PT Sandbox Getting Started
Веб-интерфейс продукта
Введение
Веб-интерфейс PT Sandbox — основной способ взаимодействия с продуктом. Он предоставляет все возможности как по просмотру и анализу выполненных проверок файлов, так и по управлению системой и мониторингу ее состояния. В этой статье мы постарались собрать в одном месте всю информацию по всем элементам веб-интерфейса, которые есть в продукте.
Переход между различными разделами веб-интерфейса происходит по нажатию на соответствующий раздел в верхней горизонтальной панели. Некоторые разделы имеют свои подразделы. Каждому разделу (и даже некоторым подразделам) посвятили отдельную главу, в которой подробно, но без фанатизма, со скриншотами описали, какой функционал доступен и как его найти на странице. Если вас интересует конкретный раздел, то можете сразу перейти в одноименную с ним главу.
Переход между различными разделами веб-интерфейса происходит по нажатию на соответствующий раздел в верхней горизонтальной панели. Некоторые разделы имеют свои подразделы. Каждому разделу (и даже некоторым подразделам) посвятили отдельную главу, в которой подробно, но без фанатизма, со скриншотами описали, какой функционал доступен и как его найти на странице. Если вас интересует конкретный раздел, то можете сразу перейти в одноименную с ним главу.
Раздел «Сводка»
В этот раздел можно попасть, кликнув на название самого раздела в верхней панели или же нажав на логотип PT Sandbox рядом с ним. В нем находятся дашборды, предоставляющие данные по результатам обработки файлов за выбранный промежуток времени. Также отфильтровать задания и объекты, по которым отображается сводная информация, можно не только по времени, но и по другим параметрам с помощью QL-запроса. Например, указать только определенный источник файлов, или только те файлы, для которых выполнялся поведенческий анализ, или только письма для определенного почтового домена. Доступных полей и их значений достаточно много — ознакомиться с ними и синтаксисом QL-запросов можно в открытой документации (возможно мы когда-нибудь напишем отдельную статью на эту тему).
График распределения объектов по времени
Прямо под строкой фильтрации располагается график распределения различных объектов по времени (заданий, заданий с опасными файлами, ссылок, файлов с ПА и т. д.). Категории объектов, которые отображаются на графике, можно выбрать в выпадающем списке, располагающегося над графиком.
Прямо под строкой фильтрации располагается график распределения различных объектов по времени (заданий, заданий с опасными файлами, ссылок, файлов с ПА и т. д.). Категории объектов, которые отображаются на графике, можно выбрать в выпадающем списке, располагающегося над графиком.
Выбор категорий отображаемых объектов
Остальные дашборды на этой странице отображают вынесенные вердикты, определенные тактики MITRE ATT&CK и распределение заданий, файлов и ссылок по различным категориям: по источникам, по типам, по расширениям, по доменам и т.п.
Остальные дашборды на этой странице отображают вынесенные вердикты, определенные тактики MITRE ATT&CK и распределение заданий, файлов и ссылок по различным категориям: по источникам, по типам, по расширениям, по доменам и т.п.
Прочие виджеты
Все значения, выделенные синим цветом, кликабельны. При нажатии на них вас перенесет в раздел «Задания», в котором будут показаны задания, относящиеся к выбранной группе или категории.
Все значения, выделенные синим цветом, кликабельны. При нажатии на них вас перенесет в раздел «Задания», в котором будут показаны задания, относящиеся к выбранной группе или категории.
Раздел «Задания»
В этом разделе находится список всех заданий на проверку, информация о которых хранится в PT Sandbox.
Список заданий
Как и на прошлой вкладке, есть возможность отфильтровать задания с помощью QL-запроса, но для этого нужно перевести переключатель «Режим QL-запросов» в активное положение, и тогда в этой строке будет показан запрос, соответствующий текущему представлению таблицы. Также есть возможность фильтровать значения на основе столбцов и сортировать по ним в порядке возрастания или убывания. Конечно, гибкость фильтрации тут гораздо ниже, чем в QL-запросах, но в большинстве случаев этого функционала хватает.
Текущее представление таблицы с заданиями существует в рамках некоторого фильтра — он указан в левом верхнем углу. Изначально в продукте существует один предустановленный фильтр с названием «По умолчанию».
Все вносимые изменения в выборку и сортировку данных применяются в рамках выбранного фильтра. Символ звездочки рядом с названием фильтра указывает на наличие несохраненных изменений в фильтре. Затем эти изменения можно сбросить и вернуться к исходному виду фильтра, или сохранить их. Сохранить изменения можно либо в рамках текущего фильтра, тогда он будет перезаписан (данное действие недоступно для фильтра «По умолчанию»), либо в виде нового фильтра. Все эти опции по сбросу и сохранению изменений доступны в контекстном меню (символ, состоящий из трех точек, расположенных по вертикали).
При этом есть разделение между фильтрами, полученных из QL-запросов, и фильтрами, полученными через манипуляции со столбцами. Тип фильтра будет определен на основе того, какой режим использовался на момент сохранения изменений. Фильтры, полученные из QL-запросов, маркируются меткой QL.
Как и на прошлой вкладке, есть возможность отфильтровать задания с помощью QL-запроса, но для этого нужно перевести переключатель «Режим QL-запросов» в активное положение, и тогда в этой строке будет показан запрос, соответствующий текущему представлению таблицы. Также есть возможность фильтровать значения на основе столбцов и сортировать по ним в порядке возрастания или убывания. Конечно, гибкость фильтрации тут гораздо ниже, чем в QL-запросах, но в большинстве случаев этого функционала хватает.
Текущее представление таблицы с заданиями существует в рамках некоторого фильтра — он указан в левом верхнем углу. Изначально в продукте существует один предустановленный фильтр с названием «По умолчанию».
Все вносимые изменения в выборку и сортировку данных применяются в рамках выбранного фильтра. Символ звездочки рядом с названием фильтра указывает на наличие несохраненных изменений в фильтре. Затем эти изменения можно сбросить и вернуться к исходному виду фильтра, или сохранить их. Сохранить изменения можно либо в рамках текущего фильтра, тогда он будет перезаписан (данное действие недоступно для фильтра «По умолчанию»), либо в виде нового фильтра. Все эти опции по сбросу и сохранению изменений доступны в контекстном меню (символ, состоящий из трех точек, расположенных по вертикали).
При этом есть разделение между фильтрами, полученных из QL-запросов, и фильтрами, полученными через манипуляции со столбцами. Тип фильтра будет определен на основе того, какой режим использовался на момент сохранения изменений. Фильтры, полученные из QL-запросов, маркируются меткой QL.
Действия с фильтром
Выбор фильтра
Пример фильтрации по столбцу
Столбцы можно редактировать: расширять, сужать и менять местами. Некоторые столбцы можно добавлять и, соответственно, удалять через меню, открываемое через кнопку шестеренки. Данное меню присутствует на многих страницах. Набор столбцов для отображения зависит от раздела, в котором вы находитесь. По отображаемым заданиям можно скачать отчет в формате csv — он дублирует содержание таблички.
Столбцы можно редактировать: расширять, сужать и менять местами. Некоторые столбцы можно добавлять и, соответственно, удалять через меню, открываемое через кнопку шестеренки. Данное меню присутствует на многих страницах. Набор столбцов для отображения зависит от раздела, в котором вы находитесь. По отображаемым заданиям можно скачать отчет в формате csv — он дублирует содержание таблички.
