VÀlkommen till den femte artikeln i serien om Check Point SandBlast Agent Management Platform. Du kan lÀsa de tidigare artiklarna genom att följa den angivna lÀnken: , , , . Idag kommer vi att titta pÄ övervakningsmöjligheterna i Management Platform, inklusive arbete med loggar, interaktiva instrumentpaneler (View) och rapporter. Vi kommer Àven att ta upp Àmnet Threat Hunting för att identifiera aktuella hot och ovanliga hÀndelser pÄ anvÀndarens maskin.
Loggar
Den primÀra kÀllan för information kring övervakning av sÀkerhetshÀndelser Àr avsnittet Logs, som visar detaljerad information om varje incident och möjliggör anvÀndning av praktiska filter för att förfina sökkriterierna. Till exempel, nÀr du högerklickar pÄ en parameter (Blade, Action, Severity osv.) av intresse i loggen kan den parametern filtreras som Filter: «Parameter» eller Filter Out: «Parameter». För parametern Source kan alternativet IP Tools vÀljas, dÀr du kan köra ping till den angivna IP-adressen/namnet eller utföra nslookup för att fÄ IP-adressen till kÀllan baserat pÄ namnet.
I avsnittet Logs finns en underavdelning för att filtrera hĂ€ndelser, Statistics, dĂ€r statistik för alla parametrar visas: en tidsdiagram med antalet loggar och procentandelar för varje parameter. FrĂ„n denna underavdelning kan loggar enkelt filtreras utan att anvĂ€nda sökfĂ€ltet och skriva filtreringsuttryck â det rĂ€cker med att vĂ€lja de intressanta parametrarna sĂ„ visas en ny lista med loggar direkt.
Detaljerad information om varje logg Ă€r tillgĂ€nglig i den högra panelen i avsnittet Logs, men det Ă€r mer praktiskt att öppna loggen med dubbelklick för att analysera innehĂ„llet. Nedan visas ett exempel pĂ„ en logg (bilden Ă€r klickbar), dĂ€r detaljerad information om Ă„tgĂ€rden Prevent av Blade Threat Emulation pĂ„ en infekterad fil ".docx" visas. Loggen har flera underavsnitt som visar detaljer om sĂ€kerhetshĂ€ndelsen: aktiverad policy och skydd, forensic-detaljer, information om klienten och trafiken. SĂ€rskild uppmĂ€rksamhet bör Ă€gnas Ă„t tillgĂ€ngliga rapporter frĂ„n loggen â Threat Emulation Report och Forensics Report. Dessa rapporter kan ocksĂ„ öppnas frĂ„n klienten SandBlast Agent.
Threat Emulation Report
NÀr man anvÀnder Threat Emulation-bladet visas en lÀnk till den detaljerade rapporten om emuleringsresultaten - Threat Emulation Report - i den relevanta loggen efter emulering i Check Points moln. InnehÄllet i en sÄdan rapport beskrivs utförligt i vÄr artikel om Det Àr vÀrt att notera att denna rapport Àr interaktiv och gör det möjligt att fördjupa sig i detaljerna för varje avsnitt. Det finns ocksÄ möjlighet att se inspelningen av emuleringsprocessen i en virtuell maskin, ladda ner den ursprungliga skadliga filen eller fÄ dess hash, samt att kontakta Check Point Incident Response Team.
Forensics Report
Praktiskt taget för varje sÀkerhetshÀndelse genereras en Forensics Report som innehÄller detaljerad information om den skadliga filen: dess egenskaper, ÄtgÀrder, intrÀdespunkt i systemet och pÄverkan pÄ företagets viktiga tillgÄngar. Rapportens struktur har vi noga gÄtt igenom i vÄr artikel om En sÄdan rapport Àr en viktig informationskÀlla vid utredningar av sÀkerhetshÀndelser, och vid behov kan man omedelbart skicka innehÄllet i rapporten till Check Point Incident Response Team.
SmartView
Check Point SmartView Àr ett anvÀndarvÀnligt verktyg för att skapa och visa dynamiska instrumentpaneler (View) och rapporter i PDF-format. FrÄn SmartView kan man ocksÄ se anvÀndarloggar och revisionshÀndelser för administratörer. Bilden nedan visar de mest anvÀndbara rapporterna och instrumentpanelerna för arbete med SandBlast Agent.
Rapporter i SmartView Àr dokument med statistisk information om hÀndelser under en viss tidsperiod. Det Àr möjligt att exportera rapporter i PDF-format till den maskin dÀr SmartView Àr öppet, samt att regelbundet exportera i PDF/Excel till administratörens e-post. Dessutom stöds import/export av rapportmallar, skapande av egna rapporter och möjligheten att dölja anvÀndarnamn i rapporterna. Bilden nedan visar ett exempel pÄ en inbyggd rapport om Threat Prevention.
Instrumentpaneler (View) i SmartView ger administratören tillgĂ„ng till loggar för respektive hĂ€ndelse â det rĂ€cker med att klicka tvĂ„ gĂ„nger pĂ„ det intressanta objektet, oavsett om det Ă€r en diagramkolumn eller namnet pĂ„ en skadlig fil. Precis som med rapporter kan man skapa egna instrumentpaneler och dölja anvĂ€ndardata. För instrumentpaneler stöds dessutom import/export av mallar, regelbunden export till PDF/Excel till administratörens e-post och automatisk uppdatering av data för övervakning av sĂ€kerhetshĂ€ndelser i realtid.
