1. चेक प्वाइंट लॉग एनालिसिस: स्प्लंक के लिए आधिकारिक चेक प्वाइंट ऐप

चेक प्वाइंट सुरक्षा द्वार के साथ काम करते समय, सूचना सुरक्षा घटनाओं का पता लगाने और उनका विश्लेषण करने के लिए लॉग का विश्लेषण करने का कार्य बहुत बार उठता है। आमतौर पर, संगठनों में पहले से ही किसी प्रकार की लॉगिंग प्रणाली होती है, और कार्य चेक प्वाइंट प्रबंधन सर्वर से लॉग को परिवहन करना और फिर लॉग के लिए फ़िल्टर कॉन्फ़िगर करना, डैशबोर्ड, शेड्यूल और इसी तरह आकर्षित करना है। इस पाठ्यक्रम में, हम आंतरिक कार्यक्षमता और तीसरे पक्ष के अनुप्रयोगों का उपयोग करके चेक प्वाइंट लॉग का विश्लेषण करने के लिए विभिन्न विकल्पों पर विचार करेंगे, विचार करें कि हम कौन सी उपयोगी जानकारी निकाल सकते हैं, और यह फ़ायरवॉल को कॉन्फ़िगर करने में कैसे मदद करेगा।

चेक प्वाइंट के उत्पादों के हिस्से के रूप में, स्मार्टइवेंट कार्यक्षमता इसके लिए ज़िम्मेदार है, जो टेम्प्लेट पर रिपोर्ट बनाएगी। आप सीमित कार्यों को स्वचालित रूप से कॉन्फ़िगर कर सकते हैं, लेकिन यह अब इस बारे में नहीं है, हम बाद में इस मुद्दे पर लौट आएंगे। इस समस्या के अन्य समाधान भी हैं, जिन पर हमारे अन्य लेखों में चर्चा की गई:

• स्प्लंक + चेक प्वाइंट, आपके फ़ायरवॉल के लॉग का विश्लेषण करने का एक उदाहरण है
• प्वाइंट स्मार्ट इवेंट की जाँच करें। मिनी गाइड

उपरोक्त सभी समाधान स्थापित करने के लिए एक निश्चित योग्यता और कार्यान्वयन के लिए बहुत समय की आवश्यकता होती है। यदि आपको यहां और अभी समाधान की आवश्यकता है तो क्या होगा? चेक प्वाइंट ने हाल ही में एक एप्लिकेशन जारी किया है जो इस मामले के लिए आदर्श रूप से अनुकूल है - स्पंक के लिए चेक प्वाइंट ऐप, जिसके लिए वास्तविक समय में लॉग निर्यातक उपकरण का उपयोग करके स्पंक लॉगिंग सिस्टम के माध्यम से डेटा को syslog के माध्यम से भेजा जाता है। इस लेख में, हम इस समाधान, स्थापना और आउटपुट पर मिलने वाली जानकारी के बारे में विस्तार से विचार करेंगे।

स्थापना आवश्यकताएँ

चेक प्वाइंट प्रबंधन सर्वर को syslog प्रोटोकॉल का उपयोग करके लॉग भेजने के लिए स्थापित लॉग एक्सपोर्टर टूल की आवश्यकता होती है। GAIA R80.20 संस्करण में, लॉग निर्यातक डिफ़ॉल्ट रूप से स्थापित किया गया है, लेकिन स्प्लंक लॉग प्रारूप का समर्थन करने के लिए, आपको जंबो हॉटफ़िक्स स्थापित करने की आवश्यकता है, अन्य संस्करणों में, लॉग एक्सपोर्टर स्थापित करने से पहले, आपको पहले इसे जूमटो हॉटफ़िक्स का समर्थन करने के लिए स्थापित करना होगा।
हॉटफ़िक्स के संस्करण के लिए सभी आवश्यकताएँ नीचे दी गई हैं:

1. R80.20 - जंबो हॉटफ़िक्स 5 या उच्चतर लें;
2. R80.10 - जंबो हॉटफ़िक्स 56 या उच्चतर लें;
3. R77.30 - जंबो हॉटफ़िक्स 292 या उच्चतर लें।

काम करने के लिए आवेदन के लिए, सिस्टम का न्यूनतम संस्करण कम से कम स्प्लंक 6.5 होना चाहिए, स्प्लंक सामान्य सूचना मॉडल (CIM) पैकेज भी स्थापित होना चाहिए।

