Dobrodošli v tretjem delu serije o novi oblaki konzoli za upravljanje zaščite osebnih računalnikov — Check Point SandBlast Agent Management Platform. Spomnim vas, da smo se v prejšnjem delu seznanili s portalom Infinity Portal in ustvarili oblačno storitev za upravljanje agentov Endpoint Management Service. V smo raziskali uporabniški vmesnik spletne konzole za upravljanje in namestili agenta s standardno politiko na uporabniški napravi. Danes bomo obravnavali vsebino standardne varnostne politike Threat Prevention in testirali njeno učinkovitost proti priljubljenim napadom.
Standardna politika Threat Prevention: opis
Na sliki zgoraj je prikavljeno standardno pravilo politike Threat Prevention, ki se privzeto širi na celo organizacijo (vse nameščene agente) in vključuje tri logične skupine zaščitnih komponent: Web & Files Protection, Behavioral Protection in Analysis & Remediation. Podrobneje si bomo ogledali vsako od skupin.
Web & Files Protection
Filtriranje URL-a
URL Filtering omogoča nadzor dostopa uporabnikov do spletnih virov, pri čemer se uporabljajo prednastavljene 5 kategorij spletnih strani. Vsaka od 5 kategorij vsebuje več specifičnih podkategorij, kar omogoča nastavitev, na primer, blokiranje dostopa do podkategorije Igre in dovoljenje za dostop do podkategorije Instant Messaging, ki spadata v eno kategorijo Productivity Loss. Naslovi URL, ki pripadajo določenim podkategorijam, so določeni s strani podjetja Check Point. Kategorijo, v katero spada določen URL, lahko preverite ali zahtevate ponovno določitev kategorije na posebni spletni strani. .
Kot dejanje lahko nastavite Prevent, Detect ali Off. Prav tako se pri izbiri dejanja Detect samodejno dodaja nastavitev, ki uporabnikom omogoča, da preskočijo opozorilo URL Filtering in preidejo na želeni vir. V primeru dejanja Prevent lahko to nastavitev odstranite in uporabnik ne bo mogel dostopati do blokirane spletne strani. Prav tako je priročen način za nadzor blokiranih virov nastavitev Block List, v kateri lahko navedete domene, IP-naslove ali naložite datoteko v formatu .csv s seznamom domen za blokado.
V standardni politiki za URL Filtriranje je nastavljena akcija Odkrij in izbrana ena kategorija — Varnost, za katero bo izvedeno odkrivanje dogodkov. Ta kategorija vključuje različne anonimizerje, spletna mesta z raven tveganja Kritično/Visoko/Srednje, phishing spletna mesta, spam in še več. Uporabniki pa bodo še vedno lahko dostopali do virov, zahvaljujoč nastavitvi 'Dovoli uporabniku, da zavrne opozorilo filtriranja URL in dostopa do spletnega mesta'.
Prenos (web) zaščita
Emulacija in ekstrakcija omogoča emulacijo naloženih datotek v oblačnem peskovniku Check Point in čiščenje dokumentov 'v realnem času', pri čemer odstranjuje potencialno zlonamerne vsebine ali pretvarja dokument v PDF. Na voljo so trije načini delovanja:
- Prepreči — omogoča pridobitev kopije očiščenega dokumenta pred končno odločitvijo emulacije ali pa počakajte, da se emulacija zaključi in prenesite takoj izvirno datoteko;
- Odkrij — izvede emulacijo v ozadju, ne da bi ovirala uporabnika pri pridobivanju izvirne datoteke, ne glede na odločitev;
- Izklopljeno — vse datoteke so dovoljene za prenos brez emulacije in čiščenja potencialno zlonamernih komponent.
Na voljo je tudi možnost izbire akcije za datoteke, ki jih ne podpirajo orodja za emulacijo in čiščenje Check Point — lahko dovolite ali prepoveste prenos vseh nepodprtih datotek.
V standardni politiki za zaščito prenosa je nastavljena akcija Prepreči z možnostjo pridobitve očiščene kopije izvirnega dokumenta, ki je potencialno zlonamerna, ter dovoljuje prenos datotek, ki jih ne podpirajo orodja za emulacijo in čiščenje.
Zaščita poverilnic
Sestavina Zaščita poverilnic ščiti uporabniške podatke in vključuje 2 sestavini: Zero Phishing in Zaščita gesel. Zero Phishing ščiti uporabnike pred dostopom do phishing virov, medtem ko Zaščita gesel obvešča uporabnika o nedopustnosti uporabe korporativnih poverilnic zunaj zaščitenega domene. Zero Phishing se lahko nastavi na Prevent, Detect ali Off. Ko je nastavljena možnost Prevent, lahko uporabnikom omogočite, da preskočijo opozorilo o potencialnem phishing viru in dostopajo do vira, ali pa preprečite to možnost in vedno blokirate dostop. Pri nastavitvi Detect imajo uporabniki vedno možnost preskočiti opozorilo in dostopati do vira. Zaščita gesla omogoča izbiro zaščitenih domen, za katere bo potekala preverjava gesel, in eno od treh dejanj: Detect & Alert (obveščanje uporabnika), Detect ali Off.
