Remote Shell ба Forensic өгөгдөл цуглуулах: incident-д хамрагдсан endpoint-ийг алсаас шалгах

Remote Shell

GravityZone нь интерактив shell боломжийг санал болгодог. Үүгээр шалгаж буй incident-д хамрагдсан төхөөрөмж (endpoint) руу алсаас холбогдож, remote shell session нээгээд endpoint-ийн үйлдлийн систем дээр shell командыг шууд ажиллуулна. Ингэснээр аюулыг даруй зогсоох эсвэл цаашдын шинжилгээнд зориулж forensic өгөгдөл цуглуулах боломжтой.

Энэ боломж дараах үйлдлийн системд ажиллана:

• Windows
• Linux
• MacOS

Remote Shell session-ий урьдчилсан нөхцөл

Remote shell session эхлүүлэхийн тулд дараах нөхцөлийг хангасан байх ёстой:

• Таны байгууллага дараах шийдлүүдийн аль нэгийн идэвхтэй лицензтэй байна:

- EDR эсвэл XDR агуулсан Bitdefender бүтээгдэхүүн, мөн Remote Shell нэмэлт (add-on) лиценз

> Тэмдэглэл: EDR эсвэл XDR агуулсан бүтээгдэхүүнүүдийн талаар дэлгэрэнгүйг Features by product хуудаснаас үзнэ үү.

- Bitdefender MDR, Bitdefender MDR Plus, Bitdefender MXDR эсвэл Bitdefender MXDR Plus

> Тэмдэглэл: Байгууллагад дээрх лицензүүд байхгүй бол оронд нь Remote Connection боломжийг ашиглаж болно.

• GravityZone Control Center болон endpoint-ийн хоорондох аюулгүй холболтын тулд байгууллагын сүлжээний галт хана (firewall) DigiCert серверүүд рүү очих урсгалыг зөвшөөрсөн байна.

> Чухал:
> - Шаардлагатай холболтыг зөвшөөрөхийн тулд галт ханын дүрэм тохируулах шаардлагатай байж магадгүй. Дүрэмд оруулах вэб хаягийн жишээ:
>
> - http://crl3.digicert.com
> - http://crl4.digicert.com
> - http://ocsp.digicert.com
>
> - GravityZone серверийн сертификатыг шалгахад ашиглагддаг certificate revocation list (хүчингүй болсон сертификатын жагсаалт)-ийг автоматаар татахын тулд DigiCert серверүүд рүү сүлжээгээр хандах эрх шаардлагатай.
>
> - Та өөрийн сертификат өгөх шаардлагагүй. Endpoint-ууд DigiCert-ээр гарын үсэг зурагдсан сертификатыг автоматаар ашиглана.

• Хэрэв байгууллага тань endpoint болон GravityZone-ийн хоорондох урсгалыг тайлдаг (decrypt) эсвэл certificate pinning хийдэг MITM шийдэл ашигладаг бол дараах Bitdefender Cloud серверүүд рүү 443 порт дээр гадагш холбогдохыг зөвшөөрсөн байх ёстой:

- cloud-wbs-endpoints.gravityzone.bitdefender.com
- cloudap-wbs-endpoints.gravityzone.bitdefender.com
- cloudgz-wbs-endpoints.gravityzone.bitdefender.com

• Таны данс дээр Manage Networks болон Advanced Investigation эрх идэвхжсэн байна. Дэлгэрэнгүйг User rights хуудаснаас үзнэ үү.

• Хэрэв GravityZone-ийн нэвтрэх мэдээллээр нэвтэрдэг бол two-factor authentication (2FA) (хоёр шатлалт баталгаажуулалт) идэвхжсэн байна.

> Тэмдэглэл: Хэрэв та гуравдагч этгээдийн single sign-on (SSO) интеграцаар нэвтэрдэг бол энэ боломжид хандахад 2FA шаардлагагүй.

