Vitajte pri treťom článku cyklu o novej cloudovej správe ochrany osobných počítačov — Check Point SandBlast Agent Management Platform. Pripomínam, že v sme sa oboznámili s portálom Infinity Portal a vytvorili cloudovú službu správy agentov Endpoint Management Service. V sme preskúmali rozhranie webovej správy a nainštalovali agenta so štandardnou politikou na používateľský počítač. Dnes sa zameriame na obsah štandardnej politiky bezpečnosti prevencie hrozieb a otestujeme jej účinnosť voči populárnym útokom.
Štandardná politika prevencie hrozieb: popis
Na obrázku vyššie je zobrazené štandardné pravidlo politiky prevencie hrozieb, ktoré sa predvolene vzťahuje na celú organizáciu (všetkých nainštalovaných agentov) a zahŕňa tri logické skupiny ochranných komponentov: Ochrana webu a súborov, Behaviorálna ochrana a Analýza a obnovenie. Pozrime sa podrobnejšie na každú z týchto skupín.
Ochrana webu a súborov
Filter URL
Filter URL umožňuje kontrolovať prístup používateľov k webovým zdrojom, pričom sa využíva päť prednastavených kategórií stránok. Každá z týchto 5 kategórií obsahuje niekoľko špecifickejších podkategórií, čo umožňuje napríklad blokovať prístup k podkategórii Hry a povoliť prístup k podkategórii Okamžité správy, ktoré sú súčasťou jednej kategórie Straty produktivity. Adresy URL, ktoré sa týkajú konkrétnych podkategórií, sú určované spoločnosťou Check Point. Skontrolovať kategóriu, do ktorej patrí konkrétny URL, alebo požiadať o prehodnotenie kategórie, môžete na špeciálnom zdroji. .
Ako akciu je možné nastaviť Prevent, Detect alebo Off. Pri výbere akcie Detect sa automaticky pridá nastavenie, ktoré umožňuje používateľom preskočiť upozornenie filtra URL a prejsť k zaujímavému zdroju. V prípade akcie Prevent je možné toto nastavenie odstrániť a používateľ sa nebude môcť dostať na zakázanú stránku. Ďalším praktickým spôsobom kontroly zakázaných zdrojov je nastavenie Blokovacieho zoznamu, v ktorom je možné uviesť domény, IP adresy alebo nahrať súbor vo formáte .csv so zoznamom domén na blokovanie.
V štandardnej politike pre URL Filtering je nastavené akcia Detekovať a vybraná jedna kategória — Bezpečnosť, pre ktorú sa bude realizovať detekcia udalostí. Táto kategória zahŕňa rôzne anonymizéry, stránky s úrovňou rizika kritická/vysoká/stredná, phishingové stránky, spam a mnoho ďalšieho. Zároveň budú mať používatelia stále prístup k zdroju vďaka nastaveniu „Povoliť používateľovi ignorovať upozornenie URL Filtering a pristupovať na webovú stránku“.
Stiahnuť (web) ochranu
Emulácia & extrakcia umožňuje vykonávať emuláciu sťahovaných súborov v cloudovej pieskovici Check Point a zabezpečiť čistenie dokumentov „za behu“, odstránením potenciálne škodlivého obsahu alebo konvertovaním dokumentu do PDF. Existujú tri režimy činnosti:
- Zabrániť — umožňuje získať kópiu vyčisteného dokumentu pred konečným verdiktom emulácie alebo počkať na dokončenie emulácie a stiahnuť priamo originálny súbor;
- Detekovať — vykonáva emuláciu na pozadí, nebrániac používateľovi v získavaní originálneho súboru, bez ohľadu na verdikt;
- Off — akékoľvek súbory sú povolené na sťahovanie bez prechodu emuláciou a čistením potenciálne škodlivých komponentov.
Existuje aj možnosť vybrať akciu pre súbory, ktoré nie sú podporované prostriedkami emulácie a čistenia Check Point — je možné povoliť alebo zakázať sťahovanie všetkých nepodporovaných súborov.
V štandardnej politike pre Download Protection je nastavené akcia Zabrániť s možnosťou získať vyčistenú kópiu originálneho dokumentu, ako aj povolením sťahovania súborov, ktoré nie sú podporované prostriedkami emulácie a čistenia.
Ochrana poverení
Komponent Ochrana poverení chráni používateľské údaje a obsahuje 2 súčasti: Zero Phishing a Ochranu hesiel. Zero Phishing chráni používateľov pred prístupom na phishingové zdroje, a Ochrana hesiel informuje používateľa o neprípustnosti používania firemných prihlasovacích údajov mimo chráneného domény. Zero Phishing môže byť nastavený na Prevent, Detect alebo Off. Pri nastavení Prevent je možné povoliť užívateľom preskočiť varovanie o potenciálne phishingovom zdroji a získať prístup k zdroju, alebo zakázať túto možnosť a vždy blokovať prístup. Pri akcii Detect majú užívatelia vždy možnosť preskočiť varovanie a získať prístup k zdroju. Password Protection umožňuje vybrať chránené domény, pre ktoré sa bude vykonávať kontrola hesiel na súlad, a jednu z troch akcií: Detect & Alert (informovať používateľa), Detect alebo Off.
