Bem-vindo ao terceiro artigo da série sobre a nova console de gerenciamento em nuvem para proteção de computadores pessoais — Plataforma de Gestão do Check Point SandBlast Agent. Lembro que em nos familiarizamos com o portal Infinity Portal e configuramos o serviço em nuvem de gerenciamento de agentes, o Endpoint Management Service. Em estudamos a interface da console web de gerenciamento e instalamos o agente com a política padrão na máquina do usuário. Hoje, examinaremos o conteúdo da política de segurança padrão Threat Prevention e testaremos sua eficácia contra ataques populares.
Política padrão Threat Prevention: descrição
A figura acima apresenta a regra padrão da política Threat Prevention, que por padrão se aplica a toda a organização (todos os agentes instalados) e inclui três grupos lógicos de componentes de proteção: Proteção Web & Arquivos, Proteção Comportamental e Análise & Remediação. Vamos examinar cada um dos grupos mais detalhadamente.
Proteção Web & Arquivos
Filtragem de URL
A Filtragem de URL permite controlar o acesso dos usuários a recursos da web, utilizando 5 categorias de sites pré-configuradas. Cada uma das 5 categorias contém várias subcategorias mais específicas, permitindo, por exemplo, bloquear o acesso à subcategoria Jogos e permitir o acesso à subcategoria Mensagens Instantâneas, ambas pertencentes à categoria Perda de Produtividade. Os endereços de URL relacionados a subcategorias específicas são determinados pela empresa Check Point. Você pode verificar a categoria à qual um URL específico pertence ou solicitar a reclassificação em um recurso especial .
Como ação, você pode configurar Prevent, Detect ou Off. Além disso, ao escolher a ação Detect, uma configuração é automaticamente adicionada, permitindo que os usuários ignorem o aviso da Filtragem de URL e acessem o recurso desejado. No caso da ação Prevent, essa configuração pode ser removida e o usuário não conseguirá acessar o site proibido. Outra maneira conveniente de controlar recursos proibidos é configurando uma Lista de Bloqueio, onde você pode especificar domínios, endereços IP ou carregar um arquivo no formato .csv com a lista de domínios a serem bloqueados.
Na política padrão para Filtragem de URL, a ação está definida como Detect e uma categoria foi selecionada — Segurança, para a qual a detecção de eventos será realizada. Esta categoria inclui diversos anonimadores, sites com níveis de risco Crítico/Alto/Médio, sites de phishing, spam e muito mais. Os usuários ainda poderão acessar o recurso devido à configuração "Permitir que o usuário descarte o alerta de Filtragem de URL e acesse o site".
Proteção para Download (web)
Emulação & Extração permite emular arquivos baixados na sandbox em nuvem da Check Point e realizar a limpeza de documentos "em tempo real", removendo conteúdo potencialmente malicioso ou convertendo o documento em PDF. Existem três modos de operação:
- Prevenir — permite obter uma cópia do documento limpo antes do veredicto final da emulação, ou esperar o término da emulação e baixar o arquivo original imediatamente;
- Detectar — realiza a emulação em segundo plano, não impedindo o usuário de obter o arquivo original, independentemente do veredicto;
- Off — quaisquer arquivos são permitidos para download sem passar pela emulação e limpeza de componentes potencialmente maliciosos.
Também há a opção de escolher uma ação para arquivos que não são suportados pelos recursos de emulação e limpeza da Check Point — pode-se permitir ou proibir o download de todos os arquivos não suportados.
Na política padrão para Proteção de Download, a ação está definida como Prevenir, com a possibilidade de obter uma cópia do documento original limpa de conteúdo potencialmente malicioso, além de permitir o download de arquivos que não são suportados pelos recursos de emulação e limpeza.
Proteção de Credenciais
O componente Proteção de Credenciais protege os dados dos usuários e inclui 2 componentes: Zero Phishing e Proteção de Senhas. Zero Phishing protege os usuários de acessar recursos de phishing, e Proteção de Senhas informa o usuário sobre a proibição do uso de credenciais corporativas fora do domínio protegido. O Zero Phishing pode ser configurado como Prevent, Detect ou Off. Com a ação Prevent ativada, há a opção de permitir que os usuários ignorem o aviso sobre um recurso de phishing potencial e acessem o recurso, ou proibir essa opção e bloquear o acesso sempre. Com a ação Detect, os usuários sempre têm a possibilidade de ignorar o aviso e acessar o recurso. A Proteção por Senha permite escolher os domínios protegidos, para os quais será realizada a verificação das senhas, e uma das três ações: Detect & Alert (notificando o usuário), Detect ou Off.