स्थापना और लॉन्च

स्थापना प्रक्रिया काफी तुच्छ है, पहले हम लॉग एक्सपोर्टर स्थापित करते हैं, फिर स्प्लंक पर एप्लिकेशन, हम प्रबंधन सर्वर में लॉग भेजने की प्रक्रिया और लॉगिंग सिस्टम में स्वीकृति प्रक्रिया को कॉन्फ़िगर करते हैं, और अंतिम बिंदु तक हम लॉग शिपिंग शुरू करते हैं, सब कुछ उम्मीद के अनुसार काम करता है। सभी बिंदुओं पर अधिक विस्तार से विचार करें।

1. आवश्यकता के रूप में जंबो हॉटफ़िक्स के गठन।
हम एक वेब ब्राउज़र में GAIA पोर्टल में जाते हैं, बाएं मेनू में Upgrades (CPUSE), स्थिति और क्रियाएँ, अनुशंसित जंबो हॉटफ़िक्स पैकेज का चयन करें, जो स्पष्ट रूप से आवश्यकताओं में कम सीमा से अधिक होगा, या क्लाउड से एडिफ़ हॉटफ़िक्स में वांछित संस्करण की तलाश करें, इंस्टॉल करें प्रक्रिया को प्रबंधन सर्वर के पुनरारंभ की आवश्यकता होगी।

2. लॉग एक्सपोर्टर को स्थापित करें यदि आपका चेक प्वाइंट का संस्करण R80.20 से कम है।
प्रबंधन पर लॉग एक्सपोर्टर को स्थापित करने के लिए, पहले चेक प्वाइंट पोर्टल से संग्रह डाउनलोड करें ।



फिर फिर से, CPUSE-> स्थिति और कार्य मेनू पर जाएं, आयात पैकेज चुनें, संग्रह को पथ निर्दिष्ट करें, आयात करें। उसके बाद, सभी संकुल को दिखाने के लिए अनुशंसित पैकेज दिखाने से संकुल के देखने को बदलें, आयातित संग्रह का चयन करें, स्थापित करें।

3. पहले स्थापित नहीं है तो CIM स्थापित करें।
स्प्लंक वेबीयू पर जाएं, प्रबंधित एप्लिकेशन में CIM पैकेज ढूंढें -> अधिक एप्लिकेशन ब्राउज़ करें, इंस्टॉल करें।



4. स्प्लंक के लिए चेक प्वाइंट ऐप का उल्लेख करें
पोर्टल से संग्रह डाउनलोड करें, फिर स्प्लंक वेबयूआई, एप्लिकेशन प्रबंधित करें, फ़ाइल से एप्लिकेशन इंस्टॉल करें, वांछित संग्रह का चयन करें, अपलोड पर क्लिक करें। हम सफल ऑपरेशन की अधिसूचना की प्रतीक्षा कर रहे हैं, सुनिश्चित करें कि एप्लिकेशन अब एप्लिकेशन सूची में दिखाई दे रहा है।



यह अन्य अनुप्रयोगों के बीच, निश्चित रूप से स्थापित एप्लिकेशन की तरह दिखना चाहिए:



Syslog के माध्यम से लॉग भेजने के लिए, आपको पहले एक लॉग एक्सपोर्टर प्रक्रिया बनानी होगी, फिर स्प्लंक को डेटा इनपुट कॉन्फ़िगर करना होगा, और चेक प्वाइंट प्रबंधन सर्वर पर बनाई गई प्रक्रिया को शुरू करना होगा।

5. लॉग एक्सपोर्टर को कॉन्फ़िगर करें
विशेषज्ञ मोड में CLI में चेक प्वाइंट प्रबंधन सर्वर पर, कमांड चलाएँ:
cp_log_export नाम [डोमेन-सर्वर <डोमेन-सर्वर>] लक्ष्य-सर्वर <लक्ष्य-सर्वर> लक्ष्य-बंदरगाह <लक्ष्य-बंदरगाह> प्रोटोकॉल <tcp | udp> प्रारूप स्पंक रीड-मोड <कच्चा | अर्द्ध एकीकृत>
कॉन्फ़िगरेशन का नाम कहां है, <लक्ष्य-सर्वर> स्प्लंक सिस्टम का आईपी पता है जिसे हम डेटा भेज रहे हैं, <लक्ष्य-पोर्ट> वह पोर्ट है जिसे हम डेटा भेज रहे हैं।
उदाहरण: cp_log_export नाम जोड़ें check_point_syslog लक्ष्य-सर्वर 10.10.1.159 लक्ष्य-पोर्ट 9000 प्रोटोकॉल tcp प्रारूप स्पंक रीड-मोड अर्ध-एकीकृत

