3. Check Point SandBlast Agent Management Platform. Policy för hotförebyggande åtgärder

Välkommen till den tredje artikeln i serien om den nya molnbaserade konsolen för hantering av skyddet av persondatorer — Check Point SandBlast Agent Management Platform. Jag påminner om att i den första artikeln vi bekantade oss med Infinity Portal och skapade den molnbaserade tjänsten för hantering av agenter, Endpoint Management Service. I den andra artikeln undersökte vi gränssnittet för webb-konsolen och installerade agenten med standardpolitiken på användarens maskin. Idag kommer vi att granska innehållet i den standardiserade säkerhetspolicyn för hotförebyggande åtgärder och testa dess effektivitet mot populära attacker.

Standardpolitiken för hotförebyggande åtgärder: beskrivning

I bilden ovan visas den standardregeln för policyn för hotförebyggande åtgärder, som per standard gäller för hela organisationen (alla installerade agenter) och inkluderar tre logiska grupper av skyddskomponenter: Web & Files Protection, Behavioral Protection och Analysis & Remediation. Låt oss titta närmare på varje grupp.

Web & Files Protection

URL-filtrering
URL-filtrering möjliggör att kontrollera användarnas åtkomst till webbresurser, för vilket de använder fem förinställda kategorier av webbplatser. Varje kategori innehåller flera mer specifika underkategorier, vilket möjliggör exempelvis blockeringen av åtkomst till underkategorin Spel och tillåter åtkomst till underkategorin Direktmeddelanden som ingår i kategorin Produktivitetsförlust. Adresserna för URL:er som tillhör specifika underkategorier definieras av Check Point. För att kontrollera vilken kategori en specifik URL tillhör, eller begära en översyn av kategorin, kan man använda en särskild resurs. URL-kategorisering.
Som åtgärd kan du ställa in Prevent, Detect eller Off. När åtgärden Detect väljs, läggs automatiskt en inställning till som tillåter användare att hoppa över varningen från URL-filtrering och gå vidare till den resurs de är intresserade av. Vid åtgärden Prevent kan denna inställning tas bort och användaren kan inte få åtkomst till den blockerade webbplatsen. En praktisk metod för att kontrollera blockerade resurser är inställningen Block List, där du kan ange domäner, IP-adresser eller ladda upp en .csv-fil med listan över domäner för blockering.

I standardpolicyn för URL-filtering har åtgärden Detektera ställts in och en kategori har valts - Säkerhet, för vilken händelser kommer att detekteras. Denna kategori inkluderar olika anonymiserare, webbplatser med risknivåer som Kritisk/Hög/Medel, phishing-sidor, skräppost och mycket mer. Användare kommer ändå att kunna få tillgång till resursen tack vare inställningen "Tillåt användare att avvisa URL-filtering-aviseringen och få åtkomst till webbplatsen."

Ladda ner (webb) Skydd
Emulering & Extraktion gör det möjligt att emulera nedladdade filer i Check Points molnsandbox och att rensa dokument "i farten" genom att ta bort potentiellt skadligt innehåll, eller genom att konvertera dokumentet till PDF. Det finns tre lägen för drift:

• Förhindra — möjliggör att få en kopia av det rensade dokumentet innan det slutliga emuleringsutlåtandet, eller vänta tills emuleringen är klar och ladda ner den ursprungliga filen direkt;

• Detektera — utför emulering i bakgrunden utan att hindra användaren från att få den ursprungliga filen, oavsett utlåtande;

• Av — alla filer är tillåtna för nedladdning utan att genomgå emulering och rensning av potentiellt skadliga komponenter.

Det finns också möjlighet att välja åtgärd för filer som inte stöds av emulerings- och rensningstjänsterna i Check Point - man kan tillåta eller förbjuda nedladdning av alla icke-stödda filer.

I standardpolicyn för Download Protection är åtgärden Förhindra inställd med möjlighet att få en kopia av det ursprungliga dokumentet rensat från potentiellt skadligt innehåll, samt tillåta nedladdning av filer som inte stöds av emulerings- och rensningstjänsterna.

Credential Protection
Komponenten Credential Protection skyddar användarnas autentiseringsuppgifter och omfattar två komponenter: Zero Phishing och Password Protection. Zero Phishing skyddar användare från att få åtkomst till phishing-resurser, och Password Protection informerar användaren om att det är oacceptabelt att använda företagsuppgifter utanför det skyddade domänen. Zero Phishing kan konfigureras till Prevent, Detect eller Off. När prevention är aktiverad finns möjlighet för användare att hoppa över varningen om en potentiell phishing-resurs och få åtkomst till resursen, eller att förbise denna möjlighet och alltid blockera åtkomst. I läget Detect har användare alltid möjlighet att hoppa över varningen och få åtkomst till resursen. Password Protection gör det möjligt att välja skyddade domäner för vilka lösenordsöverensstämmelse kommer att kontrolleras, och en av tre åtgärder: Detect & Alert (informera användaren), Detect eller Off.