• Таны байгууллага дараах шалгуурыг хангана:

- Company type (байгууллагын төрөл): Customer

- Company management (байгууллагын удирдлага): Partner удирддаггүй

> Чухал:
> - Хэрэв байгууллагыг дээд түвшнээс удирддаг бол Policy > General > Agent > Communication хэсэгт Remote Shell connection with endpoint сонголт харагдахгүй.
> - MDR-д бүртгэгдсэн (onboarded) Customer байгууллагад энэ шаардлага хамаарахгүй.

• Зорилтот endpoint-ийн policy-ийн General > Agent > Communication хэсэгт Remote Shell connection with endpoint идэвхжсэн байна. Дэлгэрэнгүйг Communication хуудаснаас үзнэ үү.

> Чухал:
> - Таны байгууллага MDR-д бүртгэгдсэн Customer бол энэ шаардлага хамаарахгүй.
> - Зорилтот endpoint дээр Remote Shell модулийг идэвхжүүлэхэд хэдэн минут шаардагдаж болно.
> - Энэ модулийг идэвхжүүлэх нь endpoint дээрх security agent-ийг дахин тохируулна. Энэ нь agent-ийн шинэчлэлтийг эхлүүлж, agent-ийг хамгийн сүүлийн хувилбар эсвэл policy-ийн General > Agent > Update > Update ring хэсэгт тохируулсан хувилбар хүртэл шинэчилнэ.

• Зорилтот endpoint асаалттай бөгөөд онлайн байна.

> Тэмдэглэл: Remote Shell Connection хуудсанд endpoint-ийн дэлгэрэнгүй мэдээлэл, түүний дотор одоогийн Online эсвэл Offline төлвийг шалгаж болно.

• Зорилтот endpoint-ийн policy-ийн Network Protection > Content Control > Application Blacklisting жагсаалтад powershell.exe нэмэгдээгүй байна.

Remote Shell session-ий хязгаарлалт

Remote Shell session нь үйл ажиллагааны зарим хязгаарлалттай:

• Нэг хэрэглэгч нэг зорилтот endpoint дээр зөвхөн нэг идэвхтэй session-тэй байж болно.
• Нэг хэрэглэгч өөр өөр endpoint дээр зэрэг тав хүртэл идэвхтэй session-тэй байж болно.
• Нэг зорилтот endpoint-д зэрэг таваас илүүгүй өөр хэрэглэгч холбогдож болно.
• Session-ий хөтчийн таб 10 минутаас удаан фокусгүй (идэвхгүй) байвал идэвхтэй session автоматаар таслагдана.

Remote Shell session эхлүүлэх

Endpoint дээр remote shell session нээхийн тулд дараах алхмуудыг хийнэ:

1. 1Incidents хуудаснаас шалгахыг хүссэн incident-ээ сонгоод Graph харагдац руу орно.

2. 2Incident graph дээрээс endpoint node-ийг сонгож Endpoint details самбарыг дэлгээд Remote Shell товчийг дарна.

> Тэмдэглэл: Товч идэвхгүй байвал, уг үйлдэл яагаад боломжгүйг тайлбарласан зөвлөмж (tooltip) гарна. Дэлгэрэнгүйг дээрх Remote Shell session-ий урьдчилсан нөхцөл-өөс үзнэ үү.

Remote Shell товчийг дарахад Remote Shell Connection хуудас хөтчийн шинэ табд нээгдэнэ.

3. 32FA идэвхжүүлсэн бол remote session-ийг дараах байдлаар эхлүүлнэ:

1. Authenticator апп-аас үүсгэсэн 2FA кодыг оруулж Start session товчийг идэвхжүүлнэ.

2. Товч идэвхжсэний дараа Start session товчийг дарж зорилтот endpoint дээр remote shell session эхлүүлнэ.

4. 42FA идэвхжүүлээгүй бол remote session-ийг дараах байдлаар эхлүүлнэ:

1. Start session товчийг дарна.

Таныг байгууллагынхаа нэвтрэх хуудас руу шилжүүлнэ.

