VirusTotal, ששייך עכשיו ל-Google Cloud, מספק נתונים על הקשר ומוניטין של איומים כדי לעזור לנתח קבצים, כתובות URL,דומיינים וכתובות IP חשודים, ולזהות איומים על אבטחת הסייבר. דוחות VirusTotal מספקים פרטים רבים במיקור המונים על הסיבות לכך שדומיין, קובץ מצורף או כתובת IP עשויים להיחשב מסוכנים. (פרטים נוספים זמינים באתר VirusTotal).
מהכלי לחקירת אבטחה, אפשר לגשת ישירות לדוחות של VirusTotal שקשורים לקבצים מצורפים לאימייל שמופצים בארגון, או לאירועים ביומן של Chrome. כך אפשר לקבל נתונים על הקשר לאיומים ועל המוניטין שרלוונטיים לחקירה. לדוגמה, דוח של VirusTotal יכול להראות לכם שכמה ספקי אבטחה סימנו דומיין מסוים כזדוני.
שימו לב:
- כדי לצפות בדוחות של VirusTotal מכלי החקירה, צריכה להיות לכם ההרשאה View report (צפייה בדוח) של VirusTotal
מרכז האבטחה . - לא נעשה שימוש ב-VirusTotal כדי לזהות תוכנות זדוניות או איומי אבטחה אחרים. VirusTotal מרחיב את התוצאות של חקירה על ידי מתן תובנות נוספות בנושא אבטחה, ועוזר לכם לקבל החלטות כשאתם מטפלים בבעיות אבטחה.
- הנתונים (גיבובים של קבצים מצורפים) משותפים עם VirusTotal רק אחרי שהאדמין בוחר להציג את הדוח של VirusTotal. לא מתבצע שיתוף של נתונים בשום מקרה אחר.
- הנתונים של VirusTotal משותפים עם קהילת האבטחה הרחבה. כך ספקי אבטחה יכולים לשתף פעולה ביניהם, לשתף פרטים חשובים ולפעול כדי להילחם באיומי אבטחה.
- אפשר גם לצפות בדוחות של VirusTotal ממרכז ההתראות כדי לקבל תובנות נוספות בנושא אבטחה שקשורות להתראות. פרטים נוספים מופיעים במאמר בנושא הצגת דוחות VirusTotal ממרכז ההתראות.
צפייה בדוחות VirusTotal שקשורים ל-Gmail
נכנסים למסוף Google Admin בכתובת admin.google.com.
נכנסים באמצעות חשבון האדמין (חשבון שלא מסתיים ב- @gmail.com).
בתפריט הניווט הימני, עוברים אל אבטחה
מרכז האבטחה כלי החקירה.בוחרים באפשרות הודעות Gmail או אירועים ביומן של Gmail כמקור הנתונים לחיפוש.
לוחצים על הוספת תנאי ובוחרים באפשרות יש קובץ מצורף.
לוחצים על חיפוש.
באחד הפריטים בתוצאות החיפוש בתחתית הדף, לוחצים על הקישור מזהה ההודעה או על הקישור נושא.
בחלונית הצדדית, לוחצים על הכרטיסייה הודעה או על הכרטיסייה שרשור.
לוחצים על צפייה בדוח VirusTotal.
הדוח של VirusTotal כולל כמה קטעים עם פרטים על איומי אבטחה פוטנציאליים. לדוגמה, אפשר לראות רשימה של ספקי אבטחה שסימנו קובץ כמזיק, וגם לראות את תוצאות הסריקה של הקובץ עבור כל אחד מהספקים האלה.
צפייה בדוחות VirusTotal שקשורים ל-Chrome
נכנסים למסוף Google Admin בכתובת admin.google.com.
נכנסים באמצעות חשבון האדמין (חשבון שלא מסתיים ב- @gmail.com).
בתפריט הניווט הימני, עוברים אל אבטחה
מרכז האבטחה כלי החקירה.בוחרים באפשרות אירועים ביומן של Chrome כמקור הנתונים לחיפוש.
לוחצים על הוספת תנאי ובוחרים תנאי לחיפוש.
לוחצים על חיפוש.