A política padrão para a Proteção de Credenciais prevê Prevent para quaisquer recursos de phishing, impossibilitando os usuários de acessarem sites potencialmente maliciosos. A proteção contra o uso de senhas corporativas também está incluída, mas sem os domínios especificados, essa função não funcionará.
Proteção de Arquivos
A Proteção de Arquivos é responsável pela proteção dos arquivos armazenados na máquina do usuário e inclui dois componentes: Anti-Malware e Emulação de Ameaças de Arquivos. Anti-Malware é uma ferramenta que realiza regularmente a varredura de todos os arquivos do usuário e do sistema usando análise de assinatura. Nas configurações desse componente, é possível ajustar os parâmetros de varredura regular ou em horários aleatórios, o período de atualização das assinaturas e a possibilidade de os usuários cancelarem a varredura programada. Emulação de Ameaças de Arquivos permite emular os arquivos armazenados na máquina do usuário na sandbox na nuvem da Check Point, mas essa função de segurança só funciona no modo Detect.
Na política padrão para a Proteção de Arquivos, a proteção é realizada por meio do Anti-Malware e pela detecção de arquivos maliciosos usando a Emulação de Ameaças de Arquivos. A varredura regular é realizada mensalmente, e as assinaturas na máquina do usuário são atualizadas a cada 4 horas. Além disso, está configurada a possibilidade de os usuários cancelarem a varredura programada, mas não mais do que 30 dias após a última varredura bem-sucedida.
Proteção Comportamental
Anti-Bot, Guarda Comportamental & Anti-Ransomware, Anti-Exploit
O grupo de componentes de proteção Behavioral Protection inclui três elementos: Anti-Bot, Behavioral Guard & Anti-Ransomware e Anti-Exploit. Anti-Bot permite rastrear e bloquear conexões C&C usando uma base de dados constantemente atualizada do Check Point ThreatCloud. Behavioral Guard & Anti-Ransomware monitora continuamente a atividade (arquivos, processos, interações de rede) na máquina do usuário e permite prevenir ataques de ransomware em seus estágios iniciais. Além disso, este elemento de proteção permite recuperar arquivos que possam ter sido criptografados por malware. Os arquivos são restaurados em seus diretórios originais ou pode-se especificar um caminho específico para onde todos os arquivos recuperados serão armazenados. Anti-Exploit permite detectar ataques de dia zero. Para todos os componentes da Behavioral Protection, são suportados três modos de operação: Prevent, Detect e Off.
A política padrão para Behavioral Protection prevê Prevent para os componentes Anti-Bot e Behavioral Guard & Anti-Ransomware, com a recuperação de arquivos criptografados em seus diretórios originais. O componente Anti-Exploit está desativado e não é utilizado.
Análise & Remediação
Análise Automática de Ataques (Forense), Remediação & Resposta
Para análise e investigação de incidentes de segurança, estão disponíveis dois componentes de segurança: Análise Automática de Ataques (Forense) e Remediação & Resposta. Análise Automática de Ataques (Forense) permite gerar relatórios sobre os resultados da mitigação de ataques, com descrições detalhadas — incluindo a análise do processo de execução do malware na máquina do usuário. Também há a possibilidade de usar a função Threat Hunting, que permite realizar uma busca proativa por anomalias e comportamentos potencialmente maliciosos usando filtros pré-definidos ou criados. Remediação & Resposta permite configurar as opções de recuperação e quarentena de arquivos após um ataque: controla a interação dos usuários com arquivos em quarentena, além de permitir armazenar arquivos em quarentena em um diretório especificado pelo administrador.
Na política padrão de Análise & Remediação, a proteção está ativada, incluindo ações automáticas para recuperação (finalização de processos, recuperação de arquivos, etc.), bem como a opção de enviar arquivos para quarentena, onde os usuários podem apenas excluir arquivos da quarentena.
Política Padrão de Prevenção de Ameaças: Teste
Check Point CheckMe Endpoint
A maneira mais rápida e fácil de verificar a segurança da máquina do usuário contra os tipos de ataque mais populares é realizar um teste usando o recurso , que executa uma série de ataques típicos de várias categorias e permite obter um relatório sobre os resultados do teste. Neste caso, foi utilizada a opção de teste de Endpoint, onde um arquivo executável é baixado e executado no computador, e então o processo de verificação começa.