2. Домэйн хэрэглэгчийн нэр, нууц үгээ оруулна.

Таныг GravityZone руу буцаан шилжүүлж, remote session автоматаар эхэлнэ.

Холболт тогтсон үед та root эрхтэй хэрэглэгчээр нэвтэрч, сэжигтэй үйлдлийг шалгах эсвэл аюулыг зогсоох олон төрлийн forensic үйлдэл хийх боломжтой болно.

Session-ий бүх log бичигдэх бөгөөд session дуусахад гаралт бүхлээрээ татаж авах боломжтой болно.

Файл байршуулах (Uploading files)

Энэ боломжоор өөр endpoint руу файлыг алсаас байршуулна. Таны өгөгдлийн аюулгүй байдлыг хангахын тулд файлууд дамжих, хадгалагдах, ашиглагдах үедээ шифрлэгдсэн байдаг. Нэг удаад 20-оос олонгүй файл байршуулж болох бөгөөд нийт хэмжээ 256 MB-аас хэтрэхгүй байх ёстой.

Remote Shell боломжоор файл байршуулахдаа дараах алхмуудыг хийнэ:

1. 1Remote shell session эхлүүлнэ.

2. 2Remote Shell Connection цонхонд Upload товчийг дарна.

Энэ нь Upload files хуудсыг нээнэ.

3. 3Destination file path талбарт файлууд хадгалагдах локал хавтасны замыг оруулна. Энэ нь зорилтот endpoint дээрх хүчинтэй зам байх ёстой. Тухайн хавтсанд хандах шаардлагатай эрхтэй эсэхээ шалгаарай.

> Тэмдэглэл: Remote Shell нь сүлжээний хуваалцсан диск (shared network drive) рүү заасан файлын замыг дэмждэггүй.

4. 4Байршуулах файлаа сонгохын тулд Browse товчийг дарж, файлаа олоод Open товчийг дарна.

5. 5Upload товчийг дарна.

Upload started. Do not end the remote session мессеж алга болтол хүлээнэ. Үүний дараа хуудсыг хааж болно.

Файл татах (Downloading files)

Энэ боломжоор өөр endpoint-оос файлыг алсаас татаж авна. Таны өгөгдлийн аюулгүй байдлыг хангахын тулд файлууд дамжих, хадгалагдах, ашиглагдах үедээ шифрлэгдсэн байдаг.

Та нэг файл эсвэл хавтас сонгож, доторх бүх файлыг татаж болно. Татах нийт хэмжээ 256 MB-аас хэтрэхгүй байх ёстой.

Remote Shell боломжоор файл татахдаа дараах алхмуудыг хийнэ:

1. 1Remote shell session эхлүүлнэ.

2. 2Remote Shell Connection цонхонд Download товчийг дарна.

Энэ нь Download files хуудсыг нээнэ.

3. 3Download files from талбарт татахыг хүссэн файл эсвэл хавтасны замыг оруулна. Хавтас сонговол доторх бүх файлыг архивлаж, дараа нь татна.

> Тэмдэглэл: Remote Shell нь сүлжээний хуваалцсан диск (shared network drive) рүү заасан файлын замыг дэмждэггүй.

4. 4Хүсвэл Password protect the file archive сонголтыг идэвхжүүлж файлын архивыг нууц үгээр хамгаалж болно.

Харгалзах талбаруудад хүссэн нууц үгээ оруулна.

5. 5Download товчийг дарна.

6. 6Файлуудыг хоёр аргаар авч болно:

- Файлууд татагдтал хүлээнэ. Татагдсан гэсэн мэдэгдэл ирэх хүртэл Download files хуудсыг хаахгүй байна. Татаж дуусмагц цонхны баруун доод буланд мэдэгдэл гарна.

Архивыг авахын тулд Download товчийг дарна.

