Введение в PT Sandbox Getting Started

Кто такой этот ваш PT Sandbox?
PT Sandbox — сетевая песочница от компании Positive Technologies.
Определение хоть и краткое, но достаточно исчерпывающее. Тем не менее тем, кто не знаком с понятием «сетевая песочница», было бы неплохо разобраться, что же это такое. Термин «песочница» используется в сфере IT для обозначения некоторой изолированной среды, в которой можно безопасно для внешних систем выполнять различные действия.

В том числе в этой среде можно проверить работу различного ПО на предмет наличия в них угроз безопасности — этим и занимаются решения класса «песочница». Песочницы можно разделить на две большие группы — локальные и сетевые. Локальные песочницы располагаются непосредственно на том узле, который они защищают — они часто входят в состав ОС или антивирусов. Сетевые же песочницы располагаются на отдельных, предназначенных только для них узлах и проверяют файлы, получаемые из различных источников: электронные письма, агенты на конечных точках, файловые хранилища и т. д.

Получается, если PT Sandbox является сетевой песочницей, то он умеет запускать в изолированной среде файлы и следить за их поведением, выявлять вредоносное ПО и блокировать его попадание в информационную инфраструктуру организации.

Чем же PT Sandbox отличается от других сетевых песочниц? Отличительных черт у данного продукта достаточно много — их мы будем рассматривать на протяжении всего цикла статей. Главная же особенность PT Sandbox, на наш взгляд, заключается в очень гибкой кастомизации виртуальных сред, в которых производится анализ файлов — это позволяет учитывать особенности инфраструктуры и более надежно выявлять угрозы в файлах. Это выражается в поддержке большого количества операционных систем и возможности устанавливать и настраивать на них необходимое прикладное ПО — то же самое, что и на рабочих станциях сотрудников или на серверах. В итоге, файлы проверяются в виртуальных машинах, максимально приближенных к реальным узлам в сети организации.

Зачем нужны сетевые песочницы?
Сетевые песочницы проверяют файлы. Антивирусы делают то же самое. Так почему бы не ограничиться только ими? Можно выделить несколько основных причин:

1. Угрозы нулевого дня. Антивирусы опираются на базу знаний об уже известных угрозах. Если используется ВПО, которое ранее нигде не встречалось и не использовалось, то его не получится поймать сигнатурами. При этом анализ поведения такого файла в виртуальной среде выявит угрозы безопасности.
2. Обход антивирусных средств защиты. За долгое время существования антивирусов злоумышленники придумали множество механизмов их обхода. Особенно часто эти методы применяются при целевых атаках. Обойти сетевую песочницу гораздо труднее.
3. Покрытие инфраструктуры. Не на все устройства можно установить антивирус или агент (например, на маломощные IoT-устройства). И не всегда можно проконтролировать наличие защиты на конечной точке — особенно актуально при использовании подхода BYOD (Bring Your Own Device), когда сотрудники/пользователи могут подключаться в локальную сеть со своих личных устройств.

Все это приводит нас к тому, что средств защиты конечных точек (EPP, EDR) недостаточно, сетевая песочница покрывает гораздо более широкий ландшафт угроз. Тем не менее, это не значит, что защита на конечных точках не нужна — эти решения должны работать совместно и дополнять друг друга. Например, агент EDR на узле может отправлять файлы в песочницу на проверку, или антивирусы проверяют файлы, передаваемые по каналам, недоступным песочнице (например, файлы, принесенные на флешке).

В дальнейшем мы  будем обращаться к терминам «задание» и «объекты» — это основные сущности, с которыми работает продукт и, следовательно, его пользователь, поэтому важно их понимать и не путать между собой. Цепочка событий такая: файл или электронное письмо приходит в PT Sandbox на проверку → формируется задание на проверку этого файла или письма → сам файл или письмо, а также вложенные в них файлы и ссылки являются объектами и принадлежат этому заданию. Например, на изображении ниже задание на проверку было порождено электронным письмом с темой «Testing Sandbox». В письме содержалось вложение — PowerShell скрипт. Письмо, скрипт и тело письма — это три разных объекта для проверки.

Пример задания и вложенных в него объектов:

Все объекты отправляются на статический анализ, который включает в себя проверку антивирусами, YARA-правилами, индикаторами компрометации. Для работы с ссылками также есть модуль PT Categorizer, который определяет категорию ссылки в соответствии с ее тематикой.

