3. Analisis malware menggunakan forensik Check Point. Ponsel sandblast

Selamat datang di artikel ketiga dalam Siklus Forensik Titik Periksa kami dari Titik Periksa. Kali ini kami akan mempertimbangkan SandBlast Mobile . Perangkat seluler telah lama menjadi bagian dari kehidupan kita. Di telepon pintar, pekerjaan kita, waktu luang, hiburan, data pribadi kita. Penyerang juga tahu tentang ini. Menurut laporan Titik Periksa untuk 2019, tiga vektor serangan paling umum untuk pengguna adalah:

• Email (lampiran jahat, tautan);
• Web (perangkat lunak virus, phishing);
• Ponsel cerdas (aplikasi jahat, jaringan WiFi palsu, phishing).

Kita dapat menutup dua vektor pertama dengan SandBlast Network dan SandBlast Agent yang sudah dipertimbangkan. Smartphone tetap ada, ancaman yang semakin banyak ditampilkan dalam berita. Untuk melindungi vektor serangan ini, Check Point memiliki solusi khusus - SandBlast Mobile . Di bawah ini kita melihat forensik yang bisa kita dapatkan ketika menyelidiki insiden pada perangkat seluler.

Periksa Point SandBlast Mobile

Obat ini muncul dalam portofolio Check Point yang relatif baru. Pengoperasian sistem ini sangat sederhana (mungkin yang paling sederhana dari semua produk CP). Semua manajemen dilakukan melalui portal layanan cloud. Di sana Anda menambahkan perangkat seluler pengguna dan di sana Anda dapat melacak statusnya. SandBlast Mobile memungkinkan Anda untuk memecahkan masalah keamanan berikut:

1. Blokir serangan 0-hari (sebagai aplikasi atau file);
2. Perlindungan terhadap phishing dalam aplikasi seluler apa pun (baik itu SMS atau Messenger);
3. Perlindungan terhadap jaringan botnet (mencegah kebocoran data pribadi atau perusahaan);
4. Memblokir akses perangkat yang terinfeksi ke sumber daya perusahaan (jika perangkat terinfeksi atau tidak mematuhi kebijakan keamanan, Anda tidak akan dapat mengakses aplikasi perusahaan dari ponsel cerdas Anda);
5. Memblokir akses ke situs jahat.

Ada webinar yang luar biasa pada produk ini dari Amir Aliyev (perusahaan Check Point):



Dengan izin Anda, saya tidak akan membuat deskripsi terperinci tentang kemampuan agen ini. Seri artikel kami adalah tentang forensik. Tapi mungkin dalam waktu dekat kami akan meluncurkan kursus terpisah di SandBlast Mobile (produk ini sangat sederhana).

Poin penting . SandBlast Mobile dapat digunakan gratis selama 30 hari untuk 50 perangkat . Menurut pendapat saya, ini adalah peluang bagus untuk mengaudit keamanan perangkat seluler (misalnya, manajemen perusahaan). Prosedur untuk memperoleh demo cukup sederhana - baik menulis kepada kami atau membuat aplikasi melalui formulir online .

Forensik SandBlast Mobile - Dashboard

Semua analisis aktivitas jahat dimulai dengan dasbor utama di portal cloud Mobile SandBlast:



Di sini Anda dapat melihat jumlah perangkat aktif, ancaman, kekritisannya, dll. Selanjutnya, kita bisa langsung menuju ke daftar acara (Acara & Peringatan) dan memfilternya berdasarkan tingkat keparahan:



Kami akan melihat vektor serangan, jenisnya, detail acara dan sebenarnya semua pengguna (perangkat mereka) yang terlibat dalam ini. Jika diinginkan, Anda dapat memfilter acara dengan perangkat tertentu (Risiko Perangkat) dan membiasakan diri dengan semua ancaman yang terkait:



Mungkin hal yang paling menarik bagi seorang penjaga keamanan adalah tab "Analisis Aplikasi", di mana Anda dapat "menabrak" aplikasi berbahaya dan melihat apa yang tidak disukai oleh Check Point. Ada filter "Tingkat Risiko" yang dengannya kita bisa melihat semua aplikasi berbahaya. Sebagai contoh, kita dapat mempertimbangkan virus uji AV Test AP :



Di sini Anda dapat melihat vonis umum pada aplikasi, informasi dasar tentang pabrikan, hash jumlah dan sebagainya. Tidak terlalu menarik. Mari kita lihat aplikasi "viral" lain - Ping Tools :



Setelah membiasakan diri dengan informasi dasar, Anda dapat turun sedikit dan melihat detail ancaman. Di sini, misalnya, kita melihat bahwa aplikasi memonitor lokasi perangkat (bahkan ketika ditutup) dan beberapa perilaku aneh:



Yang juga menarik adalah bagian Izin Aplikasi. Melihat itu, pertanyaan hampir selalu muncul: "Mengapa aplikasi ini membutuhkan hak seperti itu?"



Laporan ini dapat diunduh ke pdf informatif:



Sumber dapat diunduh di sini . Dan di sini Anda dapat mengunduh laporan tentang aplikasi berbahaya CamScanner yang sensasional .

Ada tab lain yang menarik, Jaringan, tempat kami dapat menganalisis jaringan yang terhubung dengan pengguna Anda:

SandBlast Mobile melalui mata pengguna

Aplikasi ini tidak menyebabkan masalah khusus bagi pengguna. Pada instalasi pertama, itu akan memindai perangkat dan memberikan vonis jika ada ancaman dan yang mana:



Pada saat yang sama, pengguna sendiri juga dapat melihat apa yang sebenarnya tidak disukai agen dalam aplikasi ini:



Menurut pendapat saya, informasi yang cukup komprehensif yang akan memungkinkan pengguna untuk menyimpulkan bahwa perangkat lunak itu berbahaya. Pada saat yang sama, jika pengguna mencoba mengunduh aplikasi jahat, maka SandBlast Mobile akan segera berfungsi:



Administrator sistem akan menerima notifikasi yang sama.

Materi tambahan tentang Check Point SandBlast Mobile (sangat disarankan dibaca).

Kesimpulan

Seperti disebutkan di atas, perangkat seluler tertanam kuat dalam kehidupan kita sehari-hari. Sebagian besar menggunakan smartphone untuk bekerja dan memiliki akses ke data perusahaan. Ini menjadikan perangkat seluler vektor serangan yang sangat berbahaya di jaringan Anda, yang tidak hanya harus Anda tutup, tetapi juga memahami apa yang sebenarnya mengancam Anda. Forensik dari Check Point SandBlast Mobile sangat cocok dengan perlindungan komprehensif data perusahaan dan strategi keamanan informasi secara keseluruhan.

Pada artikel selanjutnya, kita akan melihat laporan SaaS CloudGuard. Jadi tunggu saja ( Telegram , Facebook , VK , TS Solution Blog ), Yandex.Zen .

PS Kami berterima kasih kepada Alexei Beloglazov (perusahaan Check Point) atas bantuan mereka dalam mempersiapkan artikel ini.