Выбор столбцов для отображения
Пример отчета по заданиям
Карточка задания
Если нажать на название одного из заданий, то откроется его карточка. В левой ее части будет отображено дерево задания, включающее в себя все вложенные в него объекты. По этому дереву можно перемещаться и просматривать информацию по интересующему объекту. Для поиска объектов и артефактов в большом разветвленном дереве предусмотрена строка поиска с поддержкой QL-запросов. Всю остальную часть страницы занимает непосредственно информация о задании или выбранном объекте.
Карточка задания
Если нажать на название одного из заданий, то откроется его карточка. В левой ее части будет отображено дерево задания, включающее в себя все вложенные в него объекты. По этому дереву можно перемещаться и просматривать информацию по интересующему объекту. Для поиска объектов и артефактов в большом разветвленном дереве предусмотрена строка поиска с поддержкой QL-запросов. Всю остальную часть страницы занимает непосредственно информация о задании или выбранном объекте.
Карточка задания
Для задания выводится статус проверки и вердикт, если он уже получен, информация об источнике файла и дочерних объектах. Для объекта-файла выводятся информация о вынесенном вердикте, свойства файла и результаты проверки объекта различными средствами. В свойствах файла помимо всего прочего находятся хэш-суммы, вычисленные по трем алгоритмам: MD5, SHA-1 и SHA-256. Эти хэш-суммы можно использовать, чтобы искать данный объект в базах данных с репутацией файлов. Для поиска объекта по хэш-сумме в других заданиях, в базах VirusTotal и IoC Portal можно перейти по заранее предусмотренным ссылкам. Важно, что передается именно хэш-сумма, а не сам файл, поэтому можно не переживать по поводу утечки данных.
Карточка ПА
Если объект был подвергнут поведенческому анализу, то в дереве появится соответствующая ветка. Основной элемент на странице ПА — это диаграмма поведения файлов, отображающая все действия, которые зарегистрировал PT Sandbox во время проверки файла в ВМ. В левом верхнем углу есть два чек-бокса: «Детали» и «Видео». Если установить флажок «Видео», то появится окно с записью поведения файла в ВМ в левом нижнем углу. Флажок «Детали» по умолчанию установлен и отвечает за окно с информацией в правой части страницы, в котором находится подробное описание результатов анализа, которое разделено на несколько блоков:
Для задания выводится статус проверки и вердикт, если он уже получен, информация об источнике файла и дочерних объектах. Для объекта-файла выводятся информация о вынесенном вердикте, свойства файла и результаты проверки объекта различными средствами. В свойствах файла помимо всего прочего находятся хэш-суммы, вычисленные по трем алгоритмам: MD5, SHA-1 и SHA-256. Эти хэш-суммы можно использовать, чтобы искать данный объект в базах данных с репутацией файлов. Для поиска объекта по хэш-сумме в других заданиях, в базах VirusTotal и IoC Portal можно перейти по заранее предусмотренным ссылкам. Важно, что передается именно хэш-сумма, а не сам файл, поэтому можно не переживать по поводу утечки данных.
Карточка ПА
Если объект был подвергнут поведенческому анализу, то в дереве появится соответствующая ветка. Основной элемент на странице ПА — это диаграмма поведения файлов, отображающая все действия, которые зарегистрировал PT Sandbox во время проверки файла в ВМ. В левом верхнем углу есть два чек-бокса: «Детали» и «Видео». Если установить флажок «Видео», то появится окно с записью поведения файла в ВМ в левом нижнем углу. Флажок «Детали» по умолчанию установлен и отвечает за окно с информацией в правой части страницы, в котором находится подробное описание результатов анализа, которое разделено на несколько блоков:
- Обнаруженное опасное ПО. Здесь перечисляются все сработавшие правила обнаружения угроз. На их основе выносится итоговый вердикт и определяется класс ВПО.
- Сетевые атаки. Отображает угрозы, обнаруженные модулем PT DPI в генерируемом объектом сетевом трафике.
- Подозрительное поведение. Указывает на действия, типичные для вредоносной активности на узле. У каждой обнаруженной подозрительной активности есть ссылка на описание техники MITRE ATT&CK — всегда можно по ней перейти и прочитать, почему то или иное действие было отмечено, как подозрительное. Также для каждой активности указывается уровень опасности: чем он выше, тем больше данная активность специфична именно для ВПО. Активности с низким уровнем опасности, в целом, могут часто использоваться и легитимным ПО, но в совокупности они могут указывать на наличие угрозы, скрытой в файле.
Карточка поведенческого анализа
Во время поведенческого анализа проверяемый файл может создавать и скачивать другие файлы — все они вместе с дампами памяти процесса подвергаются статическому анализу. То же самое выполняется для всех подпроцессов. Например, в приведенной на скриншоте карточке ПА основным процессом является server.exe. Для этого процесса был снят дамп во время завершения анализа, а также записаны все создаваемые файлы: каждый из них — отдельный объект. У server. exe есть подпроцесс svchost.exe. Он никакие файлы не создавал, поэтому для него был сохранен только его дамп на момент завершения данного подпроцесса.
Во время поведенческого анализа проверяемый файл может создавать и скачивать другие файлы — все они вместе с дампами памяти процесса подвергаются статическому анализу. То же самое выполняется для всех подпроцессов. Например, в приведенной на скриншоте карточке ПА основным процессом является server.exe. Для этого процесса был снят дамп во время завершения анализа, а также записаны все создаваемые файлы: каждый из них — отдельный объект. У server. exe есть подпроцесс svchost.exe. Он никакие файлы не создавал, поэтому для него был сохранен только его дамп на момент завершения данного подпроцесса.
Карточка дампа процесса server.exe
Карточка одного из файлов, созданных процессом server.exe
Карточка дампа подпроцесса svchost.exe
В каждой версии продукта есть функционал, который находится в состоянии бета-тестирования. Он изначально скрыт от пользователей и может попасть в базовый функционал продукта лишь спустя несколько версий. Однако использовать эти бета-функции можно уже сейчас: их можно включить, сделав запрос в техническую поддержку. В версии 5.28 в статусе беты находится расширенная информация по результатам ПА: к диаграмме поведения файла добавляются вкладки с зарегистрированными угрозами и событиями. Также появились бета-образы Android, в которых можно проверять apk-файлы (и не только). Более подробно про бета-функционал и сценарии его использования рассказано и показано на специальном вебинаре.
Раздел «Объекты»
Этот раздел практически полностью идентичен предыдущему. Разница только в двух моментах: вместо заданий здесь отображаются объекты (разницу между этими понятиями рассказали в первой статье цикла) и здесь доступно для включения/отключения гораздо большее количество столбцов. Если кликнуть по одному из объектов, то откроется уже знакомая нам карточка задания, но уже с переходом на конкретный объект в дереве задания.
Карточка объекта
Раздел «Письма»
Подраздел «События по письмам»
Этот подраздел совсем новый, появился в версии 5.28. В нем представлены логи внутреннего почтового сервера по приему, обработке и передаче писем. На скриншоте ниже представлены записи о событиях по одному отдельному письму.
