Параметры проверки

Максимальное время выполнения задания
Этот параметр определяет, как долго задание будет находиться в очереди в ожидании результата проверки. По истечении этого времени задание будет принудительно завершено, вердикта оно не получит. Эта настройка позволяет не допустить неограниченного роста очереди заданий на проверку и сгладить пики нагрузки на PT Sandbox. Например, если в течении относительно непродолжительного времени в продукт поступает больше файлов, чем он успевает проанализировать, то он откладывает «лишние» задания и проводит их анализ позже, когда нагрузка снижается. И чем больше указано значение в данном параметре, тем сильнее эффект сглаживания.

Максимальное время выполнения задания

Пользовательские правила определения опасных и потенциально опасных файлов

В этом блоке параметров можно задавать собственные правила, по которым будет определяться уровень опасности файлов. Всего в PT Sandbox есть два уровня опасности: «опасный» и «потенциально опасный». Файлы могут быть отнесены к той или иной категории как на основе этих правил, так и по результатам проверки файла другими средствами проверки (антивирусы, YARA-привила, поведенческий анализ).

Для создания правила создается фильтр для файлов на основе их типов (расширений), имен, MIME-типов и меток. Выбранный уровень опасности назначается всем файлам, попадающим под фильтр, или же наоборот — всем файлам, под него не попадающим.

Окно создания нового правила

Использовать тестовые YARA-правила
В PT Sandbox кроме правил, поставляемых с продуктом, есть возможность добавлять пользовательские YARA-правила. Правила могут находиться в тестовом режиме, если мы не до конца уверены в качестве и эффективности их работы и хотим их проверить перед переводом в статус действующих. Если активировать этот параметр, то при проверке файлов данного источника будут применяться наши тестовые YARA-правила, так мы сможем проверить их на практике. При этом сами правила не будут влиять на выносимый вердикт, но сработки по ним можно будет наблюдать в карточках объектов.

Активация использования тестовых YARA-правил

Проверка архивов
В этом разделе настраивается глубина распаковки архивов. Если уровень вложенности у архива превышает установленную глубину распаковки, то часть архива не будет распакована и содержимое не будет извлечено. Такие архивы можно опционально отмечать как потенциально опасные — в дополнение к рассмотренным выше правилам определения опасных и потенциально опасных файлов. Как потенциально опасные файлы также можно отмечать зашифрованные архивы, к которым не удалось подобрать пароль.

Настройки проверки архивов

Проверка ссылок
За проверку ссылок отвечают три связанных между собой блока параметров. Первый — «Извлечение ссылок из объектов». Этот параметр включает проверку ссылок в письмах и файлах и активирует два других блока с параметрами.

Активация извлечения ссылок из объектов

«Проверка контента по извлеченным ссылкам» позволяет настроить скачивание файлов по ссылкам и дальнейшую их проверку. Если эта опция выключена, то ссылки будут проверяться только по индикаторам компрометации. При этом, если ссылка совпала с индикатором компрометации в базе, то контент по ней скачиваться не будет даже при включенном параметре, так как она уже заведомо вредоносная и дальнейшие проверки не требуются.

В настройках есть возможность определить, по каким ссылкам необходимо скачивать контент, а по каким нет. Для этого необходимо указать доменные имена или IP-адреса узлов и подсетей (поддерживается создание шаблонов с символом «*») в соответствующих полях. Также исключения можно настроить по категориям ссылок. В итоге, все работает просто: ссылка попала под исключение (по адресу или по категории) — контент по этой ссылке проверяться не будет, ссылка попала под шаблон для проверки (и не попала под исключение) — по ссылке скачается файл и проверится статическим анализом.

А что с ссылками, которые не попали ни под один шаблон, что с ними? Логично предположить, что контент по ним не скачивается, но это не совсем так. По умолчанию среди этих ссылок эвристическими методами выбираются подозрительные, и вот для них также осуществляется проверка контента. Эвристику можно отключить, сняв флажок с соответствующего пункта.

Для защиты от больших задержек при проверке можно ограничить количество ссылок для скачивания файлов.

Параметры проверки контента по ссылкам

«Пользовательские правила определения опасных и потенциально опасных ссылок». Чуть ранее мы рассматривали аналогичные правила для файлов. Из отличий только поля для фильтрации: тут возможности поскромнее и доступна только фильтрация по категориям ссылок. Это те самые категории, которые присваивает ссылкам модуль PT Categorizer, поэтому его необходимо включить, чтобы создавать собственные правила.

Окно создания нового правила

Сохранение файлов без угроз
Название параметра говорит за себя. PT Sandbox может скачивать либо только файлы, признанные вредоносными, либо все файлы. Включение этой опции увеличит необходимое для хранения файлов место на диске.

