PT Sandbox Getting Started
Работа с источниками
Введение
Для приема объектов на проверку в PT Sandbox используются источники. Каждый источник — это отдельный сервис, управляющий тем, как и откуда продукт получит объект для проверки, что с ним сделать после анализа, а также с помощью каких инструментов этот объект должен быть проверен. Каждый файл, отправленный на проверку в песочницу, должен быть обработан одним из созданных источников.
При создании любого источника необходимо указать его тип и название. Остальные параметры зависят от типа источника. К названию предъявляются следующие требования: состоит только из строчных латинских букв, цифр и дефисов, начинается и заканчивается на букву, длина не менее 5 символов. Доступные типы источников и настройку каждого из них мы рассмотрим в этой статье. Можно создавать несколько источников одного типа.
При создании любого источника необходимо указать его тип и название. Остальные параметры зависят от типа источника. К названию предъявляются следующие требования: состоит только из строчных латинских букв, цифр и дефисов, начинается и заканчивается на букву, длина не менее 5 символов. Доступные типы источников и настройку каждого из них мы рассмотрим в этой статье. Можно создавать несколько источников одного типа.
Пример заполнения названия и типа источника
Почта
Существует три типа источников по проверке электронных писем:
Почтовый сервер в режиме фильтрации
При этом типе источника PT Sandbox встает «в разрыв» на пути следования почтового трафика. В типовой схеме он находится между почтовым шлюзом и почтовым сервером: почтовый шлюз отправляет входящие письма в PT Sandbox, тот их проверяет и доставляет на почтовый сервер.
- Почтовый сервер в режиме фильтрации
- Почтовый сервер в режиме зеркалирования
- Сервер Microsoft Exchange с установленным агентом
Почтовый сервер в режиме фильтрации
При этом типе источника PT Sandbox встает «в разрыв» на пути следования почтового трафика. В типовой схеме он находится между почтовым шлюзом и почтовым сервером: почтовый шлюз отправляет входящие письма в PT Sandbox, тот их проверяет и доставляет на почтовый сервер.
Типовая схема подключения PT Sandbox для работы источника «почтовый сервер в режиме фильтрации»
Этот тип источника может работать в пассивном и блокирующем режимах. В пассивном режиме PT Sandbox пропускает все письма сразу, как только они попали на интерфейс, а проверку производит позже в порядке очереди. При блокирующем режиме письма задерживаются в песочнице до тех пор, пока не будут проверены, а затем на почтовый сервер отправляются только те из них, для которых не было обнаружено угроз. Письма, признанные вредоносными, блокируются, и, опционально, могут быть помещены в карантин.
Итак, для настройки источника необходимо заполнить два блока параметров. Первый — «Параметры подключения», в нем описываются все данные для входящих подключений к PT Sandbox:
Этот тип источника может работать в пассивном и блокирующем режимах. В пассивном режиме PT Sandbox пропускает все письма сразу, как только они попали на интерфейс, а проверку производит позже в порядке очереди. При блокирующем режиме письма задерживаются в песочнице до тех пор, пока не будут проверены, а затем на почтовый сервер отправляются только те из них, для которых не было обнаружено угроз. Письма, признанные вредоносными, блокируются, и, опционально, могут быть помещены в карантин.
Итак, для настройки источника необходимо заполнить два блока параметров. Первый — «Параметры подключения», в нем описываются все данные для входящих подключений к PT Sandbox:
- IP-адрес и порт, на которых PT Sandbox будет принимать письма для проверки.
- Подключение к PT Sandbox по TLS (использовать SMTPS). Если необходимо использовать именно такое подключение, то устанавливаем флажок «Подключаться по SSL». В противном случае PT Sandbox будет предлагать подключающейся стороне использовать расширение протокола SMTP — STARTTLS.
- Фильтрация входящих подключений. Можно включить данную опцию и указать IP-адреса всех узлов, от которых PT Sandbox должен принимать письма на проверку. Если мы вернемся к представленной выше схеме, то необходимо указать IP-адрес почтового шлюза.