События по отдельному письму
Подраздел «Карантин»
В этом подразделе находятся все письма, отправленные в карантин. При определенных настройках PT Sandbox отправляет сюда заблокированные письма. На странице есть уже знакомые нам по прошлым разделам выбор фильтра, строка QL-запросов, настройка отображаемых столбцов и таблица с возможностью фильтровать и сортировать значения по столбцам.
Письмо в карантине
Для каждого письма можно выбрать одно из следующих действий:
Для каждого письма можно выбрать одно из следующих действий:
- Выпустить из карантина. Тогда письмо будет отправлено получателю, указанному в письме. Также опционально можно отметить письмо как просмотренное и добавить к нему комментарий.
- Переадресовать. Письмо будет отправлено на указанные адреса вместо получателя из письма. Также опционально можно отметить письмо как просмотренное и добавить к нему комментарий.
- Изменить информацию. Можно изменить дату удаления из карантина. Также опционально можно отметить письмо как просмотренное и добавить комментарий.
- Добавить комментарий. Название говорит само за себя — можно добавить комментарий и больше ничего.
- Удалить. Письмо будет удалено из карантина и его будет невозможно никому доставить в дальнейшем, однако запись о данном письме останется в табличке. Также можно добавить комментарий.
Письмо в карантине после удаления
Раздел «Средства проверки»
Подраздел «Экспертиза PT»
В этом разделе находятся средства проверки, разработанные специалистами компании Positive Technologies. Они разделены на три категории:
Статический анализ
Статический анализ
- PT ESC. Это средство проверки включает в себя набор YARA-правил от специалистов экспертной группы PT ESC (Positive Technologies Expert Security Center). Есть возможность включить/отключить это средство проверки и определить категории объектов, которые будут проверяться YARA-правилами из состава средства проверки.
- PT IoC. Ищет в файлах и ссылках индикаторы компрометации из своей базы. Можно включить/отключить.
Средства проверки статического анализа
Обработка ссылок
Обработка ссылок
- PT Crawler. Средство динамической проверки ссылок. Нельзя включить/отключить, зато можно изменить простой режим проверки на расширенный, но для этого необходимо указать параметры подключения к прокси-серверу. При простом режиме по ссылке просто скачивается файл и передается в ПА. При расширенном режиме файл скачивается, и если это HTML-файл, то PT Crawler выступает в роли браузера и полностью прогружает ее содержимое вместе с активными элементами страницы, JS-скриптами и т. д.
- PT Categorizer. Средство категоризации ссылок (пример категорий: Arts, Blogs, Finance, News&Media). Можно включить/отключить и указать домены, ссылки на которые не нужно категоризировать. Категории можно использовать для создания собственных правил обнаружения опасных и потенциально опасных ссылок.
Средства проверки для обработки ссылок
Поведенческий анализ
Поведенческий анализ
- PT ML. Применение технологии машинного обучения при проверке файлов. Можно включить/отключить.
- PT DPI. Средство анализа сетевого трафика, генерируемого ВМ при проверке файла. Нельзя отключить или каким-либо образом настроить.
Средства проверки поведенческого анализа
Подраздел «Антивирусы»
В этом разделе можно управлять антивирусами. Антивирусы делятся на две группы:
Основные. В этой группе находятся четыре антивируса — ClamAV, NANO, PT AV и VBA32. Эти антивирусы входят в лицензию продукта, дополнительно их приобретать не нужно. Если у вас в веб-интерфейсе какой-то из этих четырех антивирусов не отображается, то обратитесь в техническую поддержку.
Основные. В этой группе находятся четыре антивируса — ClamAV, NANO, PT AV и VBA32. Эти антивирусы входят в лицензию продукта, дополнительно их приобретать не нужно. Если у вас в веб-интерфейсе какой-то из этих четырех антивирусов не отображается, то обратитесь в техническую поддержку.
С 1 февраля 2026 года была прекращена поддержка антивируса NANO для новых версий. С 1 февраля 2027 года этот антивирус перестанет поддерживаться для всех версий.
Positive Technologies относительно недавно приобрела долю в компании ВИРУСБЛОКАДА, и их антивирус PT AV сильно пересекается с антивирусом VBA32. Поэтому не рекомендуется включать оба антивируса — это приведет к неэффективному использованию ресурсов, при этом качество обнаружения практически не изменится.
Основные антивирусы
Дополнительные. Эти антивирусы добавляются в продукт вручную. Для установки доступны антивирусы Avast Core Security, Kaspersky Web Traffic Security. Для этого необходимо приобрести лицензию на соответствующий антивирус, а затем передать дистрибутив и лицензионный ключ в PT Sandbox для его установки. Важно учитывать, что дистрибутив должен быть строго определенной версии. Требуемая версия указывается в окне добавления антивируса.
Дополнительные. Эти антивирусы добавляются в продукт вручную. Для установки доступны антивирусы Avast Core Security, Kaspersky Web Traffic Security. Для этого необходимо приобрести лицензию на соответствующий антивирус, а затем передать дистрибутив и лицензионный ключ в PT Sandbox для его установки. Важно учитывать, что дистрибутив должен быть строго определенной версии. Требуемая версия указывается в окне добавления антивируса.
Дополнительные антивирусы
Подраздел «Поведенческий анализ»
В этом разделе 4 подраздела:
- Очередь файлов на анализ. Тут отражены все задания, подлежащие проверке поведенческим анализом. Можно удалять задания из очереди, менять очередность или приоритет проверки заданий.
- Приоритет файлов. В этом подразделе указываются правила на основе источников, по которым задается приоритет файлам для проверки. По умолчанию файлы, в зависимости от источника и режима проверки (подробно про источники и режимы проверки рассказали в следующей статье), проверяются в следующем порядке:
- Веб-интерфейс: интерактивный режим ПА
- Источники в блокирующем режиме с ожиданием результатов ПА. В эту категорию попадают файлы от источников, которые блокируют вредоносные файлы на основе результатов как статического, так и поведенческого анализа.
- Источники в режиме ожидания.
- Источники в пассивном режиме.
- Источники в блокирующем режиме без ожидания результатов ПА. В эту категорию попадают источники, которые проверяют файлы поведенческим анализом, но решение о блокировке принимают только на основе результатов статического анализа, без учета результатов ПА. Например, так работает любой ICAP-источник в блокирующем режиме.
Установленный по умолчанию приоритет по источникам
Этот существующий порядок нельзя изменить, но можно в него «вклинить» любой существующий источник. Для этого необходимо создать правило с этим источником, указать типы и метки файлов, подходящих под правило, и переместить это правило в нужное место в списке.
Этот существующий порядок нельзя изменить, но можно в него «вклинить» любой существующий источник. Для этого необходимо создать правило с этим источником, указать типы и метки файлов, подходящих под правило, и переместить это правило в нужное место в списке.
Приоритет по источникам с добавленным правилом для источника checkme
Также можно настроить приоритет файлов по их типам. Эти правила вторичны, по отношению к правилам по типам источников. То есть сначала приоритет файла определится на основе его источника, а затем внутри источников приоритет проверки файлов будет определен на основе их типов.
Также можно настроить приоритет файлов по их типам. Эти правила вторичны, по отношению к правилам по типам источников. То есть сначала приоритет файла определится на основе его источника, а затем внутри источников приоритет проверки файлов будет определен на основе их типов.