Активация сохранения файлов без угроз

Поведенческий анализ
Включение этого параметра активирует функцию ПА для данного источника. По умолчанию она выключена, поэтому важно не забыть ее включить. После включения необходимо добавить правила, определяющие, как и в каких образах ВМ проверять те или иные файлы. Итак, в настройках правила указываем название, образ ВМ, типы проверяемых файлов и продолжительность анализа. По умолчанию во время ПА HTTPS трафик расшифровывается и анализируется модулем PT DPI в открытом виде. Если необходимо оставлять трафик зашифрованным, то можно отключить данную опцию. Также можно отключить запись видео с поведением файлов в ОС.

Окно добавления нового правила

В отдельном блоке можно настроить прекращение проверки всего задания, если обнаружен опасный файл или потенциально опасный файл. Например, если в архиве на 100 файлов в первом же файле найдена угроза, то и весь архив будет признан вредоносным, а результаты проверки оставшихся файлов на вердикт не повлияют, поэтому есть смысл их и не проверять. Это может помочь снизить нагрузку на Систему. Отметим, что это относится именно к поведенческому анализу, а с помощью статического анализа будут проверяться все файлы без исключений независимо от настроек данного параметра.

Параметры уведомлений службы Checkme

Блокирующий режим
Данный блок параметров есть у всех источников, поддерживающих блокирующий режим: Почтовый сервер в режиме фильтрации, сервер Microsoft Exchange c установленным агентом, ICAP-сервер и Папка-шлюз. Хотя есть некоторые особенности в настройках у каждого из них.

У ICAP-сервера все просто — в данном блоке ничего настраивать не нужно. Это, скорее, просто уведомление, что данный тип источника поддерживает блокирующий режим в соответствии с лицензией. Выбор используемого режима при проверке файла определяется на стороне ICAP-клиента (см. главу «ICAP-сервер» в статье «Работа с источниками»).

Параметры (или, вернее, отсутствие параметров) блокирующего режима для источника «ICAP-сервер»

В настройках Папки-шлюза можно выбрать используемый режим: блокирующий или пассивный. Если выбран блокирующий режим, то можно выбрать условия блокировки.

Есть два варианта:

• Пропускать файлы после завершения динамического анализа. В этом случае решение о блокировке файла будет приниматься на основе результатов всех доступных средств проверки.
• Пропускать файлы, не дожидаясь завершения динамического анализа. В этом случае решение о блокировке будет принято сразу после завершения статического анализа. Это снижает задержку между отправкой файла на проверку и передачей его далее в информационную систему организации.

Параметры блокирующего режима для источника «Папка-шлюз»

У почтовых источников дополнительно к этому появляется еще параметр Максимальное время ожидания результатов анализа, ограничивающий время на принятие решения о блокировке письма. Важно не путать этот параметр с Максимальным временем выполнения задания (находится прямо под рассматриваемым параметром), который определяет, как долго PT Sandbox будет держать файл в очереди на проверку. Соответственно, по истечении времени, указанного в первом параметре, письмо будет пропущено дальше, даже если анализ не завершился (или даже еще не начался). При этом задание на проверку письма не будет сброшено, а продолжит ждать своей очереди. Поэтому может быть ситуация, когда PT Sandbox пропустил письмо, которое он определил как вредоносное. Как раз дело в том, что на момент пропуска файла анализ еще не был завершен и угрозы еще не были обнаружены, но был достигнут порог ожидания вердикта и письмо было отправлено получателю.

Параметры блокирующего режима для почтовых источников (кроме «Почтового сервера в режиме зеркалирования»)

Блокировка подозрительных файлов
У всех источников, поддерживающих блокирующий режим, кроме ICAP-сервера,. можно настроить блокировку потенциально опасных файлов. По умолчанию блокируются только опасные файлы. У источника ICAP-сервер тоже есть возможность блокировки потенциально опасных файлов — это настраивается на стороне ICAP-клиента.

Активация блокировки подозрительных файлов

Исключения
Для почтовых источников в режиме блокировки можно указать адреса получателей, для которых письма не будут блокироваться.

Настройка исключений для блокировки писем по электронным адресам получателей

Обезвреживание писем
Для почтового сервера в режиме фильтрации можно настроить обезвреживание писем. При обезвреживании из писем удаляются все вложения и ссылки, а тело письма преобразуется в безопасный формат. Важно отметить, что удаляются все вложения и ссылки, а не только вредоносные.
Обезвреживать можно все письма или только для указанных почтовых адресов. Также есть возможность обезвреживать только заблокированные письма, и в таком случае они в безопасном виде будут доставлены получателям.

Параметры обезвреживания писем

Пример обезвреженного письма

КарантинДля почтового сервера в режиме фильтрации можно настроить отправку заблокированных писем в карантин. По умолчанию данная опция отключена. Все помещенные в карантин письма будут отображены в специальном разделе веб-интерфейса, где можно будет их просмотреть, удалить, перенаправить письмо одному или нескольким получателям.