Некоторые объекты также отправляются на поведенческий анализ (ПА) в виртуальных машинах (ВМ), которые располагаются на узлах PT Sandbox: одновременно в одной ВМ проверяется один файл. Категории файлов, отправляемых на ПА, определяются настройками продукта и здравым смыслом возможностью проверить сам файл (перечень расширений файлов, которые подлежат проверке, можно посмотреть по ссылке). Во время ПА PT Sandbox запускает/открывает файлы в изолированной среде и отслеживает все совершаемые действия: запуск подпроцессов, обращения к памяти, записи в реестр, подключения к внешним узлам и т. д. Кроме того, PT Sandbox анализирует сетевой трафик, который генерируется во время проверки файла модулем ptdpi. Это тот же самый модуль, что используется в анализаторе сетевого трафика PT NAD.

На основе всех собранных данных PT Sandbox выносит вердикт, является ли объект вредоносным. Если хотя бы один объект признан вредоносным, то и все задание получает такой же вердикт. Дальнейшие действия с файлом зависят от вердикта задания, порожденного этим файлом, источника, откуда файл был получен, и режима, в котором этот источник работает. Всего есть три режима:

1. Пассивный режим. В этом режиме PT Sandbox сразу пропускает в информационную инфраструктуру поступившие на проверку письма и файлы как только их получил, еще даже до начала проверки. Также этот режим используется источниками, которые передают в PT Sandbox копии объектов и, соответственно, не предполагают возможность блокировки. Тогда и не требуется никаких дальнейших действий с данными объектами.
2. Блокирующий режим. В этом режиме PT Sandbox предотвращает попадание в информационную инфраструктуру объектов, признанных вредоносными по результатам анализа.
3. Режим ожидания. В этом режиме PT Sandbox возвращает источнику файла результат проверки, а дальнейшее распространение файла в информационной инфраструктуре контролируется другими средствами.

На этом работа с файлом заканчивается.

Инсталляция PT Sandbox может состоять из одного или нескольких узлов. В каждой инсталляции должен быть один и только один основной узел. Он управляет остальными узлами, предоставляет пользователям веб-интерфейс, следит за состоянием продукта. На этом же узле располагаются средства статического анализа. А вот функция поведенческого анализа на этом узле опциональна, и ее наличие зависит от необходимой конфигурации PT Sandbox. На основном узле можно развернуть до 15 ВМ, в которых будут проверяться файлы. Базовая конфигурация (aka All-in-One, aka stand-alone) как раз состоит из одного основного сервера с функцией поведенческого анализа.

Поведенческий анализ — самый ресурсоемкий процесс в продукте. При большом потоке файлов один сервер не сможет справиться с их обработкой, поэтому в продукте предусмотрена возможность горизонтального масштабирования с помощью дополнительных узлов. На этих узлах располагаются только виртуальные машины для проверки файлов и службы ПА. На одном таком узле можно развернуть уже до 45 ВМ.

Также может возникнуть необходимость организовать отказоустойчивый кластер, так как PT Sandbox может работать в блокирующем режиме и его выход из строя может повлиять на распространение файлов в системе и нарушить бизнес-процессы. Для этого к основному узлу можно добавить резервные. По своему содержанию эти узлы — копии основного узла, готовые его заменить, если тот выйдет из строя. Важно, что этих узлов должно быть четное количество — 2, 4, 6 и т. д. А вместе с основным узлом суммарно их должно быть, соответственно, нечетное количество — 3, 5, 7 и т. д. Это ограничение связано с тем, что PT Sandbox построен на микросервисной архитектуре и использует в своей работе Kubernetes, а нечётное количество узлов необходимо для сбора кворума (большинства голосов). Кворум требуется для выбора нового основного узла среди резервных.

PT Sandbox — это инструмент, который превращает пассивное ожидание угроз в активное, гибкое и глубоко адаптивное их выявление. Благодаря кастомизации сред, поддержке множества источников и интеграции с другими средствами защиты, PT Sandbox закрывает критические пробелы, которые остаются за пределами видимости и возможностей антивирусов и EDR-решений. Он не заменяет их — он дополняет, усиливает и делает систему безопасности целостной.