Приоритет по типам файлов по умолчанию
Измененный приоритет по типам файлов
Пример. На проверку пришло три файла: из PT NAD пришел pdf-файл, а по почте пришло письмо с вложенными в него pdf- и png-файлами. Допустим, что у почты приоритет более высокий, чем у PT NAD, а у pdf выше, чем у png. Тогда первыми будут проверяться файлы из письма. Из них сначала проверится pdf-файл, потом изображение. И последним проверится pdf-файл из PT NAD, несмотря на то, что у pdf-файлов приоритет выше, чем у png. Все как раз потому, что приоритет по источнику главнее приоритета по типу файлов.
По умолчанию файлы всех типов определяются с равным приоритетом, но можно добавить пользовательские правила, указать в них типы файлов и их метки и разместить правило в нужном месте в списке.
Время хранения результатов. В очереди файлов на анализ могут в течение ограниченного периода времени отображаться задания уже после завершения ПА. В этом разделе можно настроить этот период. Эта настройка не влияет на продолжительность хранения результатов проверки файлов, а лишь определяет, как долго уже проверенные задания будут показываться в очереди на проверку.
Также PT Sandbox умеет выносить вердикты на основе ранее проверенных файлов. Если на проверку был передан файл, который ранее подвергался ПА (файлы признаются идентичными, если совпала хэш-сумма), то вместо повторного анализа этому файлу просто назначат тот же результат, что и при прошлой проверке. В разделе можно задать период, в течении которого PT Sandbox будет учитывать результаты предыдущих проверок. Если в рамках этого периода данный файл не проверялся, то PT Sandbox отправит его на поведенческий анализ.
Время хранения результатов. В очереди файлов на анализ могут в течение ограниченного периода времени отображаться задания уже после завершения ПА. В этом разделе можно настроить этот период. Эта настройка не влияет на продолжительность хранения результатов проверки файлов, а лишь определяет, как долго уже проверенные задания будут показываться в очереди на проверку.
Также PT Sandbox умеет выносить вердикты на основе ранее проверенных файлов. Если на проверку был передан файл, который ранее подвергался ПА (файлы признаются идентичными, если совпала хэш-сумма), то вместо повторного анализа этому файлу просто назначат тот же результат, что и при прошлой проверке. В разделе можно задать период, в течении которого PT Sandbox будет учитывать результаты предыдущих проверок. Если в рамках этого периода данный файл не проверялся, то PT Sandbox отправит его на поведенческий анализ.
Параметры хранения результатов ПА
Образы виртуальных машин. Образ ВМ содержит в себе специально подготовленную ОС с набором типового рабочего ПО и файлами-приманками. Вне процесса проверки файлов сама по себе ВМ представляет собой просто контейнер с выделенными ей ресурсами. Перед запуском ПА очередного файла в ВМ разворачивается нужный образ, и уже в этой подготовленной среде проверяется файл. После завершения ПА образ удаляется из ВМ. Между машинами и образами нет жесткой привязки: в зависимости от файла в ВМ может быть развернут любой образ. Это позволяет равномерно балансировать нагрузку между всеми доступными ВМ.
Образы виртуальных машин. Образ ВМ содержит в себе специально подготовленную ОС с набором типового рабочего ПО и файлами-приманками. Вне процесса проверки файлов сама по себе ВМ представляет собой просто контейнер с выделенными ей ресурсами. Перед запуском ПА очередного файла в ВМ разворачивается нужный образ, и уже в этой подготовленной среде проверяется файл. После завершения ПА образ удаляется из ВМ. Между машинами и образами нет жесткой привязки: в зависимости от файла в ВМ может быть развернут любой образ. Это позволяет равномерно балансировать нагрузку между всеми доступными ВМ.
ВПО при своем запуске не начинает сразу проявлять свою вредоносную природу. Сначала оно просканирует среду, в которое оно попало и попытается обнаружить свои цели. Только обнаружив интересующие ее объекты, ВПО перейдет в активную фазу. Такую активизацию часто называют «детонацией ВПО» .
ВПО может не сдетонировать, если оно не нашло нужные файлы (например, сертификаты, файлы баз данных, кэш браузера и т. п.) или на зараженной машине не установлен софт, под который оно было заточено. А если детонации не произошло, то песочница пропустит этот файл. Чтобы этого избежать, в образах существуют файлы-приманки, привлекающие внимание злоумышленников, а сами образы ВМ можно кастомизировать, добавляя в них необходимое ПО и настраивая необходимые параметры.
ВПО может не сдетонировать, если оно не нашло нужные файлы (например, сертификаты, файлы баз данных, кэш браузера и т. п.) или на зараженной машине не установлен софт, под который оно было заточено. А если детонации не произошло, то песочница пропустит этот файл. Чтобы этого избежать, в образах существуют файлы-приманки, привлекающие внимание злоумышленников, а сами образы ВМ можно кастомизировать, добавляя в них необходимое ПО и настраивая необходимые параметры.
Образы бывают базовые и кастомные. Базовые образы поставляются вместе с продуктом и разрабатываются экспертами PT. С полным перечнем образов и их содержимым можно ознакомиться на справочном портале. Вы можете заметить, что в вашей лицензии указаны доступные вам базовые образы. Но это не значит, что вы не можете использовать другие базовые образы из списка — в любую лицензию включена возможность использовать любые образы ВМ. Чтобы добавить или заменить образы, можно обратиться в техническую поддержку.
Кастомные же образы делаются самостоятельно на основе базовых. И это единственное ограничение в кастомизации: нельзя создать образ с нуля для ОС, если для нее не существует базового образа. Для добавления образов с новыми ОС необходимо заводить заявки о доработке функционала в техническую поддержку. Если запросов на определенную ОС будет достаточно много, то с ней появится базовый образ, а вместе с ним и возможность сделать на его основе кастомный. Процедура кастомизации примерно такая: скачивается базовый образ, образ разворачивается в ВМ, пользователь получает доступ к данной ВМ и вносит необходимые изменения (устанавливает другое ПО, добавляет файлы, меняет системные параметры и т.д.), сохраняет результат в новый образ. В этом подразделе есть еще три вложенных подраздела:
Управление образами. На этой странице можно посмотреть все доступные образы, проверить, на каких узлах эти образы установлены (актуально при многосерверных инсталляциях), установить, обновить или удалить образы, а также скачать их для дальнейшей кастомизации. Перечень базовых образов, доступных для установки определяется лицензией. Если в лицензию необходимо добавить образы, то необходимо обратиться в техническую поддержку — это бесплатно.
Кастомные же образы делаются самостоятельно на основе базовых. И это единственное ограничение в кастомизации: нельзя создать образ с нуля для ОС, если для нее не существует базового образа. Для добавления образов с новыми ОС необходимо заводить заявки о доработке функционала в техническую поддержку. Если запросов на определенную ОС будет достаточно много, то с ней появится базовый образ, а вместе с ним и возможность сделать на его основе кастомный. Процедура кастомизации примерно такая: скачивается базовый образ, образ разворачивается в ВМ, пользователь получает доступ к данной ВМ и вносит необходимые изменения (устанавливает другое ПО, добавляет файлы, меняет системные параметры и т.д.), сохраняет результат в новый образ. В этом подразделе есть еще три вложенных подраздела:
Управление образами. На этой странице можно посмотреть все доступные образы, проверить, на каких узлах эти образы установлены (актуально при многосерверных инсталляциях), установить, обновить или удалить образы, а также скачать их для дальнейшей кастомизации. Перечень базовых образов, доступных для установки определяется лицензией. Если в лицензию необходимо добавить образы, то необходимо обратиться в техническую поддержку — это бесплатно.
