Dobrodošli na peti članak ciklusa o rešenju Check Point SandBlast Agent Management Platform. S prethodnim člancima možete se upoznati putem odgovarajuće veze: , , , . Danas ćemo razmotriti mogućnosti praćenja u Management Platformi, a posebno rad sa logovima, interaktivnim kontrolnim tablama (View) i izveštajima. Takođe ćemo se dotaknuti teme Threat Hunting za identifikaciju aktuelnih pretnji i anomalnih događaja na korisničkom računaru.
Zapiski
Glavni izvor informacija za praćenje sigurnosnih događaja je odeljak Logs, koji prikazuje detaljne informacije o svakom incidentu, kao i omogućava korišćenje praktičnih filtera za preciziranje kriterijuma pretrage. Na primer, desnim klikom na parametar (Blade, Action, Severity itd.) interesantnog loga, taj parametar može biti filtriran kao Filter: «Parameter» ili Filter Out: «Parameter». Takođe, za parametar Source može biti odabrana opcija IP Tools, u kojoj možete pokrenuti ping na ovu IP adresu/ime ili izvršiti nslookup za dobijanje IP adrese izvora prema imenu.
U odeljku Logs za filtriranje događaja postoji pododsek Statistics, koji prikazuje statistiku za sve parametre: vremenska dijagram sa brojem logova, kao i procenat pokazatelja za svaki od parametara. Iz ovog pododseka možete lako filtrirati logove bez obraćanja pretraživaču i pisanja izraza za filtriranje — dovoljno je odabrati interesantne parametre i nova lista logova će odmah biti prikazana.
Detaljne informacije o svakom logu dostupne su na desnoj strani odeljka Logs, ali je pogodnije otvoriti log dvostrukim klikom radi analize sadržaja. Ispod je prikazan primer loga (slika je klikabilna), u kojem su prikazane detaljne informacije o aktivaciji akcije Prevent blde Threat Emulation na zaraženi fajl ".docx". Log ima nekoliko pododeljaka, koji prikazuju detalje sigurnosnog događaja: aktivirane politike i zaštitu, detalje forenzike, informacije o klijentu i saobraćaju. Posebnu pažnju zaslužuju dostupni izveštaji iz loga — Threat Emulation Report i Forensics Report. Ove izveštaje takođe možete otvoriti iz klijenta SandBlast Agent.
Threat Emulation Report
Pri uporabi bloka Threat Emulation po izvedbi emulacije v oblaku Check Point se v ustreznem dnevniku prikaže povezava do podrobnega poročila o rezultatih emulacije — Threat Emulation Report. Vsebina tega poročila je podrobno opisана v našem članku o . Omeniti je treba, da je to poročilo interaktivno in omogoča "pogled v" podrobnosti vsakega razdelek. Prav tako je možno pregledati posnetek procesa emulacije v virtualnem stroju, prenesti izvirno zlonamerno datoteko ali pridobiti njen hash, poleg tega pa se lahko obrnete na ekipo za odziv na incidente Check Point.
Forensics Report
Dejansko se za skoraj vsako varnostno dogodivščino ustvari poročilo Forensics Report, ki vključuje podrobne informacije o zlonamerni datoteki: njene značilnosti, dejanja, vstopno točko v sistem in vpliv na pomembne premoženjske vrednosti podjetja. Struktura poročila je bila podrobno obravnavana v našem članku o . Takšno poročilo je pomemben vir informacij pri preiskovanju varnostnih dogodkov, in po potrebi je mogoče takoj poslati vsebino poročila ekipi za odziv na incidente Check Point.
SmartView
Check Point SmartView je priročno orodje za ustvarjanje in ogled dinamičnih nadzornih plošč (View) in poročil v formatu PDF. Iz SmartView je možno tudi pregledovati uporabniške dnevnike in revizijske dogodke za skrbnike. Na spodnji sliki so prikazana najkoristnejša poročila in nadzorne plošče za delo s SandBlast Agent.
Poročila v SmartView so dokumenti s statističnimi informacijami o dogodkih v določenem časovnem obdobju. Podprta je izvoz poročil v formatu PDF na napravo, kjer je odprt SmartView, ter redni izvoz v PDF/Excel na elektronski naslov skrbnika. Poleg tega je podprta uvoz/izvoz predlog poročil, ustvarjanje lastnih poročil in možnost skrivanja imen uporabnikov v poročilih. Na spodnji sliki je prikazan primer vgrajenega poročila Threat Prevention.
Odborné panely (View) v SmartView umožňujú administrátorovi prístup k logom týkajúcim sa konkrétnych udalostí — stačí dvakrát kliknúť na zaujímavý objekt, či už je to stĺpec v grafe alebo názov škodlivého súboru. Rovnako ako pri správach je možné vytvárať vlastné odborné panely a skrývať údaje používateľov. Pre odborné panely sa tiež podporuje export/import šablón, pravidelný export do PDF/Excel na e-mail administrátora a automatické aktualizácie údajov pre monitorovanie bezpečnostných udalostí v reálnom čase.