Параметры подключения для приема писем на проверку
Второй блок параметров — «Правила маршрутизации почтового трафика». В этом блоке мы указываем уже исходящие подключения: какие письма куда направлять. Первое создаваемое правило будет являться правилом по умолчанию — оно будет применяться к письмам, не попадающим ни под одно другое правило. В самом правиле можно указать один или несколько почтовых серверов, куда будут отправляться письма. Для каждого сервера задаются следующие параметры:
Второй блок параметров — «Правила маршрутизации почтового трафика». В этом блоке мы указываем уже исходящие подключения: какие письма куда направлять. Первое создаваемое правило будет являться правилом по умолчанию — оно будет применяться к письмам, не попадающим ни под одно другое правило. В самом правиле можно указать один или несколько почтовых серверов, куда будут отправляться письма. Для каждого сервера задаются следующие параметры:
- Доменное имя или IP-адрес и порт почтового сервера.
- Приоритет. Чем меньше число, тем выше приоритет. При отправке письма PT Sandbox выбирает сервер с наивысшим приоритетом и пытается подключиться к нему. Если подключиться не удалось, то PT Sandbox выберет сервер с наивысшим приоритетом из оставшихся и т. д., пока письмо не будет отправлено.
- Режим запуска TLS-шифрования. Возможные значения параметра — «Не запускать шифрование», «После подключения, если поддерживается» (STARTTLS) и «При подключении» (SMTPS).
- Аутентификация. Если при подключении к почтовому серверу для отправки письма необходимо пройти аутентификацию, то можно включить данную опцию и указать тип аутентификации, логин и пароль. Среди типов аутентификации поддерживаются PLAIN, CRAM-MD5 и NTLMv2, и также доступна опция выбрать тип аутентификации автоматически — тогда PT Sandbox выберет самый безопасный из поддерживаемых на сервере.
Настройка правила по умолчанию для маршрутизации проверенных писем
При необходимости можно задать дополнительные правила маршрутизации. В них для заполнения доступны те же параметры, что и в правиле по умолчанию, и дополнительно к ним указываются следующие параметры:
При необходимости можно задать дополнительные правила маршрутизации. В них для заполнения доступны те же параметры, что и в правиле по умолчанию, и дополнительно к ним указываются следующие параметры:
- Домен электронной почты получателя. Правило будет применено для писем, чьи получатели находятся в указанном домене. Также для поддоменов третьего уровня и ниже можно задавать маску с помощью звездочки. Например, *.mydomain.local (под эту маску попадет непосредственно сам домен mydomain. local так и все его поддомены). При этом нельзя заменять звездочкой часть поддомена. Например, нельзя использовать маску *corp.mydomain.local, чтобы включить домены maincorp.mydomain.local и sidecorp.mydomain.local.
- Способ маршрутизации. Доступны два варианта — «по адресам почтовых серверов» и «по MX-записям». При первом варианте необходимо будет задать почтовые сервера аналогично тому, как это настраивалось в правиле по умолчанию. При выборе второго варианта никакие сервера указывать не нужно — PT Sandbox будет выполнять DNS-запросы для получения адресов почтовых серверов для получателей из указанного домена.
Настройка дополнительного для маршрутизации проверенных писем
Пример настроенных правил для маршрутизации
Почтовый сервер в режиме зеркалирования
При этом типе источника в PT Sandbox отправляются копии электронных писем. Таким образом, PT Sandbox стоит «сбоку» и не оказывает никакого влияния на распространение писем в системе.
Почтовый сервер в режиме зеркалирования
При этом типе источника в PT Sandbox отправляются копии электронных писем. Таким образом, PT Sandbox стоит «сбоку» и не оказывает никакого влияния на распространение писем в системе.
Типовая схема подключения PT Sandbox для работы источника «Почтовый сервер в режиме зеркалирования». Зеркалирования писем с почтового шлюза.
Типовая схема подключения PT Sandbox для работы источника «Почтовый сервер в режиме зеркалирования». Зеркалирования писем с почтового сервера
Основным механизмом зеркалирования писем является настройка на почтовом шлюзе или почтовом сервере отправки скрытой копии писем (bcc, blind carbon copy) в песочницу. Для каждого источника «Почтовый сервер в режиме зеркалирования» создается контейнер с почтовым сервером. Этот почтовый сервер обслуживает лишь одного пользователя — bcc@sandbox.local. Именно на этот почтовый ящик необходимо отправлять копию писем. Соответственно, необходимо будет настроить маршрутизацию для домена sandbox. local через сервер с PT Sandbox.