Управление образами ВМ
Очередь обновления образов. В этом подразделе можно посмотреть, какие образы находятся в процессе обновления, а какие ожидают своей очереди. При необходимости можно поменять порядок обновления образов.
Очередь обновления образов. В этом подразделе можно посмотреть, какие образы находятся в процессе обновления, а какие ожидают своей очереди. При необходимости можно поменять порядок обновления образов.
Очередь обновления образов ВМ
Режим обновления. В этом подразделе можно задать расписание скачивания и/или установки обновлений для образов ВМ. При составлении расписания указывается набор непересекающихся интервалов времени. Предлагаются три опции использования данного расписания: использовать расписание только для установки образов (скачивание происходит в любое время), использовать расписание для скачивания и для установки, не использовать расписание вообще (скачивание и установка будут происходить в любое время).
Режим обновления. В этом подразделе можно задать расписание скачивания и/или установки обновлений для образов ВМ. При составлении расписания указывается набор непересекающихся интервалов времени. Предлагаются три опции использования данного расписания: использовать расписание только для установки образов (скачивание происходит в любое время), использовать расписание для скачивания и для установки, не использовать расписание вообще (скачивание и установка будут происходить в любое время).
Режим обновления образов ВМ
Списки
В PT Sandbox есть два типа списков, и для каждого есть отдельный подраздел:
В этом разделе можно активировать проверку файлов по пользовательским YARA-правилам, после чего загрузить в продукт пакет с правилами. Правила могут быть самописными, публичными или распространяемые другими вендорами.
Чтобы добавить пользовательские правила, их заранее необходимо собрать в один текстовый файл. После того как файл будет загружен, правила из него начнут работать в тестовом режиме. Пока пакет правил находится в этом режиме, его можно удалить, заменить, скачать или перевести правила из тестовых в действующие. После перевода в статус действующих правила можно удалить, и больше никаких действий напрямую с ними сделать нельзя. Также после перевода правил из тестовых в действующие появится возможность загрузить еще один набор тестовых правил.
Списки
В PT Sandbox есть два типа списков, и для каждого есть отдельный подраздел:
- Черный список. Этот подраздел содержит в себе список хэш-сумм файлов, которые без проверки определяются как вредоносные.
- Белый список. Этот подраздел содержит в себе список хэш-сумм файлов, которые без проверки определяются как безопасные.
В этом разделе можно активировать проверку файлов по пользовательским YARA-правилам, после чего загрузить в продукт пакет с правилами. Правила могут быть самописными, публичными или распространяемые другими вендорами.
Чтобы добавить пользовательские правила, их заранее необходимо собрать в один текстовый файл. После того как файл будет загружен, правила из него начнут работать в тестовом режиме. Пока пакет правил находится в этом режиме, его можно удалить, заменить, скачать или перевести правила из тестовых в действующие. После перевода в статус действующих правила можно удалить, и больше никаких действий напрямую с ними сделать нельзя. Также после перевода правил из тестовых в действующие появится возможность загрузить еще один набор тестовых правил.
В каждый момент времени может существовать не более одного пакета действующих правил, и не более одного пакета тестовых правил. Подразумевается, что тестовые правила — это потенциальное обновление действующих правил, которое необходимо проверить в безопасном режиме. Поэтому, если перевести эти правила в действующие, то они заменят собой существующий набор действующих правил, а не добавятся к уже существующему пакету. Если есть потребность добавить новые правила к уже существующим, то необходимо взять исходный текстовый файл, добавить в него новые строки с правилами и загрузить файл в продукт. А так как для действующих правил нет опции их скачать (в отличие от тестовых), то не забывайте сохранять файл с ними в надежном месте.
В правилах может быть указан класс ВПО в поле malware_class. Если данное поле отсутствует в правиле, то будет вынесен вердикт по умолчанию, который можно выбрать в соответствующем параметре. В большинстве случаев подойдет опция «Класс ВПО не указан».
Добавлен пакет “crypto_signatures.yar” с тестовыми правилами
Правила из пакета “crypto_signatures.yar” перевели в действующие. Добавили пакет с тестовыми правилами “capabilities.yar”
Перевели правила “capabilities.yar” в действующие. Они заменили пакет правил “crypto_signatures.yar”
Раздел «Источники»
В этом разделе располагаются все созданные источники. Здесь же можно ими управлять — добавлять новые, удалять и отключать ненужные, изменять их параметры. Чтобы добавить новый источник, необходимо нажать на соответствующую кнопку в левом верхнем углу и заполнить все необходимые поля — параметры источника. После добавления источника его можно включать и отключать, а также менять параметры источника и параметры проверки. Параметры источника — это вся информация, необходимая для приема файлов на проверку и последующей их передачи в информационную инфраструктуру, если это требуется. В этом блоке указываются IP-адреса, порты, используемые протоколы, аутентификационные данные и т. п. Параметры проверки определяют, как и какими средствами проверки файлы будут анализироваться: нужен ли ПА, какой образ ВМ использовать, извлекать ли ссылки, глубина распаковки архивов и т. д.
Более подробно про сами источники, их создание и настройку можно прочитать в следующей статье цикла.
Более подробно про сами источники, их создание и настройку можно прочитать в следующей статье цикла.
Источники
Раздел «Система»
Подраздел «Основные параметры»
В этом разделе задаются общесистемные настройки.
Хранилище. Отражает утилизацию доступного продукту дискового пространства. Можно поменять объем хранилища, выделяемый под файлы заданий и письма в карантине. Под системные файлы PT Sandbox резервирует фиксированное количество памяти. Под образы ВМ резервируется место в расчете 16 ГБ на один образ.
Хранилище. Отражает утилизацию доступного продукту дискового пространства. Можно поменять объем хранилища, выделяемый под файлы заданий и письма в карантине. Под системные файлы PT Sandbox резервирует фиксированное количество памяти. Под образы ВМ резервируется место в расчете 16 ГБ на один образ.
Настройки хранилища
Карантин. В этом блоке можно настроить время хранения писем в карантине, а также добавить резервные серверы. При отправке письма из карантина PT Sandbox использует параметры из источника, который проверял это письмо. Если не получается доставить письмо на почтовые сервера, указанные в параметрах источника, то используются резервные сервера.
Карантин. В этом блоке можно настроить время хранения писем в карантине, а также добавить резервные серверы. При отправке письма из карантина PT Sandbox использует параметры из источника, который проверял это письмо. Если не получается доставить письмо на почтовые сервера, указанные в параметрах источника, то используются резервные сервера.
Настройки карантина
История проверок. Можно установить глубину хранения информации о полученных заданиях. Выбор осуществляется из предустановленных значений. По умолчанию устанавливается 3 года. Минимум — 30 дней. Максимум — 10 лет.
История проверок. Можно установить глубину хранения информации о полученных заданиях. Выбор осуществляется из предустановленных значений. По умолчанию устанавливается 3 года. Минимум — 30 дней. Максимум — 10 лет.
