administrador pode monitorar o estado do processo de instalação do agente na seção Gestão de Computadores do console web de controle — após a conexão bem-sucedida da máquina do usuário com o servidor de controle em nuvem, seu status na seção Gestão de Computadores muda de Programado para Baixando. Após o download e verificação de todos os componentes, o usuário é solicitado a instalar o agente imediatamente ou adiar o processo de instalação. Se o agente não for instalado pelo usuário dentro de 2 dias a partir do início do processo, o agente será instalado automaticamente, e isso será comunicado na janela que sugere iniciar a instalação.
Após o início da instalação do agente, a máquina do usuário na seção Gestão de Computadores do console de controle muda para o status Implantando. Após a conclusão do processo de instalação do agente, seu interface pode ser aberto clicando com o botão direito no ícone de Endpoint Security e selecionando a opção Exibir Visão Geral.
Após a instalação, é recomendável clicar em 'Atualizar agora' para iniciar o processo de atualização das políticas e bancos de dados no agente. A primeira atualização do banco de dados Anti-Malware pode levar algum tempo. Assim que todos os bancos forem atualizados, uma primeira verificação do sistema será feita automaticamente. Neste momento, a máquina do cliente no console de controle deve ser exibida no status Concluído, o que indica que a instalação do agente foi bem-sucedida.
Vamos começar a explorar a interface do agente. No canto inferior esquerdo, é exibido o status do agente (Online/Disconnected) e o nome do seu servidor em nuvem de gerenciamento — neste caso, está em status "Online" e o nome do servidor de gerenciamento é "matssolution". No canto inferior direito, é indicada a versão atual do agente — temos a versão E83.11 (83.11.2702). O painel de navegação do agente consiste em várias seções:
- Visão Geral — seção principal, que exibe informações sobre o status de todas as lâminas e a conformidade do computador do usuário com a política de segurança. Também é possível "aprofundar-se" em cada lâmina para obter informações mais detalhadas sobre o status e os eventos de segurança;
- Atualizar agora — permite iniciar o processo de verificação da atualidade das políticas de segurança e bancos de dados em vigor no agente;
- Escanear sistema agora — inicia o processo de escaneamento do sistema em busca de software malicioso ou arquivos;
- Avançado — configurações avançadas do agente, que permitem visualizar a política instalada, visualizar ou coletar logs, bem como usar o computador do usuário como um Agente de Implantação.
Como não houve alterações na política inicial — neste momento o agente contém apenas lâminas da política de Prevenção de Ameaças com valores padrão. O conteúdo da política inicial de Prevenção de Ameaças será discutido em mais detalhes em nosso próximo artigo da série.
Conclusão
É hora de fazer um resumo do trabalho realizado: neste artigo, exploramos detalhadamente a interface da plataforma de gerenciamento SandBlast Agent Management, instalamos o agente na máquina do usuário e examinamos sua interface.
Em nosso próximo artigo da série, vamos explorar a política padrão de Prevenção de Ameaças e testá-la em relação a algumas das ataques mais populares. Também criaremos nossas próprias regras de política para aumentar o nível de proteção da máquina do usuário.
. Para não perder as próximas publicações sobre o tema SandBlast Agent Management Platform — acompanhe as atualizações em nossas redes sociais (, , , , ).
Fonte: habr.com