Настройка данного источника состоит лишь из одного блока — «Параметры подключения». В отличие от одноименного блока параметров для источника «почтовый сервер в режиме фильтрации», в этом источнике есть возможность дополнительно включить обработку писем по адресам конечных получателей. В этом случае при обработке писем будет использоваться получатель, указанный в заголовке письма «X-Original-Rcpt-To». Если заголовок пустой, то будут использоваться адреса из сообщения RCPT TO протокола SMTP.
Параметры подключения для приема копии писем на проверку
Сервер Microsoft Exchange с установленным агентом
При этом типе источника на почтовый сервер устанавливается специальный агент, который и будет взаимодействовать с PT Sandbox. Этот тип источника может работать в пассивном и блокирующем режимах.
По названию источника можно догадаться, что такой агент поддерживает только почтовые сервера Microsoft Exchange. Кроме того, есть определенный список поддерживаемых версий. Сам агент не входит в стандартный дистрибутив продукта, но его всегда можно запросить на портале технической поддержки.
Для настройки источника достаточно указать IP-адрес и порт сервера, на котором установлен агент. PT Sandbox заранее проставит порт 7536, используемый по умолчанию, но вы вольны его изменить, если при установке агента был указан другой порт для прослушивания. Важно заметить, что именно PT Sandbox подключается к агенту, а не наоборот.
Сервер Microsoft Exchange с установленным агентом
При этом типе источника на почтовый сервер устанавливается специальный агент, который и будет взаимодействовать с PT Sandbox. Этот тип источника может работать в пассивном и блокирующем режимах.
По названию источника можно догадаться, что такой агент поддерживает только почтовые сервера Microsoft Exchange. Кроме того, есть определенный список поддерживаемых версий. Сам агент не входит в стандартный дистрибутив продукта, но его всегда можно запросить на портале технической поддержки.
Для настройки источника достаточно указать IP-адрес и порт сервера, на котором установлен агент. PT Sandbox заранее проставит порт 7536, используемый по умолчанию, но вы вольны его изменить, если при установке агента был указан другой порт для прослушивания. Важно заметить, что именно PT Sandbox подключается к агенту, а не наоборот.
Параметры подключения для приема входящих соединений от агента
Checkme
При этом типе источника на почтовом сервере создается специальный почтовый ящик, куда пользователи могут отправлять письма с вложениями на проверку. PT Sandbox периодически проверяет наличие новых писем в этом ящике, забирает их, проверяет письма, и вложенные в них файлы и ссылки, а затем высылает пользователю ответное письмо с результатами проверки.
Почтовый ящик может находиться как на локальном почтовом сервере, так и у провайдера почтовых услуг (Gmail, Яндекс Почта, Mail.ru и т. д.).
Важно, чтобы этот ящик был выделен именно для проверки файлов и ссылок. Не рекомендуется использование данного почтового ящика людьми и другими сервисами. Это связано с тем, что служба Checkme забирает на проверку только непрочитанные и/или неотвеченные письма. Если кто-то прочитает письмо и ответит на него ранее, чем это сделает служба Checkme, то оно не будет проверено.
Важно, чтобы этот ящик был выделен именно для проверки файлов и ссылок. Не рекомендуется использование данного почтового ящика людьми и другими сервисами. Это связано с тем, что служба Checkme забирает на проверку только непрочитанные и/или неотвеченные письма. Если кто-то прочитает письмо и ответит на него ранее, чем это сделает служба Checkme, то оно не будет проверено.
В настройках источника есть три блока с параметрами. Первый блок — «Параметры подключения». В этом блоке мы указываем, как и к каким почтовым серверам ему подключаться, чтобы прочитать отправленные на проверку письма:
- Доменное имя или IP-адрес и порт IMAP-сервера. К этому серверу PT Sandbox будет подключаться по протоколу IMAP, чтобы прочитать письма, отправленные на checkme-ящик.
- Если необходимо подключаться с использованием шифрования (IMAPS), то ставим флажок «Подключаться по SSL».