6. स्प्लंक पर डेटा इनपुट सेट करें
स्प्लंक वेबयूआई पर जाएं, मेनू में सेटिंग्स का चयन करें, डेटा अनुभाग के तहत डेटा इनपुट का चयन करें।

हम उस प्रोटोकॉल का चयन करते हैं जिसके द्वारा डेटा स्पंक में जाएगा, इस उदाहरण tcp में, नया जोड़ें + चुनें।



इसके बाद, पोर्ट <लक्ष्य-पोर्ट> दर्ज करें, जो लॉग एक्सपोर्टर में निर्दिष्ट किया गया था, इस मामले में 9000, आप अतिरिक्त रूप से निर्दिष्ट कर सकते हैं कि किस आईपी पते से कनेक्शन स्वीकार करना है, फिर अगले बटन की प्रतीक्षा करें।



स्रोत प्रकार में, निर्दिष्ट करें cp_log, विधि - IP, इंडेक्स को डिफ़ॉल्ट के रूप में छोड़ा जा सकता है, सभी डेटा इंडेक्स = मेन पर जाएंगे और यदि आपके पास इस इंडेक्स के लिए अन्य डेटा है, तो खोज समय में काफी वृद्धि हो सकती है, आप एक अलग इंडेक्स निर्दिष्ट कर सकते हैं या एक नया बना सकते हैं और फिर एप्लिकेशन में ही, आपको सीधे यह निर्दिष्ट करना होगा कि कौन सा इंडेक्स सर्च ऑपरेशन करना है।

समीक्षा पर क्लिक करने के बाद, हम देखेंगे कि सभी सेटिंग्स सही हैं, सबमिट करें का चयन करें, डेटा इनपुट सेटअप पूरा हो गया है, आपको केवल चेक प्वाइंट प्रबंधन सर्वर से लॉग भेजने की आवश्यकता है।

7. हम लॉग को स्प्लंक पर अपलोड करने की प्रक्रिया शुरू करते हैं
विशेषज्ञ मोड में, कमांड दर्ज करें:
cp_log_export पुनरारंभ नाम, पहले चरण में कॉन्फ़िगरेशन नाम कहाँ बनाया गया है
उदाहरण: cp_log_export पुनरारंभ check_point_syslog
सेटअप समाप्त हो गया है, उसके बाद यह केवल यह सुनिश्चित करने के लिए बना हुआ है कि स्प्लंक के लिए मानक खोज क्वेरी तंत्र का उपयोग करके लॉग को स्पंक में भेजा जाता है।



अब आप खुद ही एप्लिकेशन के संचालन का विश्लेषण करने के लिए आगे बढ़ सकते हैं, इसमें कौन से डैशबोर्ड और रिपोर्ट हैं, कौन सी महत्वपूर्ण जानकारी प्राप्त की जा सकती है और क्या निष्कर्ष निकाला जा सकता है।

लॉग विश्लेषण

एप्लिकेशन को 2 वर्गों में विभाजित किया गया है - सामान्य अवलोकन और खतरा निवारण संरक्षण, जो बदले में साइबर हमला अवलोकन, सैंडब्लास्ट संरक्षण और अतिरिक्त खतरा निवारण घटनाओं में विभाजित है। हम प्रत्येक अनुभाग पर अलग से विचार करते हैं।