- Эсвэл Download files хуудсыг хаагаад архивыг Network inventory-оос авч болно. Архив Investigation Files Activity хүснэгтэд 24 цагийн турш байх бөгөөд дараа нь Bitdefender-ийн түр хадгалалтаас автоматаар устгагдана. Дэлгэрэнгүйг доорх хэсгээс үзнэ үү.

> Тэмдэглэл: Архивыг нээж файлуудыг задлахын тулд гуравдагч талын программ шаардлагатай байж болно.
>
> Linux endpoint-ийн хувьд татаж авсан архивыг GPG хэрэгслээр симметрик шифрлэдэг гэдгийг анхаарна уу.

Татсан файлуудыг Network inventory-оос авах

Remote Shell боломжоор татсан файлуудыг авахдаа дараах алхмуудыг хийнэ:

1. 1GravityZone Control Center-т нэвтэрнэ.

2. 2Зүүн талын цэснээс Network хуудас руу орж, татсан файлуудыг агуулж буй удирдлагад орсон (managed) endpoint-ийг дарна.

3. 3Investigation таб руу очино.

Таны хүсэлтийн төлөв болон сүүлийн 24 цагт хийгдсэн бусад өгөгдөл цуглуулах үйлдлүүдийг Investigation Files Activity хүснэгтээс харна.

Pending төлөвтэй татах хүсэлтийг цуцалж болно. Цуцлагдсан эсвэл янз бүрийн шалтгаанаар дуусгаж чадаагүй хүсэлтийн төлөв Failed болно.

Татах процесс амжилттай дуусахад үйлдлийн төлөв Finished болж, цуглуулсан файлуудын архив татаж авахад бэлэн болно.

4. 4Actions баганад байгаа Download file-ийг дарж архивыг локал компьютер руу татна.

> Тэмдэглэл: Архивыг нээж файлуудыг задлахын тулд гуравдагч талын программ шаардлагатай байж болно.

Remote Shell session дуусгах

Шалгалтаа дуусгаад End session товчийг дарж алсын холболтыг таслана, эсвэл session-ий хөтчийн табыг хаана.

Одоогийн session-ийг дуусгасны дараа дөнгөж дууссан remote shell session-ий log-ийг авахын тулд Download audit log товчийг дарж болно, эсвэл шинэ remote session эхлүүлж болно.

• Download audit log товчийг дарахад GravityZone session-ий бүх log-ыг агуулсан zip файл бэлтгэж эхэлнэ. Архивын хэмжээнээс хамаарч энэ нь хэдэн минут үргэлжилж болно. Session-ий бүх дэлгэрэнгүй мэдээлэл User activity log-д мөн байна.

> Тэмдэглэл: Session-ий log-ууд анхдагчаар raw (боловсруулаагүй) хэлбэрээр хадгалагддаг. Хялбар унших үүднээс файлыг задлаад дараах хэрэгслүүдийн аль нэгийг ашиглана:
>
> - Windows үйлдлийн системтэй endpoint-ийн log-ийн хувьд PowerShell дээр дараах командыг ажиллуулна:
>
> Get-Content <filePath> -Wait (log файлын зам, нэрийг ашиглана)
>
> Жишээ: Get-Content "C:\Users\Documents\sessionLogs.txt" -Wait
>
> - Linux болон macOS endpoint-ийн log-ийн хувьд terminal дээр дараах командыг ажиллуулна:
>
> less <filePath> (log файлын зам, нэрийг ашиглана)
>
> Жишээ: less /home/user/sessionLogs.txt

• Start a new session товчийг дарвал нэвтрэлт баталгаажуулах алхмуудыг дахин давтах шаардлагатай.

XDR Remote Shell-ийн алдаа засах (Troubleshooting)

Таны Remote Shell session янз бүрийн шалтгаанаар санамсаргүй тасрах магадгүй. Ихэнх тохиолдолд session-ийг дахин эхлүүлэх нь хамгийн хялбар, хурдан шийдэл болно. Энэ нь тус болохгүй бол Асуулт асуух-аар хандаж болно.