בתוצאות החיפוש בחלק התחתון של הדף, לוחצים על אחד הקישורים בעמודה Content hash.
בחלונית הצדדית, לוחצים על צפייה בדוח VirusTotal.
הדוח של VirusTotal כולל כמה קטעים עם פרטים על איומי אבטחה פוטנציאליים.
גרסאות רגילות ומשופרות של דוחות VirusTotal
יש שתי גרסאות של דוח VirusTotal: רגילה ומשופרת. הגרסה הרגילה מוצגת לאדמינים שיש להם את ההרשאה View report (צפייה בדוח) של מרכז האבטחה
VirusTotal , ושיש להם אחת מהמהדורות הנדרשות של Google Workspace. הגרסה המתקדמת מוצגת באופן אוטומטי למנויים בתשלום של VirusTotal שיש להם סשן פעיל של התחברות ל-virustotal.com עם חשבון המשתמש שלהם ב-VT Enterprise.
מידע נוסף על VT Enterprise ובקשה לניסיון ללא תשלום זמינים בסקירת השירותים באתר VirusTotal. כדי להירשם ל-VT Enterprise, צריך לשלוח את הטופס הזה.
תכונות שנכללות בגרסת Standard
הגרסה הרגילה של דוחות VirusTotal כוללת את הפרטים הבאים:
- מוניטין של איומים – הערכות של תכונות זדוניות שמגיעות מ-70 ספקי אבטחה ומעלה.
- התפשטות האיום לאורך זמן – תאריכים חשובים שמאפשרים להבין מתי נצפה איום מסוים לראשונה בטבע וכמה זמן הוא פעיל.
- זיהוי קבצים – מזהים ומאפיינים שמאפשרים לכם להתייחס לאיום ולשתף אותו עם אנליסטים אחרים (גיבוב קבצים, סוג קובץ, גודל וכו').
התכונות שנכללות בגרסה מתקדמת
הגרסה המתקדמת של דוחות VirusTotal כוללת את אותן תכונות שזמינות בגרסה הרגילה, וגם את התכונות הבאות:
- זיהוי רב-זוויתי – ניתוח איומים נוסף שמגיע מהתאמות לכללים שמקורם במיקור המונים ומהערכות של הקהילה (לדוגמה: כללי YARA, Sigma ו-IDS).
- מידע על רשימת ההיתרים – לגבי אירועים ביומן של Gmail, פרטים שימושיים לביטול תוצאות חיוביות שגויות (National Software Reference Library, Software Distributors, Microsoft Clean Metadata Feed וכו').
- אינדיקטורים קשורים לפריצה (IOC) – דוגמאות לאינדיקטורים לפריצה כוללות תשתית רשת שמפיצה קובץ תוכנה זדונית, שרתים שפועלים כמרכזי שליטה לאיום נתון, וקטורים של מסירה בשלב הראשון לקובץ שנבדק וכו'.
- גרף אינטראקטיבי של איומים – פורמט גרפי שממפה קמפיינים שלמים של איומים באמצעות המחשה של הקשרים בין IOC.
- מטא-נתונים שקשורים לאבטחה – כוללים מידע על מפיץ התוכנה, זיהוי של פקודות מאקרו זדוניות במסמכים, הרשאות של אפליקציות ל-Android וכו'.
- פרטים על איומים פעילים – פרטים על איומים שמתפשטים בזמן ובמרחב, טכניקות נפוצות להונאה של תוקפים ועוד, באמצעות מטא-נתונים של שליחת קבצים ל-VirusTotal.
- הצגת נתונים על סמך מאפיינים חשודים – פרטים שאפשר ללחוץ עליהם בדוחות של VirusTotal, שמאפשרים לכם לחפש במערך הנתונים הגלובלי של VirusTotal איומים אחרים שכוללים את אותם מאפיינים.
יתרונות ותרחישי שימוש בגרסה המתקדמת
- זיהוי איומים משופר – שימוש בכללים שמבוססים על מיקור המונים כדי לזהות איומים ולקבל עליהם הקשר, גם אם הם עדיין לא מוכרים לספקי אבטחה.