Настройки истории проверок
Повторная проверка. Эта опция отвечает за ретроспективный анализ. При ее включении нужно задать один или несколько периодов, через которые будет выполняться проверка уже ранее проверенных объектов. Несмотря на то, что продукт несколько раз в день обновляет свои базы знаний с экспертизой, обновление с нужными правилами все еще может быть скачано уже после того, как файл был проверен. Всего пары минут «опоздания» достаточно, чтобы пропустить угрозу. Повторная проверка позволяет нивелировать такие ситуации. Важно отметить, что при повторной проверке используются только статические методы анализа. Не стоит забывать и о том, что на момент проведения повторной проверки файл уже находится в информационной инфраструктуре организации и PT Sandbox никак не может на это повлиять, поэтому при признании файла вредоносным по результатам повторной проверки необходимо принять активные меры по локализации и устранению угрозы.
Повторная проверка. Эта опция отвечает за ретроспективный анализ. При ее включении нужно задать один или несколько периодов, через которые будет выполняться проверка уже ранее проверенных объектов. Несмотря на то, что продукт несколько раз в день обновляет свои базы знаний с экспертизой, обновление с нужными правилами все еще может быть скачано уже после того, как файл был проверен. Всего пары минут «опоздания» достаточно, чтобы пропустить угрозу. Повторная проверка позволяет нивелировать такие ситуации. Важно отметить, что при повторной проверке используются только статические методы анализа. Не стоит забывать и о том, что на момент проведения повторной проверки файл уже находится в информационной инфраструктуре организации и PT Sandbox никак не может на это повлиять, поэтому при признании файла вредоносным по результатам повторной проверки необходимо принять активные меры по локализации и устранению угрозы.
Настройки повторной проверки (ретроспективного анализа)
Стандартные пароли. Позволяет задать перечень паролей, которые PT NAD будет использовать для расшифровки запароленных архивов. Важно понимать, что этот функционал не предназначен для брутфорса зашифрованных архивов, и не стоит прописывать в этом поле парольные базы, так как это приведет к большим задержкам при проверках запароленных архивов. В этом блоке рекомендуется указывать пароли, определенные внутренними стандартами и используемые внутри вашей организации или при взаимодействии со сторонними сервисами (например, пароль «infected» защищает архивы с ВПО на ресурсе Malware Bazaar).
Стандартные пароли. Позволяет задать перечень паролей, которые PT NAD будет использовать для расшифровки запароленных архивов. Важно понимать, что этот функционал не предназначен для брутфорса зашифрованных архивов, и не стоит прописывать в этом поле парольные базы, так как это приведет к большим задержкам при проверках запароленных архивов. В этом блоке рекомендуется указывать пароли, определенные внутренними стандартами и используемые внутри вашей организации или при взаимодействии со сторонними сервисами (например, пароль «infected» защищает архивы с ВПО на ресурсе Malware Bazaar).
Настройка паролей для расшифровки защищенных архивов
Для подбора паролей к архивам в PT Sandbox предусмотрен другой механизм: при передаче зашифрованного архива с помощью электронной почты продукт будет искать пароль от него внутри тела письма. Если в письме пароль передается, то PT Sandbox подставит его, распакует содержимое и проверит его. Может показаться, что такая схема не очень надежная, так как если в письме не передается пароль, то продукт не сможет извлечь его содержимое и проверить, а значит таким образом можно обходить песочницу и доставлять ВПО. Но если в письме пароля нет, то архив не сможет расшифровать ни PT Sandbox, ни, соответственно, сам получатель письма. Поэтому, достигнув рабочей станции пользователя, архив так и останется зашифрованным и потенциально сокрытое в нем ВПО не окажет никакого разрушительного воздействия.
Отправка сообщений по протоколу syslog. В этом блоке указываются параметры подключения к syslog-серверу (SIEM, Log Collector): доменное имя или IP-адрес, порт и транспортный протокол (syslog может работать как поверх TCP, так и поверх UDP). По умолчанию отправляются только сообщения о результатах проверки файлов, но есть возможность совместно с ними отправлять события аудита (действий пользователей).
Настройка подключения к syslog-серверу
Отправка данных в PT Threat Analyzer. PT Threat Analyzer — это TI-платформа, которая позволяет собирать информацию об известных угрозах из разных источников, обрабатывать ее и экспортировать во внешние системы в виде фидов с индикаторами компрометации. Во всей этой схеме PT Sandbox может выступать источником информации и отправлять информацию об обнаруженных угрозах. Но обогащать собственные базы с индикаторами компрометации при помощи PT Threat Analyzer (как и при помощи других TI-платформ) он не может.
Уведомления об угрозах. PT Sandbox может отправлять на указанные почтовые адреса письма о выявленных угрозах. В параметрах блока необходимо указать категории файлов, для которых будут отправляться уведомления: только опасные или опасные и потенциально опасные файлы. В опасные файлы попадают те, в которых были обнаружены угрозы. Дополнительно к этому пользователь может задавать собственные правила определения и опасных, и потенциально опасных файлов (рассматриваем их подробно в статье «Параметры проверки»). Также настраиваются адрес отправителя, адреса получателей, язык уведомлений и параметры подключения к почтовому серверу.
Отправка данных в PT Threat Analyzer. PT Threat Analyzer — это TI-платформа, которая позволяет собирать информацию об известных угрозах из разных источников, обрабатывать ее и экспортировать во внешние системы в виде фидов с индикаторами компрометации. Во всей этой схеме PT Sandbox может выступать источником информации и отправлять информацию об обнаруженных угрозах. Но обогащать собственные базы с индикаторами компрометации при помощи PT Threat Analyzer (как и при помощи других TI-платформ) он не может.
Уведомления об угрозах. PT Sandbox может отправлять на указанные почтовые адреса письма о выявленных угрозах. В параметрах блока необходимо указать категории файлов, для которых будут отправляться уведомления: только опасные или опасные и потенциально опасные файлы. В опасные файлы попадают те, в которых были обнаружены угрозы. Дополнительно к этому пользователь может задавать собственные правила определения и опасных, и потенциально опасных файлов (рассматриваем их подробно в статье «Параметры проверки»). Также настраиваются адрес отправителя, адреса получателей, язык уведомлений и параметры подключения к почтовому серверу.
Настройка отправки почтовых уведомлений об обнаруженных угрозах
Анонимная проверка. Включив эту опцию, мы позволим пользователям отправлять файлы на проверку через веб-интерфейс без необходимости авторизовываться в продукте. Соответственно, для таких пользователей не нужно заводить учетную запись. Удобная функция в случае, когда нужно предоставить пользователям возможность проверять файлы, но полноценный доступ к веб-интерфейсу продукта предоставлять им не хочется.
Анонимная проверка. Включив эту опцию, мы позволим пользователям отправлять файлы на проверку через веб-интерфейс без необходимости авторизовываться в продукте. Соответственно, для таких пользователей не нужно заводить учетную запись. Удобная функция в случае, когда нужно предоставить пользователям возможность проверять файлы, но полноценный доступ к веб-интерфейсу продукта предоставлять им не хочется.