Доор remote shell-ийн харуулж болох алдааны мессежүүд, тэдгээрийг үүсгэж болох шалтгаан, засах арга хэмжээг жагсаав:

Шалтгаан:

• Терминал цонхонд нэг дор хэт их агуулга буулгасан (paste).
• Зорилтот endpoint-той холболт тасарсан.

Шийдэл:

Зорилтот endpoint асаалттай, онлайн эсэхийг шалгаад шинэ session эхлүүлнэ. Асуудал үргэлжилбэл Асуулт асуух-аар хандана уу.

Шалтгаан:

• Зорилтот endpoint-д холбогдож чадсангүй.

Шийдэл:

Шинэ session эхлүүлж үзнэ. Асуудал үргэлжилбэл Асуулт асуух-аар хандана уу.

Шалтгаан:

• Баталгаажуулалтын асуудлаас болж зорилтот endpoint-той аюулгүй холболт тогтоож чадсангүй.
• Session үргэлжилж байхад та GravityZone данснаасаа гарсан.

Шийдэл:

GravityZone данстаа дахин нэвтэрч, дараа нь шинэ session эхлүүлнэ. Асуудал үргэлжилбэл Асуулт асуух-аар хандана уу.

Шалтгаан:

• Endpoint хэт удаан хариу өгсөн.

Шийдэл:

Remote shell session-ийг дахин эхлүүлж үзнэ. Асуудал үргэлжилбэл Асуулт асуух-аар хандана уу.

Шалтгаан:

• GravityZone сервер рүү зөвшөөрөлгүй холбогдох оролдлого гарсан.

Шийдэл:

Endpoint-ийн дэлгэрэнгүй мэдээллийн самбараас session-ий хөтчийн табыг дахин нээнэ. Асуудал үргэлжилбэл Асуулт асуух-аар хандана уу.

Шалтгаан:

• Холболтын алдаа гарсан.

Шийдэл:

Remote session-ийг дахин эхлүүлж үзнэ. Асуудал үргэлжилбэл Асуулт асуух-аар хандана уу.

Шалтгаан:

• Серверийн дотоод алдаа гарсан.

Шийдэл:

Remote session-ийг дахин эхлүүлж үзнэ. Асуудал үргэлжилбэл Асуулт асуух-аар хандана уу.

Forensic Data Gathering (Forensic өгөгдөл цуглуулах)

Incident-д өртсөн endpoint-оос нэмэлт мэдээлэл цуглуулах нь гараар хийдэг хөдөлмөр их шаарддаг ажил бөгөөд SOC багийн шинжилгээний ажлыг тасалдуулж, аюулыг зогсоох, хязгаарлахыг удаашруулдаг. Collect Investigation Package боломж нь incident-д хамрагдсан endpoint-тэй шууд ажиллах шаардлагагүйгээр орчноос forensic нотолгоо цуглуулах үйл явцыг хурдасгана.

Энэ боломж дараах үйлдлийн системд ажиллана:

• Windows
• Linux
• Mac

Investigation package-ийн урьдчилсан нөхцөл

Endpoint-оос forensic өгөгдөл цуглуулж эхлэхийн тулд дараах нөхцөлийг хангасан байх ёстой:

• Таны байгууллага идэвхтэй EDR эсвэл XDR лицензтэй байх ёстой.
• GravityZone хэрэглэгчийн данс дээр Manage Networks эрх идэвхжсэн байх ёстой. Дэлгэрэнгүйг User rights хуудаснаас үзнэ үү.
• GravityZone-ийн нэвтрэх мэдээллээр нэвтэрдэг хэрэглэгчид two-factor authentication (2FA) идэвхжүүлсэн байх шаардлагатай. Гуравдагч этгээдийн single sign-on (SSO) интеграцаар нэвтэрдэг хэрэглэгчдэд энэ боломжид хандахад 2FA шаардлагагүй.
• Зорилтот endpoint асаалттай бөгөөд онлайн байх ёстой.