- חקירות מזורזות וקבלת החלטות מהירה – שיפור היעילות של צוות האבטחה על ידי הוספת הקשר שמגיע ממקורות המונים לזיהויים פנימיים בלבד. גורמים עוינים מכוונים גם לארגונים אחרים, והפעילות שלהם מופיעה ב-VirusTotal – כך צוות האבטחה שלכם יכול לקבל תמונה מלאה. הגרסה המתקדמת של דוחות VirusTotal מאפשרת לבטל תוצאות חיוביות כוזבות, לאשר תוצאות חיוביות אמיתיות ולהעביר אותן לטיפול ברמה גבוהה יותר, וכל זה במהירות רבה יותר.
- שיפור הטיפול באיומים – אפשר להשתמש בתרשים האיומים האינטראקטיבי ובארטיפקטים קשורים כדי לזהות אינדיקטורים של פריצה (IOC) שקשורים להתראה רלוונטית, ולהשתמש בהם כדי להבין באופן מלא את ההשפעה של מתקפה על הארגון שלכם על ידי חיפוש בטלמטריה של האבטחה. לדוגמה: מהם כל הדומיינים שמעבירים גיבוב שמופיע באחת ההתראות שלכם? לכל אחד מהם, גם אם הוא עדיין לא נראה בסביבה שלכם, אפשר לחסום אותו בהיקף הרשת.
- אסטרטגיית הגנה פרואקטיבית – אתם יכולים לעבור ל-VT Enterprise ולזהות תשתית איומים שאולי לא הופיעה ביומנים שלכם. לחלופין, אתם יכולים לזהות תוכנות זדוניות אחרות שמופעלות על ידי אותו גורם איומים, ולחסום את התוכנות הזדוניות האלה בפריפריה ובנקודות הקצה של הרשת לפני שהן משפיעות על הארגון שלכם. לדוגמה: אם יש לכם דומיין של שליטה ובקרה לאחד מהקבצים שאתם בודקים, אתם יכולים לעבור לדומיינים אחרים שנרשמו על ידי אותו גורם איומים שאולי עדיין לא נעשה בהם שימוש בקמפיין, ואז לחסום את הדומיינים האלה מראש למקרה שבסופו של דבר יעשה בהם שימוש נגד החברה שלכם.
פרטים נוספים על התכונות של דוח VirusTotal זמינים בסקירה הכללית על השירותים באתר VirusTotal. אפשר גם לעיין במאמר איך זה עובד – VirusTotal או לפנות אלינו לקבלת מידע נוסף.
הרשמה לחשבון VT Enterprise
כפי שמתואר למעלה, דוחות של VirusTotal יכולים לכלול שירותים נוספים של מודיעין איומים ותכונות מתקדמות בגרסה מתקדמת של דוחות VirusTotal. לפרטים נוספים ולהרשמה ל-VT Enterprise, אפשר לפנות לצוות VirusTotal.
הודעה משפטית
VirusTotal הוא מוצר של Alphabet שמנתח קבצים, כתובות URL, דומיינים וכתובות IP חשודים כדי לזהות תוכנות זדוניות וסוגים אחרים של איומים, ומשתף אותם באופן אוטומטי עם קהילת האבטחה.
כדי לצפות בדוחות של VirusTotal, תצטרכו לשלוח ל-VirusTotal גיבובים של קבצים מצורפים, כתובות IP או דומיינים.
השימוש ב-VirusTotal מעיד על כך שאתם מאשרים שהתנאים וההגבלות ומדיניות הפרטיות של VirusTotal חלים על הנתונים ששלחתם, ו-VirusTotal עשוי לשתף את הנתונים ששלחתם עם קהילת האבטחה.
שאלות נפוצות
האם יש עלות נוספת לשימוש בגרסה הרגילה של דוחות VirusTotal?
לא. הגרסה הרגילה של דוחות VirusTotal זמינה לאדמינים שיש להם הרשאת גישה למרכז האבטחה VirusTotal צפייה בדוח.
אם אתם רוצים לשפר את החוויה, את יכולת קבלת ההחלטות ואת יכולות החקירה באמצעות הקשר ומוניטין מתקדמים של איומים, אתם צריכים מינוי בתשלום ל-VT Enterprise.
האם חוויית השימוש שונה עבור לקוחות VirusTotal בתשלום?
