Хабрахабр

Дашборды Check Point — вот что я люблю

Это вообще не важно. — Зачем вы мне втираете про удобный интерфейс? (из беседы с клиентом) Меня интересует только функционал!

При выборе NGFW (или UTM) чаще всего смотрят исключительно на функционал устройства. С этим подходом трудно поспорить (да и не нужно). Устройство безопасности в первую очередь должно защищать! При этом очень важно количество и качество механизмов защиты! Именно для этого публикуются различные отчеты Gartner и NSS Labs. Однако, еще одним важным аспектом любого NGFW является встроенная отчетность и качество ее визуализации. Ниже я попытаюсь рассказать почему это важно и почему Check Point в этом реально крут.

Зачем вообще дашборды?

Информационная безопасность это не результат, а непрерывный процесс”. Уверен, что все помнят эту аксиому. В разной литературе этот процесс описывается по разному, но он обязательно содержит 5 основных этапов:

Многие пренебрежительно относятся именно к этому пункту. Сегодня мы заострим внимание на Мониторинге. В этом процессе вообще нет более важных или наоборот менее приоритетных этапов. Однако, это большая ошибка. Если убрать любой из элементов, то рушится вся система ИБ и все остальные “труды” множатся на ноль. Степень защищенности вашей сети определяется самым слабым звеном.

Может быть даже хорошо настроили в соответствии с разработанными политиками. Поставилили вы NGFW. Атакуют ли вас? Но как адекватно оценить его работу? Посещают ли вирусные ресурсы? Скачивают ли пользователи вредоносные файлы? Как часто это происходит и стоит ли уделить внимание этим вопросам? Безопасны ли почтовые вложения? Может быть стоит задуматься об обучении пользователей, чтобы они не открывали первые попавшиеся ссылки?

И как раз здесь обычно вспоминают про SIEM-ы или Log-management системы. Как раз здесь и нужен Мониторинг. Вы должны понимать что имеете сейчас и к каким показателям хотите прийти. С помощью этих инструментов можно получить количественную оценку защищенности вашей сети. Примеры целей: Это помогает ставить цели для безопасников.

  1. Свести к нулю инциденты с бот-активностью в корпоративной сети — “вылечить” зараженные компьютеры, подумать о смене/установке десктопных антивирусов).
  2. Снизить в 2 раза количество событий связанных с посещениями вредоносных сайтов. Скорее всего через обучение пользователей.
  3. Снизить на 30% кол-во скачиваемых вирусных файлов — например заблокировав скачивание исполняемых файлов для большинства пользователей или заблокировать категорию ресурсов откуда они чаще всего скачиваются.
  4. Исключить инциденты с обнаружением в сети “опасных” приложений типа Tor, Teamviewer, Torrent и т.д. (обучение пользователей + групповые политики).
  5. Оптимизировать настройки IPS исключив срабатывания по сигнатурам, которые нерелевантны к вашей инфраструктуре. Возможно 30% всех срабатываний это атаки на WordPress, которого у вас нет в принципе. Подобные логи сильно “зашумляют” реальную картину.
  6. Избавиться от событий с однотипными атаками от одних и тех же узлов. В Интернете огромное кол-во хостов, которые могут в автоматическом режиме сканируют вашу сеть. Не стоит тратить на них ресурсы обрабатывая этот трафик IPS-ом, лучше добавить в black-лист их ip-адреса и блокировать на уровне межсетевого экрана. Ранее уже была статья, как это делать.

Именно здесь нам и понадобятся различные дашборды, которые в цифрах покажут, что происходит в сети с точки зрения безопасности.

Мы же сами сказали, что для мониторинга и анализа обычно используют SIEM или Log-management системы. Причем же тут Check Point или любой другой NGFW? Все ли готовы потратить на это деньги? Да, но у всех ли они есть? Если ответы на вопросы отрицательные, то наличие в NGFW функции “типа SIEM” становится жирным плюсом. У всех ли есть обученный специалист? А это является обязательным условием для информационной безопасности. Встроенная отчетность позволяет реализовать непрерывный процесс по защите.

