1. चेक प्वाइंट फोरेंसिक का उपयोग कर मैलवेयर विश्लेषण। सैंडब्लास्ट नेटवर्क

लेखों की नई श्रृंखला में आपका स्वागत है, इस बार घटना जांच के विषय पर, अर्थात् चेक प्वाइंट फोरेंसिक का उपयोग करके मैलवेयर विश्लेषण। इससे पहले, हमने स्मार्ट इवेंट में काम करने पर कई वीडियो ट्यूटोरियल प्रकाशित किए थे , लेकिन इस बार हम अलग-अलग बिंदुओं में विशिष्ट घटनाओं पर फॉरेंसिक रिपोर्ट देखेंगे:

• सैंडब्लास्ट नेटवर्क
• सैंडब्लास्ट एजेंट
• सैंडब्लास्ट मोबाइल
• क्लाउडगार्ड सास

क्यों रोका घटनाओं की फोरेंसिक महत्वपूर्ण है? ऐसा लगता है कि मैंने वायरस को पकड़ लिया है, यह पहले से ही अच्छा है, इससे क्यों निपटें? जैसा कि अभ्यास से पता चलता है, यह न केवल हमले को अवरुद्ध करने के लिए सलाह दी जाती है, बल्कि यह भी समझने के लिए कि यह कैसे काम करता है: प्रवेश बिंदु क्या था, किस भेद्यता का उपयोग किया गया था, क्या प्रक्रियाएं शामिल थीं, क्या रजिस्ट्री और फाइल सिस्टम प्रभावित हुए थे, क्या वायरस परिवार, क्या संभावित नुकसान, आदि। । ये और अन्य उपयोगी डेटा चेक प्वाइंट फोरेंसिक की व्यापक रिपोर्टों (दोनों पाठ और चित्रमय रूप में) में प्राप्त किए जा सकते हैं। ऐसी रिपोर्ट मैन्युअल रूप से प्राप्त करना बहुत मुश्किल है। तब यह डेटा आवश्यक उपाय करने में मदद कर सकता है और भविष्य में ऐसे हमलों की सफलता की संभावना को बाहर कर सकता है। आज हम चेक प्वाइंट सैंडब्लास्ट नेटवर्क फोरेंसिक रिपोर्ट की समीक्षा करने जा रहे हैं।

सैंडब्लास्ट नेटवर्क

नेटवर्क परिधि सुरक्षा को बढ़ाने के लिए सैंडबॉक्स का उपयोग करना लंबे समय से सामान्य है और आईपीएस जैसे घटक के रूप में होना चाहिए। चेक प्वाइंट पर, थ्रेट एमुलेशन ब्लेड सैंडबॉक्स कार्यक्षमता के लिए जिम्मेदार है, जो सैंडब्लास्ट प्रौद्योगिकियों का हिस्सा है (उसी स्थान पर थ्रेट एक्सट्रैक्शन भी है)। हमने पहले ही Gaia संस्करण 77.30 के लिए एक छोटा सा चेक प्वाइंट सैंडब्लास्ट पाठ्यक्रम प्रकाशित किया है (यदि आप समझते हैं कि यह क्या है, तो यह देखने की अत्यधिक अनुशंसा नहीं करता है)। वास्तुकला की दृष्टि से, तब से कुछ भी मौलिक रूप से नहीं बदला गया है। यदि आपके पास नेटवर्क की परिधि पर चेक प्वाइंट गेटवे है, तो आप सैंडबॉक्स के साथ दो एकीकरण विकल्पों का उपयोग कर सकते हैं:

1. सैंडब्लास्ट स्थानीय उपकरण - एक अतिरिक्त सैंडब्लास्ट उपकरण आपके नेटवर्क पर रखा जाता है, जिसके विश्लेषण के लिए फाइलें भेजी जाती हैं।
2. सैंडब्लास्ट क्लाउड - फाइलें चेक प्वाइंट क्लाउड के विश्लेषण के लिए भेजी जाती हैं।

सैंडबॉक्स को नेटवर्क की परिधि पर रक्षा की अंतिम पंक्ति माना जा सकता है। शास्त्रीय साधनों के विश्लेषण के बाद ही यह जुड़ता है - एंटीवायरस, आईपीएस। और अगर ऐसे पारंपरिक हस्ताक्षर उपकरण व्यावहारिक रूप से कोई विश्लेषिकी प्रदान नहीं करते हैं, तो सैंडबॉक्स "विस्तार से" बता सकता है कि फ़ाइल क्यों लॉक की गई थी और यह वास्तव में क्या दुर्भावनापूर्ण है। ऐसी फोरेंसिक रिपोर्ट स्थानीय और क्लाउड सैंडबॉक्स दोनों से प्राप्त की जा सकती है।