Ytterligare övervakningsavsnitt
Beskrivningen av övervakningsverktyg i Management Platform skulle vara ofullstĂ€ndig utan att nĂ€mna avsnitten Overview, Computer Management, Endpoint Settings och Push Operations. Dessa avsnitt har beskrivits i detalj tidigare, men det Ă€r viktigt att titta pĂ„ deras funktioner för att lösa övervakningsuppgifter. Vi börjar med Overview, som bestĂ„r av tvĂ„ underavsnitt â Operational Overview och Security Overview, som Ă€r instrumentpaneler med information om statusen för de skyddade anvĂ€ndarmaskinerna och sĂ€kerhetshĂ€ndelser. Som vid interaktion med vilken annan instrumentpanel som helst, gör ett dubbelklick pĂ„ den intressanta parametern att man kommer till avsnittet Computer Management med valt filter (till exempel "Desktops" eller "Pre-Boot Status: Enabled"), eller till avsnittet Logs för en specifik hĂ€ndelse. Underavsnittet Security Overview Ă€r en instrumentpanel "Cyber Attack View â Endpoint", som kan anpassas "efter eget önskemĂ„l" och stĂ€lla in automatisk datauppdatering. FrĂ„n avsnittet Computer Management kan man övervaka tillstĂ„ndet hos agenten pĂ„ anvĂ€ndarmaskinerna, statusen för uppdateringen av Anti-Malware-databasen, stegen för diskryptering och mycket mer. All data uppdateras automatiskt, och för varje filter visas den procentandel av lĂ€mpliga anvĂ€ndarmaskiner. Det stöds ocksĂ„ att exportera data om datorerna i CSV-format.
En viktig del av övervakningen av sÀkerheten för arbetsstationer Àr att stÀlla in aviseringar om kritiska hÀndelser (Alerts) och export av loggar (Export Events) för att lagra pÄ företagets loggserver. BÄda instÀllningarna görs i avsnittet Endpoint Settings, och för
Alerts Alerts Det finns möjlighet att ansluta en e-postserver för att skicka meddelanden om hÀndelser till administratören och konfigurera tröskelvÀrden för aktivering/deaktivering av aviseringar beroende pÄ procentandel/antal enheter som uppfyller hÀndelsens kriterier. Exportera hÀndelser möjliggör instÀllning av vidarebefordring av loggar frÄn Management Platform till företagets loggserver för vidare bearbetning. Stödda format inkluderar SYSLOG, CEF, LEEF, SPLUNK, protokoll TCP/UDP, och alla SIEM-system med en fungerande syslog-agent, inklusive anvÀndning av TLS/SSL-kryptering och autentisering av syslog-klient.
För djupgÄende analys av hÀndelser pÄ agenten eller i fall av kontakt med teknisk support kan loggar frÄn SandBlast Agent snabbt samlas in genom en tvÄngsÄtgÀrd i avsnittet Push Operations. Vidare kan vidarebefordringen av den skapade loggarkivet till Check Point-servrar eller företagsservrar konfigureras, dessutom sparas loggarkivet pÄ anvÀndarens maskin i katalogen C:UsersusernameCPInfo. Det stöds att starta loggsamlingens process vid angiven tid och möjligheten för anvÀndaren att skjuta upp operationen.
Hot Hunting
Metoden för Threat Hunting anvÀnds för proaktivt söka efter skadliga aktiviteter och anomalier i systemet för vidare utredning av potentiella sÀkerhetshÀndelser. Avsnittet Threat Hunting i Management Platform möjliggör sökning av hÀndelser med angivna parametrar i data frÄn anvÀndarens maskin.
Verktyget för Threat Hunting har flera förinstĂ€llda frĂ„gor, till exempel: för klassificering av skadliga domĂ€ner eller filer, för att spĂ„ra sĂ€llsynta begĂ€rningar till vissa IP-adresser (i förhĂ„llande till den allmĂ€nna statistiken). FrĂ„gestrukturen bestĂ„r av tre parametrar: en indikator (nĂ€tverksprotokoll, processidentifierare, filtyp, etc.), operatör (âĂ€râ, âĂ€r inteâ, âinnehĂ„llerâ, âen avâ etc.) och frĂ„gekropp. I frĂ„gekroppen kan reguljĂ€ra uttryck anvĂ€ndas, och flera filter kan anvĂ€ndas samtidigt i sökstrĂ€ngen.
NÀr filtret har valts och behandlingen av förfrÄgan Àr klar, blir alla relevanta hÀndelser tillgÀngliga, med möjlighet att se detaljerad information om hÀndelsen, sÀtta förfrÄgan i karantÀn eller generera en detaljerad Forensics Report som beskriver hÀndelsen. För nÀrvarande Àr detta verktyg i beta-version och det planeras att utöka funktionerna, till exempel genom att lÀgga till information om hÀndelsen i form av Mitre Att&ck-matrisen.
Slutsats
Sammanfattningsvis: i den hĂ€r artikeln har vi gĂ„tt igenom möjligheterna till sĂ€kerhetshĂ€ndelseövervakning i SandBlast Agent Management Platform, undersökt det nya verktyget för proaktiv upptĂ€ckta av skadliga handlingar och anomalier pĂ„ anvĂ€ndarmaskiner â Threat Hunting. Den följande artikeln kommer att avsluta denna cykel och vi kommer att gĂ„ igenom de vanligaste frĂ„gorna om Management Platform och berĂ€tta om testmöjligheterna för denna produkt.
. För att inte missa kommande publiceringar om SandBlast Agent Management Platform â följ vĂ„ra uppdateringar pĂ„ vĂ„ra sociala medier (, , , , ).
KĂ€lla: habr.com
