На образовательном портале TS University вышел новый текстовый курс о сетевой песочнице PT Sandbox от Positive Technologies — «PT Sandbox Getting Started»! В нем эксперты подробно разбирают архитектуру продукта, работу с веб-интерфейсом, подключение различных источников файлов (почта, ICAP, сетевые хранилища, API) и настройку параметров проверки. Во время прохождения курса, вы узнаете всё об эксплуатации продукта и сможете уверенно применять полученные знания в работе.
Предлагаем ознакомиться с фрагментом статьи
«Введение в PT Sandbox Getting Started» из курса.
Введение
Кто такой этот ваш PT Sandbox?
PT Sandbox — сетевая песочница от компании Positive Technologies.
Определение хоть и краткое, но достаточно исчерпывающее. Тем не менее тем, кто не знаком с понятием «сетевая песочница», было бы неплохо разобраться, что же это такое. Термин «песочница» используется в сфере IT для обозначения некоторой изолированной среды, в которой можно безопасно для внешних систем выполнять различные действия.
В том числе в этой среде можно проверить работу различного ПО на предмет наличия в них угроз безопасности — этим и занимаются решения класса «песочница». Песочницы можно разделить на две большие группы — локальные и сетевые. Локальные песочницы располагаются непосредственно на том узле, который они защищают — они часто входят в состав ОС или антивирусов. Сетевые же песочницы располагаются на отдельных, предназначенных только для них узлах и проверяют файлы, получаемые из различных источников: электронные письма, агенты на конечных точках, файловые хранилища и т. д.
Получается, если PT Sandbox является сетевой песочницей, то он умеет запускать в изолированной среде файлы и следить за их поведением, выявлять вредоносное ПО и блокировать его попадание в информационную инфраструктуру организации.
Чем же PT Sandbox отличается от других сетевых песочниц? Отличительных черт у данного продукта достаточно много — их мы будем рассматривать на протяжении всего цикла статей. Главная же особенность PT Sandbox, на наш взгляд, заключается в очень гибкой кастомизации виртуальных сред, в которых производится анализ файлов — это позволяет учитывать особенности инфраструктуры и более надежно выявлять угрозы в файлах. Это выражается в поддержке большого количества операционных систем и возможности устанавливать и настраивать на них необходимое прикладное ПО — то же самое, что и на рабочих станциях сотрудников или на серверах. В итоге, файлы проверяются в виртуальных машинах, максимально приближенных к реальным узлам в сети организации.
Зачем нужны сетевые песочницы?
Сетевые песочницы проверяют файлы. Антивирусы делают то же самое. Так почему бы не ограничиться только ими? Можно выделить несколько основных причин:
- Угрозы нулевого дня. Антивирусы опираются на базу знаний об уже известных угрозах. Если используется ВПО, которое ранее нигде не встречалось и не использовалось, то его не получится поймать сигнатурами. При этом анализ поведения такого файла в виртуальной среде выявит угрозы безопасности.
- Обход антивирусных средств защиты. За долгое время существования антивирусов злоумышленники придумали множество механизмов их обхода. Особенно часто эти методы применяются при целевых атаках. Обойти сетевую песочницу гораздо труднее.
- Покрытие инфраструктуры. Не на все устройства можно установить антивирус или агент (например, на маломощные IoT-устройства). И не всегда можно проконтролировать наличие защиты на конечной точке — особенно актуально при использовании подхода BYOD (Bring Your Own Device), когда сотрудники/пользователи могут подключаться в локальную сеть со своих личных устройств.
Все это приводит нас к тому, что средств защиты конечных точек (EPP, EDR) недостаточно, сетевая песочница покрывает гораздо более широкий ландшафт угроз. Тем не менее, это не значит, что защита на конечных точках не нужна — эти решения должны работать совместно и дополнять друг друга. Например, агент EDR на узле может отправлять файлы в песочницу на проверку, или антивирусы проверяют файлы, передаваемые по каналам, недоступным песочнице (например, файлы, принесенные на флешке).
Продолжить чтение статьи вы сможете на нашем портале!
До следующих анонсов!