Активация режима анонимной проверки
Окно для анонимной проверки
Подраздел «Токены Доступа»
У PT Sandbox есть публичный API, с помощью которого можно отправлять файлы на проверку, получать результаты проверки, просматривать задания, а также получать информацию об используемых образах ВМ и состоянии продукта. Для выполнения всех этих действий необходимо создать токен доступа, который затем будет необходимо указывать в заголовках HTTP-запросов. При этом для проверки файлов и просмотра заданий токену должны быть назначены соответствующие разрешения. Остальные действия разрешены для всех токенов.
Этот подраздел позволяет управлять токенами: создавать, удалять, изменять комментарии к ним. При создании токена необходимо указать название, разрешенные действия и, опционально, комментарий. После создания изменить наименование токена и связанные с ним разрешения уже нельзя. Кроме того, сам токен можно будет просмотреть только при его создании, поэтому его необходимо сохранить в надежном месте. Более подробно процесс создания описан в главе «API» статьи «Работа с источниками».
Этот подраздел позволяет управлять токенами: создавать, удалять, изменять комментарии к ним. При создании токена необходимо указать название, разрешенные действия и, опционально, комментарий. После создания изменить наименование токена и связанные с ним разрешения уже нельзя. Кроме того, сам токен можно будет просмотреть только при его создании, поэтому его необходимо сохранить в надежном месте. Более подробно процесс создания описан в главе «API» статьи «Работа с источниками».
Токены доступа
Подраздел «Обновления»
В этом подразделе отображена текущая версия продукта и доступные обновления, а также можно проверить наличие обновлений в реальном времени. Также этот подраздел позволяет проводить обновления продукта в ручном и автоматических режимах. Для обновления в ручном режиме необходимо нажать на кнопку «Обновить сейчас» в строке с нужной версией. Для автоматического обновления можно настроить расписание: в указанные временные точки PT Sandbox будет устанавливать доступные и подходящие по ограничениям обновления. Эти самые ограничения на обновления можно установить по времени, прошедшему с момента релиза новой версии продукта, и не устанавливать слишком свежие версии: очень полезно, чтобы избежать каких-то случайных багов и ошибок в новых версиях.
Подраздел «Обновления»
При этом расписание и ограничения настраиваются отдельно для версий с новым функционалом и отдельно для версий с исправлениями. Соответственно, имеет смысл ограничение по «свежести» обновления для версий с исправлениями ставить более мягкие, чем для версий с новым функционалом. Идея такого подхода заключается в том, что если в новой версии были допущены ошибки, то разработчики о них быстро узнают и оперативно их исправят. Тогда указанный в настройках период для исправленных версий истечет быстрее периода для новых версий и PT Sandbox обновится сразу на стабильную версию без выявленных проблем.
При этом расписание и ограничения настраиваются отдельно для версий с новым функционалом и отдельно для версий с исправлениями. Соответственно, имеет смысл ограничение по «свежести» обновления для версий с исправлениями ставить более мягкие, чем для версий с новым функционалом. Идея такого подхода заключается в том, что если в новой версии были допущены ошибки, то разработчики о них быстро узнают и оперативно их исправят. Тогда указанный в настройках период для исправленных версий истечет быстрее периода для новых версий и PT Sandbox обновится сразу на стабильную версию без выявленных проблем.
Подраздел «Конфигурация»
В этом подразделе собрана детальная информация о состоянии продукта и его отдельных сервисов. Он содержит четыре вложенных подраздела:
Компоненты. Представляет собой табличку со всеми компонентами системы. Компоненты отображаются для всех узлов, а не только для основного. Столбцы можно менять местами, осуществлять по ним фильтрацию и сортировку.
Компоненты. Представляет собой табличку со всеми компонентами системы. Компоненты отображаются для всех узлов, а не только для основного. Столбцы можно менять местами, осуществлять по ним фильтрацию и сортировку.
Компоненты
Узлы. В этом подразделе указаны все узлы, находящиеся в кластере, и информация по каждому из них: название, роли узла, статус, IP-адрес, выделенные аппаратные ресурсы, установленные версии средств виртуализации и контейнеризации containerd, kubernetes, xen и количество подов и виртуальных машин на узле.
Узлы. В этом подразделе указаны все узлы, находящиеся в кластере, и информация по каждому из них: название, роли узла, статус, IP-адрес, выделенные аппаратные ресурсы, установленные версии средств виртуализации и контейнеризации containerd, kubernetes, xen и количество подов и виртуальных машин на узле.
Узлы
Поды. Табличка с подами в кластере kubernetes. По сути, это более высокий уровень детализации таблицы из подраздела «компоненты», так как каждый компонент состоит из одного или нескольких подов.
Поды. Табличка с подами в кластере kubernetes. По сути, это более высокий уровень детализации таблицы из подраздела «компоненты», так как каждый компонент состоит из одного или нескольких подов.
Поды
Мониторинг. При переходе в этот подраздел вас перекинет в интерфейс системы мониторинга Grafana, где в графическом виде представлены данные о состоянии системы и ее частей: доступные ресурсы и их утилизация, сетевая активность, статистика брокера сообщений и подов kubernetes. Данный раздел будет полезен продвинутым пользователям, особенно при траблшутинге. А еще информацию из Grafana могут запросить специалисты технической поддержки в рамках процесса устранения проблем.
Мониторинг. При переходе в этот подраздел вас перекинет в интерфейс системы мониторинга Grafana, где в графическом виде представлены данные о состоянии системы и ее частей: доступные ресурсы и их утилизация, сетевая активность, статистика брокера сообщений и подов kubernetes. Данный раздел будет полезен продвинутым пользователям, особенно при траблшутинге. А еще информацию из Grafana могут запросить специалисты технической поддержки в рамках процесса устранения проблем.
Главная страница Grafana
Содержит всю информацию о лицензии: номер, прикрепленные к лицензии базовые образы, доступные источники. Также лицензию можно заменить и проверить ее статус.
Подраздел "Лицензия"
Содержит всю информацию о лицензии: номер, прикрепленные к лицензии базовые образы, доступные источники. Также лицензию можно заменить и проверить ее статус.
Информация о лицензии
Правый верхний угол страницы
Значение иконок
Проверить объекты
При нажатии откроется форма отправки файлов и ссылок на проверку. Что и как в ней заполнять рассказываем в следующих двух статьях.
Уведомления
При нажатии на иконку колокольчика открывается окно с уведомлениями о результатах проверки объектов, отправленных через веб-интерфейс.
Проверить объекты
При нажатии откроется форма отправки файлов и ссылок на проверку. Что и как в ней заполнять рассказываем в следующих двух статьях.
Уведомления
При нажатии на иконку колокольчика открывается окно с уведомлениями о результатах проверки объектов, отправленных через веб-интерфейс.
Пример уведомления
Состояние системы
В этом окне отображаются текущая версия продукта, системные уведомления о состоянии систем. Здесь могут быть уведомления об ошибках в работе компонентов, о появлении новой версии продукта, о сбоях источников и т.д.Есть возможность скачать файлы журналов: системные журналы, логи подов, вывод некоторых команд, — все в одном архиве. Можно выгрузить журналы за последний час, за последние три часа, за последние сутки и за все время. Эти журналы удобно использовать при траблшутинге, и их часто запрашивает техподдержка.