- Тип аутентификации IMAP. Настраивается аналогично параметру «Тип аутентификации» для источника «Почтовый сервер в режиме фильтрации».
- Логин и пароль. Учетные данные от почтового ящика.
Параметры подключения к IMAP-серверу
Следующий блок содержит в себе параметры подключения, не для получения писем для анализа, а для отправки ответных писем с результатами проверки. Отправку ответных писем можно отключить вовсе с помощью переключателя.
Следующий блок содержит в себе параметры подключения, не для получения писем для анализа, а для отправки ответных писем с результатами проверки. Отправку ответных писем можно отключить вовсе с помощью переключателя.
- Доменное имя или IP-адрес и порт SMTP-сервера. К этому серверу PT Sandbox будет подключаться по протоколу SMTP для отправки писем с результатами проверки. Чаще всего, это тот же сервер, что и для IMAP, использующий другой порт.
- Режим запуска TLS-шифрования. Настраивается аналогично одноименному параметру для источника «Почтовый сервер в режиме фильтрации».
- Тип аутентификации SMTP. Содержит все варианты, доступные для аутентификации по IMAP, и дополнительно содержит опцию «Без аутентификации». Если выбрана эта опция, то полей для ввода логина и пароля не появится.
Параметры подключения к SMTP-серверу
Третий блок содержит всего лишь один параметр — адрес почтового ящика.
Третий блок содержит всего лишь один параметр — адрес почтового ящика.
Настройка почтового ящика для службы checkme
ICAP
В PT Sandbox есть два типа источников, работающих с протоколом ICAP:
ICAP-сервер
При использовании этого типа источника PT Sandbox выполняет роль ICAP-сервера и ожидает входящих подключений, а роль ICAP-клиентов выполняют различные системы по мониторингу и анализу сетевого трафика (NGFW, NTA, WAF, прокси и другие). Они отправляют ICAP-запросы с объектами на проверку, а PT Sandbox отправляет им ICAP-ответы с результатами.
Этот тип источника поддерживает все три режима проверки — пассивный, блокирующий и режим ожидания. При пассивном режиме PT Sandbox сразу после получения ICAP-запроса извлекает из него объект для проверки и без изменений отправляет его обратно. Таким образом, никакого влияния на распространение файлов в информационной инфраструктуре не оказывается. При блокирующем режиме PT Sandbox принимает ICAP-запрос, извлекает его содержимое, проверяет его, а затем отправляет ICAP-клиенту или файл без изменений, если он оказался безопасным, или отправляет вместо файла HTML-страницу с уведомлением о блокировке, если в файле были обнаружены угрозы. Таким образом, PT Sandbox ограничивает распространение вредоносного ПО. Режим ожидания — нечто среднее между пассивным и блокирующим режимами. При использовании данного режима PT Sandbox всегда отправляет клиенту файл без изменений, однако, как и в блокирующем режиме, добавляет к ICAP-ответу поле с вердиктом проверки. В таком случае решение и действия по блокировке файла на основе выданного вердикта возлагаются на ICAP-клиента (или другие средства защиты). Однако, на практике такой сценарий встречается крайне редко.
Источник работает сразу во всех трех режимах, а не переключается между ними. Режим, используемый при проверке того или иного файла, определяется в ICAP-запроса на основе указанного URL-пути.
/scanresponse?modify=y&timeout=15&block-unwanted=y
- ICAP-сервер
- PT NAD
ICAP-сервер
При использовании этого типа источника PT Sandbox выполняет роль ICAP-сервера и ожидает входящих подключений, а роль ICAP-клиентов выполняют различные системы по мониторингу и анализу сетевого трафика (NGFW, NTA, WAF, прокси и другие). Они отправляют ICAP-запросы с объектами на проверку, а PT Sandbox отправляет им ICAP-ответы с результатами.
