Vitajte pri piatom článku cyklu o platforme na správu Check Point SandBlast Agent. S predchádzajúcimi článkami sa môžete oboznámiť prechodom na príslušný odkaz: , , , Dnes sa pozrieme na možnosti monitorovania v Management Platform, konkrétne na prácu s logmi, interaktívnymi dashboardmi (View) a správami. Rovnako sa dotkneme témy Threat Hunting na identifikáciu aktuálnych hrozieb a anomálnych udalostí na používateľskom zariadení.
Záznamy
Základným zdrojom informácií pre monitorovanie bezpečnostných udalostí je sekcia Logs, ktorá zobrazuje podrobné informácie o každom incidente a umožňuje používať pohodlné filtre na upresnenie kritérií vyhľadávania. Napríklad, kliknutím pravým tlačidlom myši na parameter (Blade, Action, Severity atď.) zaujímavého logu, môže byť tento parameter filtrovaný ako Filter: „Parametre“ alebo Filter Out: „Parametre“. Taktiež pre parameter Source môže byť zvolená možnosť IP Tools, v ktorej môžete spustiť ping na túto IP adresu/m meno alebo vykonať nslookup na získanie IP adresy zdroja podľa mena.
V sekcii Logs na filtrovanie udalostí je podsekcia Statistics, kde sa zobrazuje štatistika všetkých parametrov: časová diagram s počtom logov a percentuálne ukazovatele pre každý z parametrov. Z tejto podsekcie môžete ľahko filtrovať logy bez nutnosti používať vyhľadávací riadok a písania výrazov filtrovania — stačí zvoliť zaujímavé parametre a nový zoznam logov sa okamžite zobrazí.
Podrobné informácie o každom logu sú k dispozícii na pravej strane sekcie Logs, avšak pohodlnejšie je otvoriť log dvojitým kliknutím na analýzu obsahu. Nižšie je uvedený príklad logu (obrázok je klikateľný), v ktorom sú zobrazené podrobné informácie o aktivácii akcie Prevent bľadu Threat Emulation na infikovaný súbor ".docx". Log má niekoľko podsekcií, ktoré zobrazujú detaily bezpečnostnej udalosti: s pracovná politika a ochrana, podrobnosti forenziky, informácie o klientovi a doprave. Zvláštnu pozornosť si zaslúžia dostupné správy z logu — Threat Emulation Report a Forensics Report. Tieto správy je možné tiež otvoriť z klienta SandBlast Agent.
Threat Emulation Report
Pri používaní bleydu Threat Emulation sa po vykonaní emulácie v cloude Check Point v príslušnom logu objaví odkaz na podrobnú správu o výsledkoch emulácie — Threat Emulation Report. Obsah tejto správy je podrobne opísaný v našom článku o . Je dôležité poznamenať, že táto správa je interaktívna a umožňuje „preniknúť“ do podrobností každého z oddielov. Taktiež je možné zobraziť záznam procesu emulácie vo virtuálnom počítači, stiahnuť pôvodný škodlivý súbor alebo získať jeho hash, ako aj kontaktovať tým Incident Response Check Point.
Forensics Report
Takmer pre každú udalosť bezpečnosti sa generuje správa Forensics Report, ktorá obsahuje podrobné informácie o škodlivom súbore: jeho charakteristiky, akcie, bod vstupu do systému a vplyv na dôležité aktíva spoločnosti. Štruktúra správy bola podrobne rozoberaná v našom článku o . Takáto správa je dôležitým zdrojom informácií pri vyšetrovaní udalostí bezpečnosti a v prípade potreby je možné okamžite odoslať obsah správy do tímu Incident Response Check Point.
SmartView
Check Point SmartView je užitočný nástroj na vytváranie a prezeranie dynamických dashboardov (View) a správ vo formáte PDF. Z SmartView je tiež možné prezerať používateľské logy a udalosti auditu pre administrátorov. Na obrázku nižšie sú uvedené najzaujímavejšie správy a dashboardy pre prácu so SandBlast Agentom.
Správy v SmartView predstavujú dokumenty so štatistickými informáciami o udalostiach za určitý časový úsek. Podporuje sa export správ vo formáte PDF na stroj, kde je otvorené SmartView, ako aj pravidelný export do PDF/Excel na e-mail administrátora. Okrem toho sa podporuje import/export šablón správ, vytváranie vlastných správ a možnosť skrývať mená používateľov v správach. Na obrázku nižšie je uvedený príklad vstavanej správy Threat Prevention.
Dashboardy (View) v SmartView umožňujú administrátorovi získať prístup k logom pre príslušnú udalosť — stačí dvakrát kliknúť na zaujímavý objekt, či už je to stĺpec grafu alebo názov škodlivého súboru. Rovnako ako pri správach, je možné vytvárať vlastné dashboardy a skrývať údaje používateľov. Pre dashboardy sa tiež podporuje import/export šablón, pravidelné exportovanie do PDF/Excel na e-mail administrátora a automatické aktualizovanie údajov pre monitorovanie bezpečnostných udalostí v reálnom čase.