Состояние системы
В этом окне отображаются текущая версия продукта, системные уведомления о состоянии систем. Здесь могут быть уведомления об ошибках в работе компонентов, о появлении новой версии продукта, о сбоях источников и т.д.Есть возможность скачать файлы журналов: системные журналы, логи подов, вывод некоторых команд, — все в одном архиве. Можно выгрузить журналы за последний час, за последние три часа, за последние сутки и за все время. Эти журналы удобно использовать при траблшутинге, и их часто запрашивает техподдержка.
Окно «Состояние системы»
Настройки
В самом углу находится меню настроек веб-интерфейса. В нем показан ваш текущий пользователь, есть возможность изменить тему оформления и язык интерфейса и выйти из учетной записи.
Настройки
В самом углу находится меню настроек веб-интерфейса. В нем показан ваш текущий пользователь, есть возможность изменить тему оформления и язык интерфейса и выйти из учетной записи.
Меню настроек интерфейса
PT MC
В левом верхнем углу находится кнопка переключения между приложениями. Там их всего два: PT Sandbox и Management and Configuration (он же PT MC). С первым все понятно, но что это за PT MC такой и зачем он нужен?
PT MC — это приложение по управлению пользователями и доступом для продуктов Positive Technologies. Две наиболее важные его функции:
PT MC — это приложение по управлению пользователями и доступом для продуктов Positive Technologies. Две наиболее важные его функции:
- Единая точка входа (Single Sign-On). Если у вас имеется несколько продуктов Positive Technologies, то можно настроить их интеграцию с PT MC. Теперь у каждого пользователя одна учетная запись на все продукты: он один раз в нее входит, а затем свободно переключается между различными продуктами, к которым ему выдан доступ.
- Интеграция и синхронизация со службой каталогов (Active Directory или FreeIPA). Позволяет пользователям использовать свои доменные учетные записи при входе в продукт, а их ролями можно управлять средствами AD.
Переключение приложений
Управление пользователями
В разделе «Пользователи» представлен список всех существующих учетных записей. Изначально будет создана только учетная запись Administrator, обладающая всеми возможными правами. Ее нельзя удалить или заблокировать.
Разумеется, можно создавать новых пользователей. Для этого указываются:
Управление пользователями
В разделе «Пользователи» представлен список всех существующих учетных записей. Изначально будет создана только учетная запись Administrator, обладающая всеми возможными правами. Ее нельзя удалить или заблокировать.
Разумеется, можно создавать новых пользователей. Для этого указываются:
- Тип аутентификации: локальная или LDAP. Для второго необходимо заранее создать LDAP-подключение.
- Логин и пароль. Если выбрана аутентификация по LDAP, то пароль, соответственно, не указывается, так как для входа будет использоваться доменная УЗ. Есть возможность автоматически сгенерировать пароль, соответствующий всем требованиям парольной политики.
- Статус пользователя: активен или заблокирован.
- Персональные данные и организационная информация. Необязательно для заполнения. При аутентификации по LDAP есть возможность заполнять эти поля автоматически на основании информации из службы каталогов. Для этого необходимо установить соответствующий флажок. Информация добавится сразу после первого входа пользователя в Систему.
- Роли в приложениях. Если для приложения не указать роль, то у пользователя не будет в него доступа.
Список пользователей
Создание нового пользователя. Скриншот 1
Создание нового пользователя. Скриншот 2
Управление ролями
Для управления ролями предусмотрен раздел «Роли». В PT Sandbox существует три преднастроенные роли: Администратор, Пользователь и Специалист по безопасности. Их нельзя удалять, изменять, новые роли добавлять нельзя. Поэтому все управление ролями ограничивается приложением Management and Configuration.
При создании роли указывается приложение, название роли и выбираются присваиваемые ей права доступа. У PT MC тоже есть три преднастроенные роли, которые нельзя удалять или изменять. Но с созданными ролями все эти операции доступны. Любую роль можно скопировать и на ее основе создать новую.
Управление ролями
Для управления ролями предусмотрен раздел «Роли». В PT Sandbox существует три преднастроенные роли: Администратор, Пользователь и Специалист по безопасности. Их нельзя удалять, изменять, новые роли добавлять нельзя. Поэтому все управление ролями ограничивается приложением Management and Configuration.
При создании роли указывается приложение, название роли и выбираются присваиваемые ей права доступа. У PT MC тоже есть три преднастроенные роли, которые нельзя удалять или изменять. Но с созданными ролями все эти операции доступны. Любую роль можно скопировать и на ее основе создать новую.
Список ролей в приложениях
Создание новой роли
Интеграция со службой каталогов
Для добавления пользователей с доменными учетными записями необходимо создать LDAP-подключение. При создании указывается название, выбирается служба каталогов (AD или FreeIPA) и параметры подключения к контроллеру домена: адрес, порт, домены и базу поиска (указатель на нужный OU или CN). Указанных параметров достаточно, чтобы создать LDAP-подключение. Далее его можно будет использовать, чтобы добавлять пользователей с типом аутентификации LDAP и каждому назначать необходимые роли.
Однако есть возможность автоматизировать этот процесс, настроив синхронизацию в рамках LDAP-подключения. Для этого создаем доменную УЗ с правами на чтение данных о группах и пользователях и настраиваем соответствие ролей в приложениях PT и групп пользователей в службе каталогов. Используя указанную учетную запись, PT MC будет получать информацию о пользователях и их группах из службы каталогов и на ее основе управлять ролями пользователей в приложениях PT.
Интеграция со службой каталогов
Для добавления пользователей с доменными учетными записями необходимо создать LDAP-подключение. При создании указывается название, выбирается служба каталогов (AD или FreeIPA) и параметры подключения к контроллеру домена: адрес, порт, домены и базу поиска (указатель на нужный OU или CN). Указанных параметров достаточно, чтобы создать LDAP-подключение. Далее его можно будет использовать, чтобы добавлять пользователей с типом аутентификации LDAP и каждому назначать необходимые роли.
Однако есть возможность автоматизировать этот процесс, настроив синхронизацию в рамках LDAP-подключения. Для этого создаем доменную УЗ с правами на чтение данных о группах и пользователях и настраиваем соответствие ролей в приложениях PT и групп пользователей в службе каталогов. Используя указанную учетную запись, PT MC будет получать информацию о пользователях и их группах из службы каталогов и на ее основе управлять ролями пользователей в приложениях PT.
Список LDAP-подключений
Создание нового LDAP-подключения. Параметры подключения
Создание нового LDAP-подключения. Параметры синхронизации
Журнал действий
В PT MC находится журнал действий пользователей. В нем регистрируются действия и для PT Sandbox, и для самого приложения PT MC.
Журнал действий
В PT MC находится журнал действий пользователей. В нем регистрируются действия и для PT Sandbox, и для самого приложения PT MC.
Журнал действий
Заключение
Написанием этой статьи мы преследовали несколько целей:
- Предоставить читателям краткий справочный материал по веб-интерфейсу, который позволил бы им быстро разобраться, что происходит на той или иной странице — для этого достаточно перейти в нужную главу
- Познакомить читателей с функционалом продукта. Если у PT Sandbox есть какая-то функция, то так или иначе она имеет отражение в веб-интерфейсе. Описывая тот или иной элемент интерфейса, мы старались раскрыть и связанный с ним функционал
Может быть интересно