सामान्य अवलोकन



आवेदन का मुख्य पृष्ठ कई टेबल, आंकड़े और ग्राफ प्रस्तुत करता है। इस मामले में कुछ जानकारी बुनियादी है, जैसे कि गेटवे और प्रबंधन सर्वर की संख्या, या ब्लेड पर लॉग की संख्या, सबसे अधिक संभावना है कि आप कुछ भी नया नहीं सीखेंगे, और इस जानकारी के आधार पर, निष्कर्ष निकाला जा सकता है जिसका सकारात्मक प्रभाव होगा।
मेरे दृष्टिकोण से, यहां सबसे दिलचस्प तत्व क्रिटिकल अटैक टाइप्स, क्रिटिकल अटैक्स बाय पॉलिसी, इंफेक्टेड होस्ट्स, ऑलवेज हाई रिस्क एप्लिकेशन हैं, मैं समझाऊंगा कि क्यों।
क्रिटिकल अटैक टाइप्स के अनुसार, पॉलिसी द्वारा दिए गए क्रिटिकल अटैक्स, आप अपनी थ्रेट प्रिवेंशन सिक्योरिटी पॉलिसी (विशिष्ट हस्ताक्षर द्वारा या प्रतिक्रिया के स्तर को बढ़ाने के लिए पता लगाने की क्रिया से आगे बढ़ सकते हैं) को बेहतर बना सकते हैं, जिससे आपके कंप्यूटर को खतरे से बचाने और हैक करने के प्रयासों के लिए सुरक्षा का स्तर बढ़ जाता है। बुनियादी ढांचे। संक्रमित होस्ट उन उपयोगकर्ताओं को इंगित करता है जो संक्रमित हो सकते हैं, और तदनुसार, उन्हें एंटीवायरस द्वारा अलग से जांचा जाना चाहिए या नेटवर्क से अलग किया जाना चाहिए, जिससे वायरस को संगठन के नेटवर्क से गुजरने से रोका जा सके। अनुमत उच्च जोखिम अनुप्रयोगों के आरेख के आधार पर, आप सबसे अधिक देखी जाने वाली संभावित खतरनाक अनुप्रयोगों को ब्लॉक कर सकते हैं जो वर्तमान में उपयोगकर्ताओं को ब्लॉक करने की अनुमति है।
पॉलिसी द्वारा जोखिम और सुरक्षा कार्यों द्वारा जोखिम, सुरक्षा घटनाओं द्वारा डायग्राम एप्लिकेशन और URL फ़िल्टरिंग प्रकृति में व्यवस्थित हैं और यह इंगित करते हैं कि क्या आपके संगठन में सुरक्षा स्थिति समय के साथ सुधरती है, या नहीं, चाहे सुरक्षा नीति में किए गए परिवर्तनों ने बुनियादी ढाँचे की सुरक्षा में मदद की हो।

साइबर हमला अवलोकन







यह डैशबोर्ड संक्रमित मेजबानों और वायरस डाउनलोड करने वाले उपयोगकर्ताओं पर अधिक विस्तृत जानकारी दिखाता है। डाउनलोड की गई संक्रमित फ़ाइलों और संक्रमित संदेशों द्वारा अलग करने के लिए यह बहुत ही सुविधाजनक है, आप खतरों की पहचान कर सकते हैं और व्यक्तिगत सेवाओं के लिए खतरा निवारण नीति बना सकते हैं, smtp यातायात के लिए एक सुरक्षा प्रोफ़ाइल और http और https के लिए एक अन्य प्रोफ़ाइल। सैंडब्लास्ट प्रोटेक्शन संक्रमित फाइलों पर अधिक विस्तृत जानकारी प्रदान करता है, आप गंभीरता को देख सकते हैं और थ्रेट कन्वेंशन में अपने सुरक्षा प्रोफाइल की कमियों को पहचान सकते हैं।

निष्कर्ष

इस एप्लिकेशन के लिए धन्यवाद, यह आपकी सुरक्षा नीति में कमजोर बिंदुओं पर जानकारी प्राप्त करने के लिए बहुत तेज़ और सुविधाजनक है, एप्लिकेशन सेट करने में थोड़ा समय लगता है, और इन समाधानों में बहुत कौशल की आवश्यकता नहीं होती है। यही है, यदि आपको अपनी सुरक्षा सेटिंग्स पर संदेह है और आपको बहुत समय के बिना कुछ विश्लेषण की आवश्यकता है, तो यह एक बहुत ही सुविधाजनक समाधान है। हालांकि, यह स्पष्ट है कि आवेदन में अभी भी सुधार की गंभीर आवश्यकता है, उपयोगकर्ताओं पर कोई आँकड़े नहीं हैं, सबसे अधिक उपयोग किए जाने वाले अनुप्रयोगों की सूची और वहां जाने वाले ट्रैफ़िक की मात्रा, आदि को देखना बहुत दिलचस्प है। चूंकि यह केवल पहला संस्करण है, इसलिए एप्लिकेशन को अपडेट किया जाएगा, और सबसे अधिक संभावना है कि यह समय के साथ एक बहुत अच्छा विश्लेषण समाधान होगा, लेकिन अब अगर हम इस एप्लिकेशन को केवल एक लॉग विश्लेषण के रूप में मानते हैं, तो यह अन्य समाधानों से बहुत नीच है। बाद के लेखों में, हम अपने इंजीनियरों द्वारा बनाए गए एप्लिकेशन सहित स्मार्ट पॉइंट और अन्य स्प्लंक अनुप्रयोगों की क्षमताओं की जांच करने और चेक प्वाइंट लॉग का विश्लेषण करने की तुलना करेंगे।

यदि आपने स्प्लंक को चेक प्वाइंट लॉग का विश्लेषण करने की कोशिश नहीं की है, तो यह शुरू करने का समय है। यदि आपके पास स्प्लंक या चेक प्वाइंट के साथ प्रश्न या समस्याएं हैं - तो आप उन्हें हमसे पूछ सकते हैं, और हम मदद करेंगे।