Standardna politika za zaščito poverilnic predvideva Prevent za vse phishing vire, brez možnosti, da bi uporabniki dostopali do potencialno zlonamerne spletne strani. Vključena je tudi zaščita pred uporabo korporativnih gesel, vendar ta funkcija ne bo delovala brez navedenih domen.
Zaščita datotek
Zaščita datotek skrbi za zaščito datotek, shranjenih na uporabniški napravi, in vključuje dva komponente: Anti-Malware in emulacijo groženj datotek. Anti-Malware je sredstvo, ki redno skenira vse uporabniške in sistemske datoteke s pomočjo analize s podpisom. V nastavitvah tega komponenta lahko nastavite parametre rednega skeniranja alinaključnega skeniranja, obdobje posodobitve podpisov ter možnost, da uporabniki prekličejo načrtovano skeniranje. Emulacija groženj datotek omogoča emulacijo datotek, shranjenih na uporabniški napravi, v oblačnem peskovniku Check Point, vendar ta zaščitna funkcija deluje samo v načinu Detect.
V standardni politiki za zaščito datotek je vključena zaščita s pomočjo Anti-Malware in odkrivanje zlonamernih datotek s pomočjo emulacije groženj datotek. Redno skeniranje se izvaja vsak mesec, posodobitve podpisov na uporabniški napravi pa se izvajajo vsakih 4 ure. V tem okviru je omogočeno uporabnikom, da prekličejo načrtovano skeniranje, vendar ne pozneje kot 30 dni od zadnjega uspešnega skeniranja.
Obnašalska zaščita
Anti-Bot, Obnašalska zaščita & Anti-Ransomware, Anti-Exploit
Skupina komponent zaščite Behavioral Protection vključuje tri sestavine: Anti-Bot, Behavioral Guard & Anti-Ransomware ter Anti-Exploit. Anti-Bot omogoča sledenje in blokiranje povezav C&C s pomočjo nenehno posodabljane baze Check Point ThreatCloud. Behavioral Guard & Anti-Ransomware nenehno spremlja aktivnost (datoteke, procesi, omrežne interakcije) na uporabniškem računalniku in omogoča preprečevanje napadov z izsiljevalsko programsko opremo v zgodnjih fazah. Poleg tega ta zaščitni element omogoča obnovitev datotek, ki so bile okužene z zlonamerno programsko opremo. Datoteke se obnovijo v njihovih izvirnih imenikih, ali pa lahko določite specifično pot, kjer bodo shranjene vse obnovljene datoteke. Anti-Exploit omogoča odkrivanje napadov z ničelnim dnem. Za vse komponente Behavioral Protection so podprti trije načini delovanja: Prevent, Detect in Off.
Standarna politika za Behavioral Protection predvideva Prevent za komponente Anti-Bot in Behavioral Guard & Anti-Ransomware, z obnovitvijo zaklenjenih datotek v njihovih izvirnih imenikih. Komponenta Anti-Exploit je onemogočena in se ne uporablja.
Analiza & Obnova
Avtomatizirana analiza napadov (forenzika), obnova & odgovor
Za analizo in preiskave incidentov varnosti sta na voljo dva varnostna komponenta: Avtomatizirana analiza napadov (forenzika) in Obnova & odgovor. Avtomatizirana analiza napadov (forenzika) omogoča generiranje poročil o rezultatih zavračanja napadov s podrobnim opisom — vse do razčlenitve postopka izvajanja zlonamerne programske opreme na uporabniškem računalniku. Prav tako je na voljo možnost uporabe funkcije iskanja groženj, ki omogoča proaktivno iskanje anomalij in potencialno zlonamernega vedenja s pomočjo vnaprej nastavljenih ali ustvarjenih filtrov. Obnova & odgovor omogoča nastavitev parametrov obnove in karantene datotek po izvedbi napada: ureja se interakcija uporabnikov s karanteniranimi datotekami, prav tako pa je mogoče shraniti datoteke v karanteni v določeni mapi, ki jo določi skrbnik.
V standardni politiki Analiza & Obnova je vključena zaščita, ki zajema samodejne ukrepe za obnovo (zaključek procesov, obnova datotek ipd.), ter je aktivna možnost pošiljanja datotek v karanteno, pri čemer lahko uporabniki samo izbrišejo datoteke iz karantene.
Standardna politika preprečevanja groženj: testiranje
Check Point CheckMe Endpoint
Najhitrejši in najenostavnejši način za preverjanje varnosti uporabniškega računalnika pred najbolj razširjenimi vrstami napadov je izvajanje testa s pomočjo vira , ki izvaja vrsto tipičnih napadov različnih kategorij in omogoča pridobitev poročila o rezultatih testiranja. V tem primeru je bila uporabljena različica testiranja Endpoint, pri kateri se na računalnik prenese in zažene izvršljiva datoteka, nato pa se začne proces preverjanja.