Štandardná politika pre Credential Protection predpokladá Prevent pre akékoľvek phishingové zdroje, pričom užívatelia nemajú možnosť získať prístup k potenciálne škodlivej stránke. Taktiež je zahrnutá ochrana pred použitím firemných hesiel, avšak bez zadaných domén táto funkcia nebude fungovať.
Files Protection
Files Protection zodpovedá za ochranu súborov, ktoré sú uložené na užívateľskom zariadení, a obsahuje dva komponenty: Anti-Malware a Files Threat Emulation. Anti-Malware je nástroj, ktorý pravidelne skenuje všetky užívateľské a systémové súbory pomocou signatúrneho analýzy. V nastaveniach tohto komponentu je možné nastaviť parametre pravidelného skenovania alebo náhodného času skenovania, interval aktualizácie signatúr, ako aj možnosť pre užívateľov zrušiť naplánované skenovanie. Files Threat Emulation umožňuje vykonávať emuláciu súborov uložených na užívateľskom zariadení v cloudovej pieskovnici Check Point, avšak táto bezpečnostná funkcia funguje iba v režime Detect.
V štandardnej politike pre Files Protection je zahrnutá ochrana pomocou Anti-Malware a detekcia škodlivých súborov pomocou Files Threat Emulation. Pravidelné skenovanie sa vykonáva každý mesiac a signatúry na užívateľskom zariadení sa aktualizujú každé 4 hodiny. Pri tom je nastavená možnosť pre užívateľov zrušiť naplánované skenovanie, ale nie neskôr ako 30 dní od posledného úspešného skenovania.
Behavioral Protection
Anti-Bot, Behavioral Guard & Anti-Ransomware, Anti-Exploit
Skupina ochranných komponentov Behavioral Protection pozostáva z troch častí: Anti-Bot, Behavioral Guard & Anti-Ransomware a Anti-Exploit. Anti-Bot umožňuje sledovať a blokovať pripojenia C&C pomocou neustále aktualizovanej databázy Check Point ThreatCloud. Behavioral Guard & Anti-Ransomware neustále monitoruje aktivitu (súbory, procesy, sieťové interakcie) na užívateľskom zariadení a umožňuje zabrániť útokom ransomvérov v počiatočných fázach. Okrem toho tento ochranný prvok umožňuje obnoviť súbory, ktoré už boli zašifrované škodlivým kódom. Súbory sa obnovujú v ich pôvodných adresároch alebo je možné určiť špecifickú cestu, kde budú uložené všetky obnovené súbory. Anti-Exploit umožňuje odhaľovať útoky typu zero-day. Všetky komponenty Behavioral Protection podporujú tri režimy prevádzky: Prevent, Detect a Off.
Štandardná politika pre Behavioral Protection predpokladá režim Prevent pre komponenty Anti-Bot a Behavioral Guard & Anti-Ransomware, s obnovovaním zašifrovaných súborov v ich pôvodných adresároch. Komponent Anti-Exploit je vypnutý a nepoužíva sa.
Analýza & Obnova
Automatizovaná analýza útokov (Forenzika), obnova & reakcia
Pre analýzu a vyšetrovanie bezpečnostných incidentov sú k dispozícii dva bezpečnostné komponenty: Automatizovaná analýza útokov (Forenzika) a obnova & reakcia. Automatizovaná analýza útokov (Forenzika) umožňuje generovať správy o výsledkoch obrany proti útokom s podrobným popisom — až po analýzu procesu vykonávania škodlivého kódu na užívateľskom zariadení. Taktiež je možnosť využiť funkciu Threat Hunting, ktorá umožňuje proaktívne vyhľadávanie anomálií a potenciálne škodlivého správania pomocou predvolených alebo vytváraných filtrov. Obnova & reakcia umožňuje nastavovať parametre obnovy a karantény súborov po útoku: reguluje sa interakcia užívateľov s karanténnymi súbormi a existuje možnosť uchovávať súbory v karanténe v adresári určenom správcom.
V štandardnej politike analýzy & obnovy je zahrnutá ochrana, ktorá obsahuje automatické akcie na obnovu (ukončovanie procesov, obnovenie súborov a pod.), ako aj aktívna možnosť odosielania súborov do karantény, pričom užívatelia môžu iba odstraňovať súbory z karantény.
Štandardná politika prevencie hrozieb: testovanie
Check Point CheckMe Endpoint
Najrýchlejší a najjednoduchší spôsob, ako overiť bezpečnosť používateľského počítača proti najpopulárnejším typom útokov, je vykonať test pomocou zdroja , ktorý vykonáva sériu štandardných útokov z rôznych kategórií a umožňuje získať správu na základe výsledkov testovania. V tomto prípade sa použil variant testovania Endpoint, pri ktorom sa do počítača stiahne a spustí spustiteľný súbor, a potom sa začne proces kontroly.