Готовые дашборды Check Point

За отчетность и визуализацию данных в Check Point отвечает блейд Smart Event. Этот функционал можно смело называть SIEM-ом, но только для продуктов Check Point! Технически на Smart Event можно заварачивать логи от других систем (cisco, microsoft и т.д.), но это не самая удачная идея. На практике это весьма проблематично. Но вот с «чекпоинтовскими» логами SmartEvent справляется отлично. Может коррелировать, суммировать, усреднять и многое другое. Само собой существуют уже готовые дашборды для отображения наиболее важной информации. В Check Point они называются Views:

Пример дашборда Applications and Sites: Как видите, здесь есть дашборды не только касающиеся ИБ, но и отчеты по пользовательскому трафику.

А вот так выглядит пример дашборда Important Attacks:

Видно какие блейды срабатывали (IPS, AV, Anti-Bot, Threat Emulation), все срабатывания разбиты по категориям с суммированием логов. На одном экране мы видим наиболее важные события ИБ. Абсолютно все поля «кликабельны» и если мы хотим более детально посмотреть информацию по Anitivirus, то достаточно просто два раза на него кликнуть. Так же есть таймлайн. Мы тут же провались в логи связанные с этим блейдом:

Но поиск и фильтрация здесь реально удобная. Не буду подробно рассказывать про удобство работы с логами. 10 Administration Guide. Вот ссылка на Logging and Monitoring R80. Это исчерпывающее руководство.

Наиболее часто используемые дашборды можно добавить в Favorites для быстрого доступа:

10, это возможность получить доступ к дашбордам и логам прямо из браузера, без необходимости установки SmartConsole. Еще один плюс, который появился в R80. В итоге мы увидим примерно тоже самое: Для этого необходимо в браузере перейти по ссылке https://management-ip-address/smartview.

Ну и конечно это позволяет смотреть отчеты из под Linux и MacOS (полноценная SmartConsole есть только для Windows). Это очень удобно, когда необходимо дать начальнику доступ к дашборду.

Создание своих дашбордов

Но самое крутое в Smart Event это не наличие встроенных дашбордов, а возможность создавать свои! Причем реализовано это очень просто, никакого кода, все делается через графический интерфейс. Процесс создания своего дашборда выглядит следующим образом:

Создаем новый дашборд New — New View 1.

Даем имя и определяем категорию 2.

Добавляем новый Widget 3.

Мы выберем таблицу. Как видим тут доступно сразу несколько вариантов.

Давайте создадим табличку в которой будут отображаться типы файлов и кол-во срабатываний антивируса по ним. 4. Для этого сначала добавим поле File Type:

Добавим поле Action: 5.

И добавим еще поле Logs, чтобы видеть кол-во срабатываний: 6.

Получится что-то в этом роде: 7.

А нам интересен только Prevent. Как видим, здесь отображаются события и Allow, и Detect и Prevent.

Добавим фильтр нажав на иконку (обведено красным кружком): 8.

Применив фильтр получаем итоговый результат — типы файлов и кол-во срабатывание антивируса по ним: 9.

С помощью таких виджетов можно создавать дашборды буквально под каждого. Такую же статистику можно получить в виде инфографики.

Импорт и экспорт дашбордов

Еще одним большим преимуществом этих дашбордов является то, что их можно импортировать и экспортировать.

вы можете создать дашборд и поделиться им с другом. Т.е. К примеру, совсем недавно в официальном комьюнити Check Point (CheckMates) опубликовали в открытый доступ новый дашборд — Threat Prevention Cyber-attacks dashboard. Или наоборот, установить себе дашборд разработанный кем-то. Выглядит он следующим образом:

Там еще много картинок, не буду дублировать, лучше посмотрите в оригинале.

Заключение

В заключении хотелось бы еще раз уточнить, что я ни в коем случае не хотел сказать, что встроенная аналитика самое важное в ИБ средствах. Конечно нет. Качество ИБ функционала (Anti-Virus, IPS и т.д.) здесь гораздо важнее. Но если к этому еще прилагается отличная аналитика и удобные дашборды, то это хороший плюс.

Это различные SIEM или Log-management системы. В целом, хорошую отчетность всегда можно получить используя сторонние и даже бесплатные решения. Например для Splunk-а мы уже разработали свой собственный дашборд Check Point. Splunk, ELK, MaxPatrol, ArcSight, на ваш выбор. О том, как это делать, можно почитать здесь, либо просто обратиться к нам на почту.

Чтобы не пропустить другие уроки подписывайтесь на наш YouTube канал, группу VK и Telegram.

S. P. Как это сделать можно посмотреть здесь. Поиграться с дашбордами можно и в демо-режиме.

Теги
Показать больше

Похожие статьи

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *

Кнопка «Наверх»
Закрыть