Ďalšie sekcie monitorovania
Opis nástrojov monitorovania v Management Platform bude neúplný bez zmienky o sekciách Overview, Computer Management, Endpoint Settings a Push Operations. Tieto sekcie boli podrobne popísané vo , avšak užitočné bude preskúmať ich možnosti na riešenie monitorovacích úloh. Začnime s Overview, ktorá sa skladá z dvoch podsekcií — Operational Overview a Security Overview, ktoré predstavujú odborné panely s informáciami o stave chránených používateľských strojov a bezpečnostných udalostiach. Rovnako ako pri interakcii s akýmkoľvek iným odborným panelom, podsekcie Operational Overview a Security Overview pri dvojitom kliknutí na zaujímavý parameter umožňujú prejsť do sekcie Computer Management s vybraným filtrom (napríklad „Desktops“ alebo „Pre-Boot Status: Enabled“), alebo do sekcie Logs pre konkrétnu udalosť. Podsekcia Security Overview predstavuje odborný panel „Cyber Attack View – Endpoint“, ktorý si môžete prispôsobiť a nastaviť automatické aktualizácie údajov.
Z sekcie Computer Management je možné sledovať stav agenta na používateľských strojoch, stav aktualizácie databázy Anti-Malware, fázy šifrovania disku a mnoho ďalších údajov. Všetky údaje sa automaticky aktualizujú a pre každý z filtrov sa zobrazuje percentuálny podiel vhodných používateľských strojov. Takisto podporuje export údajov o počítačoch vo formáte CSV.
Dôležitým aspektom monitorovania zabezpečenia pracovných staníc je nastavenie upozornení o kritických udalostiach (Alerts) a export logov (Export Events) na uloženie na logovom serveri spoločnosti. Obe nastavenia sa vykonávajú v sekcii Endpoint Settings, a pre Opozorila Obstaja možnost povezave poštnega strežnika za pošiljanje obvestil o dogodkih administratorju ter konfiguriranje mejnih vrednosti za aktivacijo/izklop obvestil, odvisno od odstotka/količine naprav, ki ustrezajo merilom dogodka. Iz izvoza dogodkov Omogoča nastavitev posredovanja dnevnikov iz Management Platform na log-strežnik podjetja za nadaljnjo obdelavo. Podprti so formati SYSLOG, CEF, LEEF, SPLUNK, protokoli TCP/UDP, vse SIEM sisteme z delujočim syslog agentom, uporaba šifriranja TLS/SSL in avtentifikacija syslog stranke.
Za globoko analizo dogodkov na agentu ali v primeru povpraševanja tehnične podpore lahko hitro zberete dnevnike iz stranke SandBlast Agent s prisilno operacijo v razdelku Push Operations. Možno je nastaviti posredovanje ustvarjenega arhiva z dnevniki na strežnike Check Point ali na podjetniške strežnike, prav tako se arhiv z dnevniki shranjuje na uporabniški napravi v imeniku C:UsersusernameCPInfo. Podprto je zagon procesa zbiranja dnevnikov ob določenem času ter možnost odložiti operacijo s strani uporabnika.
Iskanje groženj
Metoda iskanja groženj se uporablja za proaktivno iskanje zlonamernih dejanj in nenavadnega vedenja v sistemu za nadaljnjo preiskavo morebitnih varnostnih dogodkov. Razdelek iskanje groženj v Management Platform omogoča iskanje dogodkov z določenimi parametri v podatkih uporabniške naprave.
Orodje za iskanje groženj ima več prednastavljenih poizvedb, na primer: za klasifikacijo zlonamernih domen ali datotek, sledenje redkim poizvedbam na nekaterih IP naslovih (v primerjavi z običajno statistiko). Struktura poizvedbe se sestoji iz treh parametrov: indikator (omrežni protokol, identifikator procesa, tip datoteke itd.), operator ("je", "ni", "vključuje", "eden od" itd.) in telo poizvedbe. V telesu poizvedbe lahko uporabite regularne izraze, podprta je uporaba več filtrov hkrati v iskalni vrstici.
Po izbiri filtra in zaključku obdelave zahtevka je na voljo dostop do vseh ustreznih dogodkov, s možnostjo ogleda podrobnih informacij o dogodku, postavitve objekta zahteve v karanteno ali generiranja podrobnega poročila o preiskavi z opisom dogodka. Trenutno je ta pripomoček v beta različici, v prihodnje pa je načrtovano širjenje nabor možnosti, na primer dodajanje informacij o dogodku v obliki matrice Mitre Att&ck.
Zaključek
Povzemimo: v tem članku smo obravnavali možnosti spremljanja varnostnih dogodkov v platformi SandBlast Agent Management, raziskali nov pripomoček za proaktivno iskanje zlonamernih dejanj in anomalij na uporabniških napravah - Threat Hunting. Naslednji članek bo zadnji v tem ciklu in v njem bomo obravnavali najpogostejša vprašanja o rešitvah Management Platform ter predstavili možnosti testiranja tega izdelka.
. Da ne zamudite naslednjih objav o temi SandBlast Agent Management Platform — spremljajte novosti na naših družbenih omrežjih (, , , , ).
Izvor: habr.com