Этот тип источника поддерживает все три режима проверки — пассивный, блокирующий и режим ожидания. При пассивном режиме PT Sandbox сразу после получения ICAP-запроса извлекает из него объект для проверки и без изменений отправляет его обратно. Таким образом, никакого влияния на распространение файлов в информационной инфраструктуре не оказывается. При блокирующем режиме PT Sandbox принимает ICAP-запрос, извлекает его содержимое, проверяет его, а затем отправляет ICAP-клиенту или файл без изменений, если он оказался безопасным, или отправляет вместо файла HTML-страницу с уведомлением о блокировке, если в файле были обнаружены угрозы. Таким образом, PT Sandbox ограничивает распространение вредоносного ПО. Режим ожидания — нечто среднее между пассивным и блокирующим режимами. При использовании данного режима PT Sandbox всегда отправляет клиенту файл без изменений, однако, как и в блокирующем режиме, добавляет к ICAP-ответу поле с вердиктом проверки. В таком случае решение и действия по блокировке файла на основе выданного вердикта возлагаются на ICAP-клиента (или другие средства защиты). Однако, на практике такой сценарий встречается крайне редко.
Источник работает сразу во всех трех режимах, а не переключается между ними. Режим, используемый при проверке того или иного файла, определяется в ICAP-запроса на основе указанного URL-пути.
- Проверка в пассивном режимеREQMOD и RESPMOD:/bypass
- Проверка в режиме ожиданияREQMOD: /scanrequest?modify=nRESPMOD: /scanresponse?modify=n
- Проверка в блокирующем режимеREQMOD: /scanrequest?modify=yRESPMOD: /scanresponse?modify=y
/scanresponse?modify=y&timeout=15&block-unwanted=y
Важно заметить, что решение о блокировке для данного источника выносится только на основе статического анализа, остальные источники с блокирующим режимом учитывают и результаты поведенческого анализа в том числе. Это сделано для того, чтобы не вносить задержки в передачу сетевого трафика. Если письмо, например, дойдет до получателя на несколько минут позже, то критичного ничего не случится. А вот если каждая страничка в браузере будет открываться даже хотя бы по две минуты (стандартное время проверки файлов в ВМ), то это сильно повлияет на рабочие процессы.
Настройка данного источника состоит лишь из одного блока с параметрами подключения.
- IP-адрес ICAP-сервера и порт (по умолчанию 1344). На указанном адресе и порту PT Sandbox будет ожидать входящие подключения.
- Фильтрация входящих подключений. При необходимости можно ограничить список ICAP-клиентов, которые могут подключаться к PT Sandbox.
Настройка параметров подключения ICAP-сервера для получения файлов на проверку от произвольного ICAP-клиента
PT NAD
PT NAD — это особый вид источника, заточенный на проверку файлов от одноименной NTA-системы, разрабатываемой компанией Positive Technologies. PT NAD извлекает из копии трафика файлы и отправляет их на проверку в PT Sandbox по ICAP, а потом прикрепляет результаты проверки к сессиям, в которых эти файлы были найдены. Так как PT NAD работает с копией трафика, то источник работает только в пассивном режиме.
Настройки аналогичны с источником типа «ICAP-сервер», только по умолчанию используется порт 2344.
PT NAD
PT NAD — это особый вид источника, заточенный на проверку файлов от одноименной NTA-системы, разрабатываемой компанией Positive Technologies. PT NAD извлекает из копии трафика файлы и отправляет их на проверку в PT Sandbox по ICAP, а потом прикрепляет результаты проверки к сессиям, в которых эти файлы были найдены. Так как PT NAD работает с копией трафика, то источник работает только в пассивном режиме.
Настройки аналогичны с источником типа «ICAP-сервер», только по умолчанию используется порт 2344.
Настройка параметров подключения ICAP-сервера для получения файлов на проверку от PT NAD
Сетевые хранилища
В PT Sandbox два типа источников могут проверять объекты в сетевых хранилищах:
Этот тип источника проверяет объекты в сетевом хранилище, доступном по протоколу NFS (v3), SMB (v2 или v3) или S3. Источник работает только в пассивном режиме и не может проводить с файлами никаких операций, кроме чтения. Соответственно, никаких прав, кроме права на чтение общей папки, выдавать для PT Sandbox не нужно. Файл отправляется на анализ, если он не проверялся вообще или проверялся более 4 недель назад и его хэш-сумма изменилась со времени последней проверки.
В параметрах источника необходимо указать, как и куда должен подключаться PT Sandbox. Сперва необходимо выбрать протокол. Набор оставшихся полей для заполнения может меняться в зависимости от выбранного протокола.