Počas kontroly bezpečnosti pracovného počítača SandBlast Agent signalizuje identifikované a odrazné útoky na počítači používateľa, napríklad: blade Anti-Bot informuje o zistení infekcie, blade Anti-Malware zistil a odstránil malvérový súbor CP_AM.exe, a blade Threat Emulation na základe emulácie určil, že súbor CP_ZD.exe je škodlivý.
Na základe testovania pomocou CheckMe Endpoint máme nasledujúci výsledok: zo 6 kategórií útokov štandardná politika prevencie hrozieb nezvládla len jednu kategóriu — Browser Exploit. To je spôsobené tým, že štandardná politika prevencie hrozieb nezahŕňa blade Anti-Exploit. Je potrebné poznamenať, že bez nainštalovaného SandBlast Agent počítač používateľa prešiel kontrolou iba v kategórii Ransomware.
KnowBe4 RanSim
Na testovanie práce blade Anti-Ransomware môžete použiť bezplatné riešenie , ktoré spúšťa sériu testov na používateľskom počítači: 18 scenárov infekcie ransomvérom a 1 scenár infekcie kryptominerom. Je potrebné poznamenať, že prítomnosť mnohých blade (Threat Emulation, Anti-Malware, Behavioral Guard) so zapnutou funkciou Prevent v štandardnej politike neumožňuje správne spustiť tento test. Avšak aj pri zníženej úrovni bezpečnosti (Threat Emulation v režime Off) test blade Anti-Ransomware vykazuje vysoké výsledky: 18 z 19 testov bolo úspešne zvládnutých (1 sa nespustil).
Škodlivé súbory a dokumenty
Zaujímavým príkladom je testovanie fungovania rôznych bлейdov štandardnej politiky Prevencia hrozieb pomocou škodlivých súborov populárnych formátov, ktoré sú sťahované na užívateľské zariadenie. V tomto teste bolo zahrnutých 66 súborov formátov PDF, DOC, DOCX, EXE, XLS, XLSX, CAB, RTF. Výsledky testu ukázali, že SandBlast Agent sa podarilo zablokovať 64 škodlivých súborov zo 66. Infikované súbory boli odstránené po stiahnutí, alebo vyčistené od škodlivého obsahu pomocou Threat Extraction a získané užívateľom.
Odporúčania na zlepšenie politiky Prevencia hrozieb
1. Filtrácia URL
Prvá vec, ktorú je potrebné opraviť v štandardnej politike na zvýšenie úrovne ochrany užívateľského zariadenia, je prepnúť bлейd Filtrácia URL na Prevent a uviesť príslušné kategórie na blokáciu. V našom prípade boli vybrané všetky kategórie okrem General Use, pretože obsahujú väčšinu zdrojov, ku ktorým je potrebné obmedziť prístup užívateľom na pracovisku. Taktiež pre takéto stránky je žiaduce odstrániť možnosť pre užívateľov prekonať varovné okno, zrušením zaškrtnutia možnosti „Allow user to dismiss the URL Filtering alert and access the website“.
2. Ochrana sťahovania
Druhým parametrom, na ktorý sa treba zamerať, je možnosť pre užívateľov sťahovať súbory, ktoré nie sú podporované emuláciou Check Point. Keďže v tejto časti sa zaoberáme zlepšeniami štandardnej politiky Prevencia hrozieb z hľadiska bezpečnosti, najlepším variantom by bolo zakázať sťahovanie nepodporovaných súborov.
3. Ochrana súborov
Taktiež je potrebné venovať pozornosť nastaveniam na ochranu súborov – konkrétne na parametre pravidelného skenovania a možnosti pre užívateľa odložiť núdzové skenovanie. V tomto prípade je potrebné zohľadniť časové rámce práce používateľa, a dobrým variantom z hľadiska bezpečnosti a výkonu je nastavenie povinného skenovania každý deň, pričom čas je vybraný náhodne (od 00:00 do 8:00), a užívateľ môže odložiť skenovanie maximálne na jeden týždeň.
4. Anti-exploit
Hlavnou nevýhodou štandardnej politiky prevencie hrozieb je vypnutý bleydo Anti-Exploit. Odporúčame zapnúť tento bleydo s akciou Prevent, aby sme ochránili pracovnú stanicu pred útokmi využívajúcimi exploit. S touto opravou sa opakovaný test CheckMe úspešne završuje bez zistenia zraniteľných miest na pracovnej stanici používateľa.
Záver
Zhrneme to: v tomto článku sme sa oboznámili s komponentmi štandardnej politiky prevencie hrozieb, testovali sme túto politiku rôznymi metódami a prostriedkami a tiež sme opísali odporúčania na zlepšenie nastavení štandardnej politiky na zvýšenie úrovne bezpečnosti používateľského zariadenia. V nasledujúcom článku cyklu prejdeme k štúdiu politiky ochrany údajov a preskúmame nastavenia globálnych politík.
. Aby ste nepremeškali ďalšie publikácie na tému SandBlast Agent Management Platform — sledujte aktualizácie v našich sociálnych sieťach (, , , , ).
Zdroj: habr.com