Активация карантина для заблокированных писем

Уведомления о блокировке писем
Для почтового сервера в режиме фильтрации можно настроить отправку уведомлений о блокировке писем. Если письмо заблокировано, то можно об этом известить только отправителя, только получателей или тех и других. В большинстве случаев логичнее извещать только получателей, чтобы они смогли обратиться в службу ИБ или к администратору PT Sandbox за уточнениями. А вот извещать потенциальных злоумышленников о том, что письмо было заблокировано и им не удалось заразить рабочую станцию пользователя, не кажется хорошей идеей.
Дополнительно можно ограничить почтовые домены, на которые будут отправляться уведомления, указать ссылку на результаты проверки, изменить язык по умолчанию и добавить текстовое сообщение для получателей уведомления.

PT Sandbox может отправить уведомление на русском или английском языке. Язык уведомления определяется на основе заголовка Content-Language в проверяемом письме. Язык, указанный в параметрах, применяется только в том случае, если этот заголовок отсутствует или в нем указан неподдерживаемый язык. Например, если в настройках языком по умолчанию выбран русский, а в заголовке Content-Language указан испанский язык, то уведомление будет отправлено на русском. А вот если в заголовке указан английский язык, то уведомление было бы направлено на английском, так как этот язык поддерживается в PT Sandbox и нет необходимости переходить на язык по умолчанию.

Заголовок Content-Language наряду с прочими заголовками письма можно посмотреть прямо в карточке объекта-письма. Этот заголовок добавляется в письмо почтовым SMTP-клиентом, отправляющим изначальное письмо (Outlook, Thunderbird, Evolution и т. д.).

Пример уведомления

Правила обработки писем
Для почтовых источников, поддерживающих режим блокировки, есть отдельная вкладка «Правила обработки писем». В ней путем создания цепочки правил можно задать логику обработки писем для определенных отправителей и получателей. Каждое правило содержит название, адреса отправителей и получателей (правило работает, если указанным значениям соответствуют оба: и отправитель, и получатель) и выполняемое действие с письмами. Всего есть четыре типа действий:

• Блокировать, если опасные. Заблокируются опасные файлы для указанных почтовых адресов.
• Блокировать, если опасные или потенциально опасные. Заблокируются опасные и потенциально опасные файлы для указанных почтовых адресов.
• Блокировать, не дожидаясь результата проверки. Заблокируются все файлы для указанных почтовых адресов.
• Пропускать, не дожидаясь результата проверки. Все файлы для указанных почтовых адресов будут пропущены.
•  

В зависимости от выбранного действия будут меняться дополнительные параметры для заполнения. Все эти параметры мы так или иначе встречали и разбирали ранее: проверять письма динамическим анализом, время ожидания результатов проверки, отправить получателю заблокированного письма уведомление или обезвреженное письмо и т. п.
Письмо поочередно проходит по всем правилам, пока пара отправитель-получатель не подойдет под одно из них. Если письмо не попадает ни под одно добавленное пользователем правило, то оно обрабатывается согласно правилу по умолчанию. Это правило добавляется автоматически самим продуктом и его нельзя удалить, но можно изменить действие в этом правиле. По умолчанию это правило пропускает все письма, которые до него добрались. Если есть необходимость временно пропускать все письма, то не обязательно отключать все блокирующие правила — можно установить флажок «Игнорировать блокирующие действия».

Электронные адреса отправителей могут быть взяты из разных полей SMTP-сообщения. PT Sandbox позволяет указать, какое поле смотреть в первую очередь, какое — во вторую, а какие поля не учитывать вовсе.

Окно добавления нового правила

При включении правил обработки писем некоторые параметры проверки перестанут быть доступны (так как они настраиваются в этих самых правилах).

Уведомление о использовании правил обработки писем

Максимальное время ожидания результатов проверки в синхронном режиме
Источники проверки объектов по API могут работать в синхронном и асинхронном режимах. При синхронном режиме после отправки запроса с файлом в PT Sandbox клиент ждет от него результатов проверки. Именно максимальный период этого ожидания устанавливает этот параметр. По истечении указанного периода времени PT Sandbox вынесет вердикт на основании того, что он успел за это время проверить.
В асинхронном режиме после отправки файла на проверку API-клиент сразу получает в ответ ID-задания. Затем он может делать отдельные запросы с указанием этого ID и получать состояние и результаты проверки.

Настройка максимального времени ожидания результатов проверки в синхронном режиме

Вид страницы с уведомлением о блокировкеЕсли источник ICAP-сервер блокирует файл, то он вместо него в ICAP-ответе передает страницу с уведомлением о блокировке. Этот блок параметров позволяет настроить содержимое уведомления: добавить в него тип ВПО, идентификатор задания или же заданное сообщение.