Bem-vindo ao quinto artigo da série sobre a solução Check Point SandBlast Agent Management Platform. Você pode acessar os artigos anteriores clicando no link correspondente: , , , . Hoje, discutiremos as capacidades de monitoramento na Management Platform, especificamente a interação com logs, painéis de visualização interativos e relatórios. Também abordaremos a questão de Threat Hunting para identificar ameaças atuais e eventos anômalos na máquina do usuário.
Logs
A principal fonte de informação para monitoramento de eventos de segurança é a seção Logs, que exibe informações detalhadas sobre cada incidente, além de permitir o uso de filtros práticos para refinar os critérios de busca. Por exemplo, ao clicar com o botão direito do mouse em um parâmetro (Blade, Action, Severity, etc.) de um log de interesse, esse parâmetro pode ser filtrado como Filtro: «Parâmetro» ou Filtrar: «Parâmetro». Para o parâmetro Source, a opção IP Tools pode ser selecionada, permitindo executar um ping no endereço IP/nome ou realizar um nslookup para obter o endereço IP da fonte pelo nome.
Na seção Logs, para filtrar eventos, há uma subseção Statistics, que exibe estatísticas sobre todos os parâmetros: um gráfico temporal com a quantidade de logs, assim como percentuais de cada um dos parâmetros. Dessa subseção, é fácil filtrar logs sem recorrer à barra de busca e escrita de expressões de filtragem — basta selecionar os parâmetros desejados e uma nova lista de logs será exibida imediatamente.
Informações detalhadas sobre cada log estão disponíveis no painel direito da seção Logs, no entanto, é mais conveniente abrir o log com um clique duplo para analisar seu conteúdo. Abaixo está um exemplo de log (a imagem é clicável), onde se exibe informação detalhada sobre a ativação da ação Prevent do blade Threat Emulation em um arquivo infectado ".docx". O log possui várias subseções que mostram os detalhes do evento de segurança: políticas e proteções acionadas, detalhes forenses, informações sobre o cliente e o tráfego. Vale destacar os relatórios disponíveis no log — Threat Emulation Report e Forensics Report. Esses relatórios também podem ser abertos a partir do cliente SandBlast Agent.
Threat Emulation Report
Ao utilizar o blade Threat Emulation, após a execução da emulação na nuvem Check Point, aparece um link no log correspondente para um relatório detalhado sobre os resultados da emulação — Threat Emulation Report. O conteúdo desse relatório é descrito em detalhes em nosso artigo sobre . Vale ressaltar que este relatório é interativo e permite "mergulhar" nos detalhes de cada uma das seções. Também é possível visualizar a gravação do processo de emulação em uma máquina virtual, baixar o arquivo malicioso original ou obter seu hash, além de entrar em contato com a equipe de resposta a incidentes da Check Point.
Forensics Report
Praticamente para qualquer evento de segurança, um relatório Forensics Report é gerado, que inclui informações detalhadas sobre o arquivo malicioso: suas características, ações, ponto de entrada no sistema e impacto sobre ativos importantes da empresa. A estrutura do relatório foi discutida em nosso artigo sobre . Esse tipo de relatório é uma importante fonte de informação durante investigações de eventos de segurança, e se necessário, o conteúdo do relatório pode ser imediatamente enviado para a equipe de resposta a incidentes da Check Point.
SmartView
O Check Point SmartView é uma ferramenta conveniente para construir e visualizar dashboards dinâmicos (View) e relatórios em formato PDF. A partir do SmartView, também é possível visualizar logs de usuários e eventos de auditoria para administradores. Abaixo, estão os relatórios e dashboards mais úteis para trabalhar com o SandBlast Agent.
Os relatórios no SmartView são documentos com informações estatísticas sobre eventos em um determinado período de tempo. Suporta a exportação de relatórios em formato PDF para a máquina onde o SmartView está aberto, além da exportação regular em PDF/Excel para o e-mail do administrador. Além disso, suporta a importação/exportação de modelos de relatórios, criação de relatórios personalizados e a possibilidade de ocultar nomes de usuários nos relatórios. Abaixo está um exemplo de relatório integrado de Threat Prevention.
Os dashboards (View) no SmartView permitem que o administrador acesse os logs de eventos correspondentes — basta clicar duas vezes no objeto de interesse, seja uma coluna do gráfico ou o nome de um arquivo malicioso. Assim como nos relatórios, é possível criar dashboards personalizados e ocultar dados dos usuários. Os dashboards também suportam a importação/exportação de templates, exportação regular em PDF/Excel para o e-mail do administrador e atualização automática de dados para monitoramento de eventos de segurança em tempo real.