Если выбран протокол NFS, то необходимо указать доменное имя или IP-адрес узла с папкой, а также порт подключения. Если используется порт по умолчанию, то поле можно оставить пустым. Также необходимо указать путь к папке.
- Общая папка
- Папка-шлюз
Этот тип источника проверяет объекты в сетевом хранилище, доступном по протоколу NFS (v3), SMB (v2 или v3) или S3. Источник работает только в пассивном режиме и не может проводить с файлами никаких операций, кроме чтения. Соответственно, никаких прав, кроме права на чтение общей папки, выдавать для PT Sandbox не нужно. Файл отправляется на анализ, если он не проверялся вообще или проверялся более 4 недель назад и его хэш-сумма изменилась со времени последней проверки.
В параметрах источника необходимо указать, как и куда должен подключаться PT Sandbox. Сперва необходимо выбрать протокол. Набор оставшихся полей для заполнения может меняться в зависимости от выбранного протокола.
Если выбран протокол NFS, то необходимо указать доменное имя или IP-адрес узла с папкой, а также порт подключения. Если используется порт по умолчанию, то поле можно оставить пустым. Также необходимо указать путь к папке.
Параметры доступа к общей папке по протоколу NFS
Если выбран протокол SMB, то добавляются параметры аутентификации: тип аутентификации (Kerberos или NTLM) и логин и пароль. Если выбран тип аутентификации Kerberos, то также необходимо указать IP-адрес контроллера домена, а логин указывается вместе с доменом.
Если выбран протокол SMB, то добавляются параметры аутентификации: тип аутентификации (Kerberos или NTLM) и логин и пароль. Если выбран тип аутентификации Kerberos, то также необходимо указать IP-адрес контроллера домена, а логин указывается вместе с доменом.
Параметры доступа к общей папке по протоколу SMB
Если выбран протокол S3 (подключение к объектовому облачному хранилищу), то пропадает поле с типом аутентификации, но добавляется опция Использовать SSL при подключении к хранилищу и, если эта опция выбрана, то при необходимости можно установить флажок Проверять подлинность SSL-сертификата. Также можно указать код региона, если это поддерживается провайдером облачных услуг.
Если выбран протокол S3 (подключение к объектовому облачному хранилищу), то пропадает поле с типом аутентификации, но добавляется опция Использовать SSL при подключении к хранилищу и, если эта опция выбрана, то при необходимости можно установить флажок Проверять подлинность SSL-сертификата. Также можно указать код региона, если это поддерживается провайдером облачных услуг.
Параметры доступа к общей папке по протоколу S3
Папка-шлюз
При этом типе источника используется три сетевых папки: папка-шлюз, папка для безопасных файлов и папка карантина. PT Sandbox берет файлы из папки-шлюза и проверяет их. Файлы, для которых угроз не было обнаружено, он помещает в папку для безопасных файлов, а файлы, признанные вредоносными, помещаются в папку карантина. Поэтому, в отличие от источника с типом «Общая папка», при использовании этого источника для PT Sandbox необходимо выдать права на чтение, запись и удаление файлов во всех трех папках. Источник умеет работать как в пассивном, так и в блокирующем режиме. При работе в пассивном режиме файлы не задерживаются в папке-шлюзе, а сразу переносятся в папку для безопасных файлов еще до начала проверки. Соответственно, папка карантина при таком сценарии не используется.
В настройках источника необходимо указать параметры для подключения ко всем трем папкам. Параметры подключения аналогичны параметрам для источника с типом «Общая папка». Если параметры подключения для папок совпадают с параметрами для папки-шлюза, то можно поставить соответствующий флажок и поля заполнятся автоматически.
Папка-шлюз
При этом типе источника используется три сетевых папки: папка-шлюз, папка для безопасных файлов и папка карантина. PT Sandbox берет файлы из папки-шлюза и проверяет их. Файлы, для которых угроз не было обнаружено, он помещает в папку для безопасных файлов, а файлы, признанные вредоносными, помещаются в папку карантина. Поэтому, в отличие от источника с типом «Общая папка», при использовании этого источника для PT Sandbox необходимо выдать права на чтение, запись и удаление файлов во всех трех папках. Источник умеет работать как в пассивном, так и в блокирующем режиме. При работе в пассивном режиме файлы не задерживаются в папке-шлюзе, а сразу переносятся в папку для безопасных файлов еще до начала проверки. Соответственно, папка карантина при таком сценарии не используется.