Investigation package цуглуулах

Investigation package-ийг ажлын онцлогт тань тохирсон өөр өөр аргаар цуглуулж болно: XDR incident-д хамрагдсан endpoint-ийг сонгох эсвэл Network inventory-оос удирдлагад орсон (managed) endpoint-ийг сонгоно.

XDR incident-д хамрагдсан endpoint-оос investigation package цуглуулах

1. 1Incidents хуудасны хүснэгтээс цаашид шалгахыг хүссэн extended эсвэл endpoint incident-ээ сонгоод Graph харагдацыг нээнэ.

2. 2Graph дээр incident-д хамрагдсан endpoint-ийн node-ийг сонгоод Collect Investigation Package товчийг дарж forensic өгөгдлийн архив бэлтгэж эхлүүлнэ.

> Тэмдэглэл: Товч идэвхгүй байвал, уг үйлдэл яагаад боломжгүйг тайлбарласан зөвлөмж (tooltip) гарна. Дэлгэрэнгүйг Investigation package-ийн урьдчилсан нөхцөл-өөс үзнэ үү.

Өгөгдөл цуглуулах хүсэлт амжилттай үүссэн тухай toast мэдэгдэл гарна.

3. 3View available investigation files холбоос дээр дарж endpoint-ийн дэлгэрэнгүй хуудас руу орж явцыг хянана.

4. 4Одоо явагдаж буй цуглуулалт (идэвхтэй үйлдлийн төлөв Pending) болон сүүлийн 24 цагт хийгдсэн бусад өгөгдөл цуглуулах үйлдлүүдийг харна.

> Тэмдэглэл: Хэрэглэгч цуцалсан эсвэл янз бүрийн шалтгаанаар дуусгаж чадаагүй цуглуулах үйлдлийн төлөв Failed болно.

Өгөгдөл цуглуулах процесс амжилттай дуусахад үйлдлийн төлөв Finished болж, цуглуулсан forensic artifact-уудын архив татаж авахад бэлэн болно.

5. 5Actions баганад байгаа Download file-ийг дарж архивыг локал компьютер руу татаад цуглуулсан өгөгдлийг шинжилнэ.

Network inventory дахь endpoint-оос investigation package цуглуулах

1. 1Network хуудаснаас forensic өгөгдөл цуглуулахыг хүссэн удирдлагад орсон endpoint-ээ сонгоод түүний дэлгэрэнгүй хуудсыг нээнэ.

2. 2Investigation таб руу очоод Collect Investigation Package товчийг дарж forensic өгөгдлийн архив бэлтгэж эхлүүлнэ.

> Тэмдэглэл: Товч идэвхгүй байвал, уг үйлдэл яагаад боломжгүйг тайлбарласан зөвлөмж (tooltip) гарна. Дэлгэрэнгүйг Investigation package-ийн урьдчилсан нөхцөл-өөс үзнэ үү.

Өгөгдөл цуглуулах хүсэлт амжилттай үүссэн тухай toast мэдэгдэл гарна.

Явцыг Investigation Files Activity хүснэгтээс хянаж болно.

3. 3Одоо явагдаж буй цуглуулалт (идэвхтэй үйлдлийн төлөв Pending) болон сүүлийн 24 цагт хийгдсэн бусад өгөгдөл цуглуулах үйлдлүүдийг харна.

> Тэмдэглэл: Хэрэглэгч цуцалсан эсвэл янз бүрийн шалтгаанаар дуусгаж чадаагүй цуглуулах үйлдлийн төлөв Failed болно.

Өгөгдөл цуглуулах процесс амжилттай дуусахад үйлдлийн төлөв Finished болж, цуглуулсан forensic artifact-уудын архив татаж авахад бэлэн болно.

4. 4Actions баганад байгаа Download file-ийг дарж архивыг локал компьютер руу татаад цуглуулсан өгөгдлийг шинжилнэ.