Standardpolicyn för Credential Protection föreskriver Prevent för alla phishing-resurser, vilket gör att användare inte kan få åtkomst till potentiellt skadliga webbplatser. Skydd mot användning av företagslösenord ingår också, men utan angivna domäner kommer denna funktion inte att fungera.

Files Protection
Files Protection ansvarar för att skydda filer som lagras på användarens maskin och inkluderar två komponenter: Anti-Malware och Files Threat Emulation. Anti-Malware är ett verktyg som regelbundet skannar alla användar- och systemfiler med hjälp av signaturanalys. I inställningarna för denna komponent kan man ställa in parametrar för regelbundet skannande eller slumpmässiga tidpunkter för skanning, frekvens för signaturuppdateringar samt möjligheten för användare att avbryta schemalagd skanning. Files Threat Emulation möjliggör emulering av filer lagrade på användarens maskin i Check Points molnsandbox, men denna säkerhetsfunktion fungerar endast i Detect-läge.

I den standardpolicyn för Files Protection ingår skydd genom Anti-Malware och upptäckten av skadliga filer genom Files Threat Emulation. Regelbundet skanning sker varje månad, och signaturerna på användarens maskin uppdateras var fjärde timme. Användare har också möjlighet att avbryta schemalagd skanning, men senast 30 dagar efter den senaste framgångsrika skanningen.

Behavioral Protection

Anti-Bot, Behavioral Guard & Anti-Ransomware, Anti-Exploit
Skyddskomponentgruppen Behavioral Protection består av tre delar: Anti-Bot, Behavioral Guard & Anti-Ransomware och Anti-Exploit. Anti-Bot möjliggör övervakning och blockering av C&C-anslutningar med hjälp av en ständigt uppdaterad databas från Check Point ThreatCloud. Behavioral Guard & Anti-Ransomware övervakar kontinuerligt aktiviteten (filer, processer, nätverksinteraktioner) på användarens maskin och kan förhindra angrepp av ransomware i de tidiga faserna. Dessutom gör denna skyddskomponent det möjligt att återställa filer som har blivit krypterade av skadlig programvara. Filer återställs i sina ursprungliga kataloger, eller så kan en specifik sökväg anges där alla återställda filer kommer att lagras. Anti-Exploit möjliggör upptäckte av nolldagarsattacker. För alla komponenter i Behavioral Protection stöds tre driftslägen: Prevent, Detect och Off.

Den standardpolicy för Behavioral Protection föreskriver Prevent för komponenterna Anti-Bot och Behavioral Guard & Anti-Ransomware, med återställning av krypterade filer i deras ursprungliga kataloger. Komponenten Anti-Exploit är inaktiverad och används inte.

Analyse & Remediation

Automatiserad Attackanalys (Forensics), Återställning & Svar
För analys och utredning av säkerhetsincidenter finns två säkerhetskomponenter: Automatiserad Attackanalys (Forensics) och Återställning & Svar. Automatiserad Attackanalys (Forensics) möjliggör generering av rapporter om resultaten av attackavvisningar med detaljerad beskrivning – ända ner till analys av utförandeprocessen av skadlig programvara på användarens maskin. Det finns också möjlighet att använda funktionen Threat Hunting, som ger möjlighet till proaktivt sökande efter anomalier och potentiellt skadligt beteende med hjälp av förinställda eller skapade filter. Återställning & Svar möjliggör konfiguration av återställnings- och karantäninställningar för filer efter en attack: interaktionen mellan användare och karantänfiler regleras, och det finns möjlighet att lagra filer i karantän i en angiven mapp av administratören.

I den standardpolicy för Analyse & Remediation som är aktiverad ingår skydd, vilket omfattar automatiska åtgärder för återställning (avslutande av processer, återställning av filer osv.), samt att funktionen för att skicka filer till karantän är aktiv, där användarna endast kan ta bort filer från karantän.

Standard Threat Prevention Policy: Testning

Check Point CheckMe Endpoint

Det snabbaste och enklaste sättet att kontrollera säkerheten på användarens maskin mot de vanligaste typerna av attacker är att genomföra ett test med hjälp av tjänsten Check Point CheckMe, som utför ett antal typiska attacker från olika kategorier och ger en rapport om testresultaten. I det här fallet användes testvarianten Endpoint, där en körbar fil laddas ner och körs på datorn, och sedan börjar kontrollprocessen.