बिंदु फोरेंसिक रिपोर्ट की जाँच करें

मान लीजिए, एक सूचना सुरक्षा विशेषज्ञ के रूप में, आप काम पर आए और स्मार्टकॉन कंसोल में एक डैशबोर्ड खोला। तुरंत, आप पिछले 24 घंटों में घटनाओं को देखते हैं और आपका ध्यान थ्रेट एमुलेशन घटनाओं की ओर आकर्षित होता है - सबसे खतरनाक हमले जो हस्ताक्षर विश्लेषण द्वारा अवरुद्ध नहीं किए गए थे।



आप इन घटनाओं (ड्रिल डाउन) में "गिर सकते हैं" और थ्रेट एमुलेशन ब्लेड पर सभी लॉग देख सकते हैं।



उसके बाद, आप अतिरिक्त रूप से खतरों की गंभीरता (गंभीरता) के स्तर के साथ-साथ कॉन्फिडेंस लेवल (ऑपरेशन की विश्वसनीयता) द्वारा लॉग को फ़िल्टर कर सकते हैं:



हमारे लिए ब्याज की घटना को खोलने के बाद, आप खुद को सामान्य जानकारी (src, dst, गंभीरता, प्रेषक, आदि) से परिचित कर सकते हैं:



और वहां आप उपलब्ध सारांश रिपोर्ट के साथ फोरेंसिक अनुभाग देख सकते हैं। उस पर क्लिक करने से, इंटरैक्टिव HTML पेज के रूप में मैलवेयर का एक विस्तृत विश्लेषण हमारे सामने खुल जाएगा:


(यह पृष्ठ का हिस्सा है। मूल यहाँ देखा जा सकता है )

उसी रिपोर्ट से, हम मूल मैलवेयर (एक पासवर्ड से सुरक्षित संग्रह में) डाउनलोड कर सकते हैं, या तुरंत चेक प्वाइंट प्रतिक्रिया टीम से संपर्क कर सकते हैं।



थोड़ा कम, आप एक सुंदर एनीमेशन देख सकते हैं, जो कि प्रतिशत के रूप में दिखाता है कि पहले से ही ज्ञात दुर्भावनापूर्ण कोड हमारे उदाहरण (कोड ही और मैक्रोज़ सहित) को प्रतिध्वनित करता है। यह विश्लेषिकी चेक प्वाइंट थ्रेट क्लाउड में मशीन सीखने का उपयोग करके प्रदान की जाती है।



फिर आप देख सकते हैं कि सैंडबॉक्स में किस तरह की गतिविधि को यह निष्कर्ष निकालने की अनुमति है कि यह फ़ाइल दुर्भावनापूर्ण है। इस मामले में, हम बायपास तकनीकों का उपयोग करते हैं और एन्क्रिप्टर्स डाउनलोड करने का प्रयास करते हैं:



आप देख सकते हैं कि इस मामले में अनुकरण दो प्रणालियों (विन 7, विन एक्सपी) और विभिन्न सॉफ्टवेयर संस्करणों (कार्यालय, एडोब) में किया गया था। सैंडबॉक्स में इस फ़ाइल को खोलने की प्रक्रिया के नीचे एक वीडियो (स्लाइड शो) है:



वीडियो उदाहरण:



बहुत अंत में, हम विस्तार से देख सकते हैं कि हमला कैसे विकसित हुआ। या तो सारणीबद्ध रूप में या चित्रमय रूप में:



वहां हम रॉ फॉर्मेट में इस जानकारी को डाउनलोड कर सकते हैं और विंडसरक में उत्पन्न ट्रैफ़िक के विस्तृत विश्लेषण के लिए एक पीक फ़ाइल डाउनलोड कर सकते हैं:

निष्कर्ष

इस जानकारी का उपयोग आपके नेटवर्क की सुरक्षा को काफी मजबूत कर सकता है। ब्लॉक वायरस वितरण होस्ट, करीबी कमजोरियां, सी एंड सी से संभावित प्रतिक्रिया को ब्लॉक करें, और बहुत कुछ। इस विश्लेषिकी की उपेक्षा न करें।

निम्नलिखित लेखों में, हम इसी तरह से सैंडब्लास्ट एजेंट, स्नैडब्लस्ट मोबाइल, साथ ही क्लाउडगार्ड सास की रिपोर्टों की समीक्षा करेंगे। तो बने रहिये ( Telegram , Facebook , VK , TS Solution Blog )!