В настройках источника необходимо указать параметры для подключения ко всем трем папкам. Параметры подключения аналогичны параметрам для источника с типом «Общая папка». Если параметры подключения для папок совпадают с параметрами для папки-шлюза, то можно поставить соответствующий флажок и поля заполнятся автоматически.
Параметры доступа к папке-шлюзу
Параметры доступа к папке для безопасных файлов. В примере используются те же параметры, что и для папки-шлюза
Параметры доступа к общей папке карантина
API
В PT Sandbox есть публичный API, позволяющий запрашивать определенную информацию о продукте и отправлять файлы на проверку. Параметры проверки конкретного файла можно передавать как вместе с самим файлом, так и использовать параметры, настроенные на источнике в PT Sandbox. В зависимости от этого, выделяют два типа источников:
- API c выбранными параметрами проверки
- API с передаваемыми параметрами проверки
Поле выбора токена доступа
Немного о токенах. Каждый запрос должен содержать в себе токен доступа, который заранее создается в PT Sandbox. Каждый токен может предоставлять доступ к выполнению одного или нескольких действий из списка:
Немного о токенах. Каждый запрос должен содержать в себе токен доступа, который заранее создается в PT Sandbox. Каждый токен может предоставлять доступ к выполнению одного или нескольких действий из списка:
- Проверка с параметрами источника. Это разрешение необходимо для рассматриваемого типа источника
- Проверка с передаваемыми параметрами
- Просмотр всех заданий
Разрешенные действия, назначаемые токену
Окно создания токена
После создания откроется окно с самим токеном. Его необходимо скопировать и сохранить в надежном месте. После закрытия окна посмотреть сам токен будет невозможно.
После создания откроется окно с самим токеном. Его необходимо скопировать и сохранить в надежном месте. После закрытия окна посмотреть сам токен будет невозможно.
Окно с токеном доступа для его копирования и дальнейшего сохранения
Веб-интерфейс
Также у пользователей есть возможность вручную загружать объекты для проверки через веб-интерфейс. Для этого есть кнопка «Проверить объекты» в правом верхнем углу, доступная на любой вкладке.
Расположение кнопки для проверки объектов через веб-интерфейс
Если нажать на эту кнопку, откроется окно с полем загрузки объектов и параметрами проверки. Параметры проверки для всех типов источников мы рассмотрим в следующей статье. Здесь мы обратим ваше внимание, что пользователь может загружать на проверку файлы и ссылки, а также выбирать один из трех режимов запуска поведенческого анализа файлов:
Если нажать на эту кнопку, откроется окно с полем загрузки объектов и параметрами проверки. Параметры проверки для всех типов источников мы рассмотрим в следующей статье. Здесь мы обратим ваше внимание, что пользователь может загружать на проверку файлы и ссылки, а также выбирать один из трех режимов запуска поведенческого анализа файлов:
- Автоматический. PT Sandbox самостоятельно определит, как открыть/запустить файл, основываясь на его расширении и типе.
- По команде. Можно указать команду, которую выполнит PT Sandbox во время ПА.
- Интерактивный режим. В этом режиме PT Sandbox полностью предоставляет доступ пользователю к ВМ с файлом, где он может самостоятельно выполнять с ним любые действия и проверять его на аномалии. PT Sandbox регистрирует все события и процессы, а затем выносит вердикт.
Окно проверки объекта через веб-интерфейс
Заключение
Мы надеемся, что после прочтения данной статьи у читателя сложилась полная картина о всех источниках в PT Sandbox: какие они бывают, как подключаются и настраиваются. Однако пока мы только указали PT Sandbox, как принимать объекты для анализа и, в некоторых случаях, что делать с ними после проверки. Но мы не указали ему, как эти объекты должны проверяться. Для этого существует раздел с параметрами проверки, и о них рассказываем в следующей статье.
Может быть интересно