כן. אם יש לכם מינוי בתשלום ל-VirusTotal, שנקרא גם VT Enterprise, תוכלו לראות תוצאות משופרות באמצעות כלי החקירה, בלי שתהיה לכך השפעה על המכסה שלכם ב-VirusTotal. המיכסה משמשת רק כשפותחים דפים בכתובת virustotal.com.
איך אפשר להירשם ל-VT Enterprise כדי ליהנות מהגרסה המתקדמת של דוחות VirusTotal?
מידע נוסף על VT Enterprise ובקשה לניסיון ללא תשלום זמינים בסקירת השירותים באתר VirusTotal. כדי להירשם ל-VT Enterprise, צריך למלא את הטופס הזה.
בנוסף לגרסה מתקדמת של דוחות VirusTotal, האם יש עוד יתרונות למינוי VT Enterprise?
כן. בעזרת VT Enterprise, אפשר להטמיע תרחישי שימוש אחרים שרלוונטיים במיוחד למרכזי תפעול אבטחה (SOC), לצוותי תגובה למקרי חירום במחשבים, לצוותי תגובה לאירועים וליחידות מודיעין איומי סייבר:
- העשרה אוטומטית של טלמטריית אבטחה – כולל תעדוף התראות, ביטול תוצאות חיוביות שגויות, אישור תוצאות חיוביות אמיתיות ומתאם של רמת הביטחון.
- תגובה לאירועים וניתוח משפטי – כולל תעדוף של התראות על פעולות שמשפיעות על אבטחת החשבון, ניתוח של אירועים והקשר שלהם, גילוי של ארטיפקטים וזיהוי של אינדיקטורים של פריצה (IOC).
- מודיעין איומי סייבר וחיפוש מתקדם – כולל גילוי איומים לא מוכרים, מעקב אחרי קמפיינים של איומים, מעקב אחרי גורמים עוינים, זיהוי מונע של אינדיקטורים של פריצה (IOC), חקר סביבת האיומים ומודעות למצב.
- מעקב אחרי פישינג, הונאות, מותגים ותשתית ארגונית – כולל מעקב אחרי קמפיינים של פישינג, ניתוח של סוס טרויאני בנקאי וגניבת מידע, מעקב אחרי התחזות למותג, הפצה של תוכנות זדוניות וזיהוי של ניצול לרעה של תשתית ארגונית.
- בדיקות של צוות אדום ופריצה אתית – כולל סיור וטביעת אצבע פסיבית, הדמיה של פריצה ומתקפה ואימות של מערך האבטחה.
- תעדוף פגיעויות – כולל אסטרטגיות חכמות לתיקון חולשות שמבוססות על סיכונים, מעקב אחר ניצול פגיעויות בטבע ומיפוי של שחקני איומים לניצול פגיעויות.
לפרטים נוספים על האופן שבו VT Enterprise יכול לשפר את פעולות האבטחה, אפשר לעיין בסקירה הכללית של VirusTotal 360. כדי לקבל מידע נוסף, אפשר לפנות למומחים שלנו ב-VirusTotal.
האם הנתונים משותפים לדוחות של VirusTotal ללא פעולות של אדמין?
לא. כל הפונקציונליות מבוססת על בחירה של האדמין להציג את הדוח של VirusTotal. רק אחרי שהאדמין מבצע את הפעולה הזו, הגיבוב של הקובץ, הדומיין או כתובת ה-IP משותפים עם VirusTotal כדי לבקש את דוח הערכת הסיכון לגבי הישות שנבחרה.
אם אני לקוח של VT Enterprise, האם צפייה בדוחות של VirusTotal דרך כלי החקירה תנכה מהמכסה שלי?
לא. פתיחת דוחות VirusTotal דרך כלי החקירה לא משתמשת במכסת השימוש שלכם ב-VT Enterprise. אם אדמין יפתח את אתר VirusTotal כדי לבצע מחקר נוסף מכלי החקירה, זה ייחשב לשימוש במכסה הרגילה, בדיוק כמו ביקור ישיר בכתובת virustotal.com.
האם הקבצים משותפים?
לא. רק גיבובים של קבצים נשלחים אל VirusTotal.