Under kontrollen av den arbetsdatorn signalerar SandBlast Agent om identifierade och avvisade attacker mot användarens dator, till exempel: Anti-Bot-bladet rapporterar om upptäckta infektioner, Anti-Malware-bladet har upptäckte och tagit bort den skadliga filen CP_AM.exe, och Threat Emulation-bladet har genom emulering funnit att filen CP_ZD.exe är skadlig.

Efter att testningen med CheckMe Endpoint har genomförts har vi följande resultat: av 6 kategorier av attacker klarade den standardiserade Threat Prevention-politiken endast av en kategori — Browser Exploit. Detta beror på att den standardiserade Threat Prevention-politiken inte inkluderar Anti-Exploit-bladet. Det bör noteras att utan en installerad SandBlast Agent gick användarens dator igenom kontrollen endast i kategorin Ransomware.

KnowBe4 RanSim

För att testa Anti-Ransomware-bladets funktion kan en gratislösning användas KnowBe4 RanSim, som kör en serie tester på användarens maskin: 18 scenarier för infektion av ransomware och 1 scenario för infektion av kryptovaluta-gruvdrift. Det bör noteras att närvaron av många blad i den standardiserade policyn (Threat Emulation, Anti-Malware, Behavioral Guard) med Prevent-funktion hindrar en korrekt körning av detta test. Även med en sänkt säkerhetsnivå (Threat Emulation i Off-läge) visar testet för Anti-Ransomware-bladet högra resultat: 18 av 19 tester passerade framgångsrikt (1 kunde inte genomföras).

Skadliga filer och dokument

En anmärkningsvärd kontroll av olika blades av standardpolitiken för hotförebyggande är testet av skadliga filer i populära format som laddas upp på användarens maskin. I detta test deltog 66 filer i formaten PDF, DOC, DOCX, EXE, XLS, XLSX, CAB, RTF. Testresultaten visade att SandBlast Agent kunde blockera 64 skadliga filer av 66. De infekterade filerna togs bort efter nedladdning, eller rensades från skadligt innehåll med hjälp av Threat Extraction och återfick användaren.

Rekommendationer för att förbättra hotförebyggande politik

1. URL-filtrering

Det första som behöver åtgärdas i standardpolitiken för att öka säkerheten på klientmaskinen är att förändra blade URL Filtering till Prevent och ange vissa kategorier för blockering. I vårt fall valdes alla kategorier utom General Use, då de inkluderar de flesta resurser där det är nödvändigt att begränsa åtkomsten för användarna på arbetsplatsen. Det är också önskvärt att för sådana webbplatser ta bort möjligheten för användare att avvisa varningsfönstret genom att avmarkera alternativet "Tillåt användare att avvisa URL-filtreringsvarningen och få tillgång till webbplatsen."

2. Nedladdningsskydd

Det andra området att uppmärksamma är möjligheten för användare att ladda ner filer som inte stöds av Check Points emulering. Eftersom vi granskar förbättringar av standardpolitiken för hotförebyggande ur säkerhetssynpunkt, är det bästa alternativet att förbjuda nedladdning av icke stödda filer.

3. Filsäkerhet

Det är också viktigt att uppmärksamma inställningarna för filskydd — särskilt de parametrar som rör periodisk skanning och möjligheterna för användaren att skjuta upp tvångsskanningen. I detta fall måste man ta hänsyn till användarens arbetstider, och en bra lösning ur säkerhets- och prestandasynpunkt är att ställa in tvångsskanning att utföras varje dag, med tiden vald slumpmässigt (från 00:00 till 08:00), och användaren kan skjuta upp skanningen maximalt en vecka.

4. Anti-exploatering

En betydande brist i den standardiserade Hot Prevention-politiska är den avstängda Anti-Exploit-bladet. Det rekommenderas att aktivera detta blad med åtgärden Prevent för att skydda arbetsstationen mot attacker som använder exploits. Med denna åtgärd avslutas den upprepade CheckMe-testet framgångsrikt utan några sårbarheter på användarens arbetsmaskin.

Slutsats

Sammanfattningsvis: I denna artikel har vi bekantat oss med komponenterna i den standardiserade Hot Prevention-politiken, testat denna politik med hjälp av olika metoder och verktyg, samt beskrivit rekommendationer för att förbättra inställningarna i den standardiserade policyn för att öka säkerhetsnivån på användarens maskin. I nästa artikel i cykeln kommer vi att gå vidare till att studera Data Protection-policy och granska inställningarna för Global Policy Settings.

Ett omfattande urval av material om Check Point från TS Solution. För att inte missa kommande publiceringar om SandBlast Agent Management Platform — följ våra uppdateringar på våra sociala medier (Telegram, Facebook, VK, TS Solution Blog, Yandex.Dzen).

Källa: habr.com