Med preverjanjem varnosti delovnega računalnika SandBlast Agent signalizira o identificiranih in odbitih napadih na uporabnikovem računalniku, na primer: blade Anti-Bot poroča o odkritju okužbe, blade Anti-Malware je odkril in izbrisal zlonamerno datoteko CP_AM.exe, medtem ko je blade Threat Emulation na podlagi emulacije ugotovil, da je datoteka CP_ZD.exe zlonamerna.
Na podlagi testiranja s pomočjo CheckMe Endpoint imamo naslednji rezultat: od 6 kategorij napadov standardna politika preprečevanja groženj ni obvladala le ene kategorije — Browser Exploit. To je posledica dejstva, da standardna politika preprečevanja groženj ne vključuje blade Anti-Exploit. Pomembno je omeniti, da je uporabniški računalnik brez nameščenega SandBlast Agenta uspešno prestal preverjanje le v kategoriji Ransomware.
KnowBe4 RanSim
Za testiranje delovanja blade Anti-Ransomware lahko uporabite brezplačno rešitev , ki na uporabniški napravi izvaja vrsto testov: 18 scenarijev okužb z ransomware in 1 scenarij okužbe z rudarjem kriptovalut. Pomembno je omeniti, da prisotnost številnih bladeov v standardni politiki (Threat Emulation, Anti-Malware, Behavioral Guard) s preventivnim delovanjem ne omogoča pravilnega izvajanja tega testa. Vendar pa celo pri znižani varnosti (Threat Emulation v načinu Off) test blade Anti-Ransomware prikazuje visoke rezultate: 18 od 19 testov je bilo uspešno izvedenih (1 se ni zagnal).
Zlonamerne datoteke in dokumenti
Dober pokazatelj delovanja različnih bladeov standardne politike Threat Prevention je preverjanje zlonamernih datotek priljubljenih formatov, nalaganih na uporabniško napravo. V tem testu je sodelovalo 66 datotek formata PDF, DOC, DOCX, EXE, XLS, XLSX, CAB, RTF. Rezultati testa so pokazali, da je SandBlast Agent uspel blokirati 64 zlonamernih datotek od 66. Okužene datoteke so bile odstranjene po prenosu ali očiščene zlonamerne vsebine s pomočjo Threat Extraction in dostavljene uporabniku.
Priporočila za izboljšanje politike Threat Prevention
1. Filtriranje URL-jev
Prva stvar, ki jo je treba popraviti v standardni politiki za povečanje ravni zaščite uporabniške naprave, je preklop bladea Filtriranje URL-jev v Prevent in navedba ustreznih kategorij za blokado. V našem primeru so bile izbrane vse kategorije, razen General Use, saj vključujejo večino virov, do katerih je treba omejiti dostop uporabnikom na delovnem mestu. Poleg tega je za take spletne strani priporočljivo onemogočiti možnost, da lahko uporabniki prezrejo opozorilno okno, tako da odstranimo kljukico pri parametru „Allow user to dismiss the URL Filtering alert and access the website”.
2. Zaščita prenosa
Drugi parameter, na katerega je treba opozoriti, je možnost, da uporabniki prenašajo datoteke, ki jih emulacija Check Point ne podpira. Ker v tem razdelku obravnavamo izboljšave standardne politike Threat Prevention s stališča varnosti, bo najboljša izbira prepoved prenosov nepodprtih datotek.
3. Zaščita datotek
Prav tako je treba biti pozoren na nastavitve za zaščito datotek — zlasti na možnosti periodičnega skeniranja in možnosti za uporabnika, da odloži prisilno skeniranje. V tem primeru je treba upoštevati časovne omejitve dela uporabnika, dobra izbira z vidika varnosti in učinkovitosti pa je nastavitev izvrševanja prisilnega skeniranja vsak dan, pri čemer se čas izbira naključno (od 00:00 do 8:00) in uporabnik lahko odloži skeniranje največ za en teden.
4. Protekcija pred izkoriščanjem
Značajan nedostatak standardne politike zaštite od pretnji je isključen Anti-Exploit modul. Preporučuje se uključivanje ovog modula sa opcijom Prevent, kako bi se zaštitila radna stanica od napada koristeći exploit. Sa ovim ispravkom, ponovni test CheckMe uspešno prolazi bez otkrivanja ranjivosti na korisnikovoj radnoj mašini.
Zaključek
Sažetak: u ovom članku upoznali smo se sa komponentama standardne politike zaštite od pretnji, testirali ovu politiku pomoću različitih metoda i alata, kao i prikazali preporuke za poboljšanje podešavanja standardne politike radi povećanja nivoa sigurnosti korisničke mašine. U sledećem članku ovog ciklusa preći ćemo na proučavanje politike zaštite podataka i razmotriti podešavanja globalnih politika.
. Da ne zamudite naslednjih objav o temi SandBlast Agent Management Platform — spremljajte novosti na naših družbenih omrežjih (, , , , ).
Izvor: habr.com