Seções adicionais de monitoramento
A descrição dos recursos de monitoramento na Management Platform seria incompleta sem mencionar as seções Overview, Computer Management, Endpoint Settings e Push Operations. Essas seções foram detalhadas no , no entanto, é útil considerar suas capacidades para resolver tarefas de monitoramento. Começaremos com Overview, que consiste em duas subseções — Operational Overview e Security Overview, que são dashboards com informações sobre o estado das máquinas de usuários protegidas e eventos de segurança. Assim como ao interagir com qualquer outro dashboard, as subseções Operational Overview e Security Overview permitem, ao clicar duas vezes no parâmetro desejado, acessar a seção Computer Management com um filtro selecionado (por exemplo, 'Desktops' ou 'Pre-Boot Status: Enabled'), ou a seção Logs para um evento específico. A subseção Security Overview é um dashboard 'Cyber Attack View – Endpoint', que pode ser configurado 'a gosto' e tem atualização automática de dados.
Na seção Computer Management, é possível monitorar o estado do agente nas máquinas dos usuários, o status de atualização da base de dados Anti-Malware, as etapas de criptografia do disco e muito mais. Todos os dados são atualizados automaticamente, e para cada um dos filtros, é exibido um percentual de máquinas de usuários adequadas. Também é suportada a exportação de dados dos computadores em formato CSV.
Um aspecto importante do monitoramento da segurança das estações de trabalho é a configuração de notificações sobre eventos críticos (Alerts) e a exportação de logs (Export Events) para armazenamento no servidor de logs da empresa. Ambas as configurações são realizadas na seção Endpoint Settings, e para Alerts é possível conectar um servidor de e-mail para enviar notificações sobre eventos ao administrador e configurar os limites de ativação/desativação de notificações com base na porcentagem/número de dispositivos que atendem aos critérios do evento. Exportar Eventos permite configurar o encaminhamento de logs da plataforma de gerenciamento para o servidor de logs da empresa para processamento posterior. Os formatos SYSLOG, CEF, LEEF, SPLUNK são suportados, bem como os protocolos TCP/UDP e qualquer sistema SIEM com um agente syslog ativo, com suporte a criptografia TLS/SSL e autenticação do cliente syslog.
Para uma análise aprofundada de eventos no agente ou em caso de contato com o suporte técnico, é possível coletar rapidamente os logs do cliente SandBlast Agent usando uma operação forçada na seção Operações Push. É possível configurar o envio do arquivo de log gerado para os servidores Check Point ou para servidores corporativos; além disso, o arquivo de log é salvo na máquina do usuário no diretório C:UsersusernameCPInfo. O processo de coleta de logs pode ser agendado em um horário específico, com a possibilidade de adiar a operação pelo usuário.
Caça a Ameaças
O método de Caça a Ameaças é utilizado para a busca proativa de atividades maliciosas e comportamentos anômalos no sistema para posterior investigação de possíveis eventos de segurança. A seção de Caça a Ameaças na plataforma de gerenciamento permite a busca por eventos com parâmetros específicos nos dados da máquina do usuário.
A ferramenta de Caça a Ameaças possui várias consultas pré-configuradas, por exemplo: para classificar domínios ou arquivos maliciosos, rastrear acessos raros a certos endereços IP (relative à estatística geral). A estrutura da consulta consiste em três parâmetros: indicador (protocolo de rede, identificador de processo, tipo de arquivo, etc.), operador ('é', 'não é', 'inclui', 'um dos', etc.) e corpo da consulta. No corpo da consulta, expressões regulares podem ser usadas, sendo suportado o uso de vários filtros simultaneamente na linha de busca.
Após a seleção do filtro e a conclusão do processamento da solicitação, fica disponível o acesso a todos os eventos relevantes, com a possibilidade de visualizar detalhes sobre o evento, colocar o objeto da solicitação em quarentena ou gerar um Relatório Forense detalhado que descreve o evento. No momento, esta ferramenta está em versão beta e, futuramente, está prevista a expansão do conjunto de recursos, como a adição de informações sobre o evento em formato de matriz Mitre Att&ck.
Conclusão
Em resumo: neste artigo, analisamos as capacidades de monitoramento de eventos de segurança na SandBlast Agent Management Platform, exploramos uma nova ferramenta para a busca proativa de ações maliciosas e anomalias nas máquinas dos usuários — Threat Hunting. O próximo artigo será o conclusivo desta série e nele abordaremos as perguntas mais frequentes sobre a solução Management Platform e falaremos sobre as possibilidades de teste deste produto.
. Para não perder as próximas publicações sobre o tema SandBlast Agent Management Platform — acompanhe as atualizações em nossas redes sociais (, , , , ).
Fonte: habr.com