Ďalšie sekcie monitorovania
Opis prostriedkov monitorovania v Management Platform bude neúplný bez zmienky o sekciách Overview, Computer Management, Endpoint Settings a Push Operations. Tieto sekcie boli podrobne opísané vo , avšak bude užitočné preskúmať ich možnosti na riešenie úloh monitorovania. Začneme s Overview, ktoré pozostáva z dvoch podsekcií — Operational Overview a Security Overview, ktoré predstavujú dashboardy s informáciami o stave chránených používateľských strojov a bezpečnostných udalostiach. Rovnako ako pri interakcii s akýmkoľvek iným dashboardom, podsekcie Operational Overview a Security Overview umožňujú po dvojitom kliknutí na zaujímavý parameter prejsť do sekcie Computer Management s vybraným filtrom (napríklad „Desktops“ alebo „Pre-Boot Status: Enabled“), alebo do sekcie Logs pre konkrétnu udalosť. Podsekcia Security Overview predstavuje dashboard „Cyber Attack View – Endpoint“, ktorý si môžete prispôsobiť podľa svojich potrieb a nastaviť automatické aktualizovanie údajov.
Z sekcie Computer Management môžete sledovať stav agenta na používateľských strojoch, stav aktualizácie databázy Anti-Malware, fázy šifrovania disku a mnohé ďalšie. Všetky údaje sa aktualizujú automaticky a pre každý z filtrov sa zobrazuje percentuálny podiel vhodných používateľských strojov. Takisto sa podporuje export údajov o počítačoch vo formáte CSV.
Dôležitým aspektom monitorovania bezpečnosti pracovných staníc je nastavenie upozornení o kritických udalostiach (Alerts) a export logov (Export Events) na uchovávanie na logovom serveri spoločnosti. Obe nastavenia sa vykonávajú v sekcii Endpoint Settings, a pre Alerts Existuje možnosť pripojiť poštový server na odosielanie upozornení správci a nakonfigurovať prahové hodnoty spúšťania/vypínania upozornení v závislosti od percenta/počtu zariadení spĺňajúcich kritéria udalosti. Exportovať udalosti umožňuje nastaviť preposielanie logov z Management Platform na log-server spoločnosti na ďalšie spracovanie. Podporované sú formáty SYSLOG, CEF, LEEF, SPLUNK, protokoly TCP/UDP, akékoľvek SIEM systémy s fungujúcim syslog-agentom, využívanie šifrovania TLS/SSL a autentifikáciu syslog-klienta.
Na hĺbkovú analýzu udalostí na agente alebo v prípade kontaktovania technickej podpory je možné rýchlo zhromaždiť logy z klienta SandBlast Agent pomocou nútenej operácie v sekcii Push Operations. Je možné nastaviť preposielanie vytvoreného archívu s logmi na servery Check Point alebo na firemné servery, archív s logmi sa tiež ukladá na používateľskom počítači v adresári C:UsersusernameCPInfo. Podporované je spustenie procesu zbierania logov v určenom čase a možnosť odložiť operáciu používateľom.
Hunting hrozieb
Metóda Hunting hrozieb sa používa na proaktívne vyhľadávanie škodlivých činností a anomálneho správania v systéme na ďalšie vyšetrenie potenciálnej bezpečnostnej udalosti. Sekcia Hunting hrozieb v Management Platform umožňuje vyhľadávať udalosti s určenými parametrami v dátach používateľského počítača.
Nástroj Hunting hrozieb má niekoľko prednastavených dotazov, napríklad na klasifikáciu škodlivých domén alebo súborov, sledovanie zriedkavých prístupov k niektorým IP adresám (vzhľadom na celkovú štatistiku). Štruktúra dotazu sa skladá z troch parametrov: indikátor (sieťový protokol, identifikátor procesu, typ súboru a pod.), operátor („je“, „nie je“, „obsahuje“, „jeden z“ a pod.) a telo dotazu. V tele dotazu je možné používať regulárne výrazy, podporuje sa použitie viacerých filtrov súčasne v vyhľadávacom výraze.
Po výbere filtra a dokončení spracovania požiadavky sa sprístupnia všetky vhodné udalosti, s možnosťou zobraziť podrobné informácie o udalosti, umiestniť objekt požiadavky do karantény alebo vygenerovať podrobnú správu Forensics Report s popisom udalosti. V súčasnosti je tento nástroj v beta verzii a v budúcnosti sa plánuje rozšírenie sady funkcií, napríklad pridanie informácií o udalosti vo forme matice Mitre Att&ck.
Záver
Zhrňme to: v tomto článku sme preskúmali možnosti monitorovania bezpečnostných udalostí na SandBlast Agent Management Platform, preskúmali nový nástroj na proaktívne vyhľadávanie škodlivých činností a anomálií na používateľských strojoch — Threat Hunting. Nasledujúci článok bude záverečný v tomto cykle a v ňom preskúmame najčastejšie otázky týkajúce sa riešenia Management Platform a povieme o možnostiach testovania tohto produktu.
. Aby ste nepremeškali ďalšie publikácie na tému SandBlast Agent Management Platform — sledujte aktualizácie v našich sociálnych sieťach (, , , , ).
Zdroj: habr.com