Durante o processo de verificação da segurança do computador de trabalho, o SandBlast Agent sinaliza os ataques identificados e refletidos no computador do usuário, por exemplo: o blade Anti-Bot informa sobre a detecção de infecção, o blade Anti-Malware encontrou e removeu o arquivo malicioso CP_AM.exe, e o blade Threat Emulation, com base na emulação, determinou que o arquivo CP_ZD.exe é malicioso.
Com base nos resultados do teste realizado com o CheckMe Endpoint, temos o seguinte resultado: das 6 categorias de ataque, a política padrão de Prevenção de Ameaças falhou apenas em uma categoria — Browser Exploit. Isso se deve ao fato de que a política padrão de Prevenção de Ameaças não inclui o blade Anti-Exploit. Vale ressaltar que sem a instalação do SandBlast Agent, o computador do usuário passou pela verificação apenas na categoria Ransomware.
KnowBe4 RanSim
Para testar o funcionamento do blade Anti-Ransomware, pode-se usar uma solução gratuita , que executa uma série de testes na máquina do usuário: 18 cenários de infecção por ransomware e 1 cenário de infecção por minerador de criptomoedas. É importante destacar que a presença de vários blades (Threat Emulation, Anti-Malware, Behavioral Guard) com a ação Prevent na política padrão não permite a execução correta deste teste. No entanto, mesmo com um nível de segurança reduzido (Threat Emulation em modo Off), o teste do blade Anti-Ransomware mostra resultados altos: 18 dos 19 testes foram concluídos com sucesso (1 não foi iniciado).
Arquivos e documentos maliciosos
Um exemplo ilustrativo é o teste da operação de diferentes blades da política padrão de Prevenção de Ameaças usando arquivos maliciosos de formatos populares, carregados em uma máquina do usuário. Neste teste, participaram 66 arquivos nos formatos PDF, DOC, DOCX, EXE, XLS, XLSX, CAB, RTF. Os resultados mostraram que o SandBlast Agent conseguiu bloquear 64 arquivos maliciosos de 66. Os arquivos infectados foram removidos após o download ou limpos de conteúdo malicioso com a ajuda da Extração de Ameaças e foram disponibilizados para o usuário.
Recomendações para melhorar a política de Prevenção de Ameaças
1. Filtragem de URL
A primeira coisa que deve ser corrigida na política padrão para aumentar o nível de segurança da máquina do cliente é mudar o blade de Filtragem de URL para Prevenir e indicar as categorias correspondentes para bloqueio. No nosso caso, foram escolhidas todas as categorias, exceto Uso Geral, pois incluem a maioria dos recursos aos quais o acesso deve ser restringido aos usuários no local de trabalho. Além disso, para esses sites, é desejável remover a possibilidade de os usuários ignorarem a janela de aviso, desmarcando a opção 'Permitir que o usuário descarte o aviso de Filtragem de URL e acesse o site'.
2. Proteção de Downloads
O segundo parâmetro a ser observado é a capacidade de os usuários baixarem arquivos que não são suportados pela emulação da Check Point. Como nesta seção estamos considerando melhorias na política padrão de Prevenção de Ameaças do ponto de vista da segurança, a melhor opção seria proibir o download de arquivos não suportados.
3. Proteção de Arquivos
Além disso, é necessário prestar atenção às configurações para a proteção de arquivos — em particular, às opções de verificação periódica e à possibilidade de o usuário adiar a verificação forçada. Neste caso, deve-se considerar o tempo de trabalho do usuário, e uma boa opção em termos de segurança e desempenho é agendar a execução da verificação forçada todos os dias, escolhendo aleatoriamente um horário (das 00:00 às 08:00), permitindo que o usuário adie a verificação por um máximo de uma semana.
4. Anti-exploração
Uma desvantagem significativa da política padrão de Prevenção de Ameaças é o blade Anti-Exploit desativado. Recomenda-se ativar este blade com a ação Prevent para proteger a estação de trabalho contra ataques que utilizam exploits. Com esta correção, o teste CheckMe é concluído com sucesso, sem detectar vulnerabilidades na máquina do usuário.
Conclusão
Vamos resumir: neste artigo, apresentamos os componentes da política padrão de Prevenção de Ameaças, testamos esta política usando diversos métodos e ferramentas, e também descrevemos recomendações para melhorar as configurações da política padrão para aumentar o nível de segurança da máquina do usuário. No próximo artigo da série, passaremos a estudar a política de Proteção de Dados e analisaremos as configurações de Configurações de Política Global.
. Para não perder as próximas publicações sobre o tema SandBlast Agent Management Platform — acompanhe as atualizações em nossas redes sociais (, , , , ).
Fonte: habr.com
