VirusTotal, ששייך עכשיו ל-Google Cloud, מספק נתונים על הקשר ומוניטין של איומים כדי לעזור לנתח קבצים, כתובות URL, דומיינים וכתובות IP חשודים ולזהות איומים על אבטחת הסייבר. דוחות VirusTotal מספקים פרטים רבים במיקור המונים על הסיבות לכך שדומיין, קובץ מצורף או כתובת IP עשויים להיחשב מסוכנים. (פרטים נוספים זמינים באתר VirusTotal).
בעזרת הכלי לחקירת אבטחה, אתם יכולים לגשת ישירות לדוחות של VirusTotal שקשורים לקבצים מצורפים לאימייל שמופצים בארגון שלכם, או שקשורים לאירועים ביומן של Chrome. כך תוכלו לקבל נתונים על הקשר ועל המוניטין של האיומים שרלוונטיים לחקירה. לדוגמה, בדוח של VirusTotal יכול להיות שיוצג לכם שספקי אבטחה רבים סימנו דומיין מסוים כזדוני.
שימו לב:
- כדי להציג דוחות של VirusTotal בכלי החקירה, צריכה להיות לכם ההרשאה View report (הצגת דוח) של VirusTotal
מרכז האבטחה . - VirusTotal לא משמש לגילוי תוכנות זדוניות או איומי אבטחה אחרים. VirusTotal מרחיב את התוצאות של חקירה על ידי מתן תובנות נוספות בנושא אבטחה, ועוזר לכם לקבל החלטות כשאתם מטפלים בבעיות אבטחה.
- הנתונים (גיבובים של קבצים מצורפים) ישותפו עם VirusTotal רק אחרי שהאדמין יבחר להציג את הדוח של VirusTotal. לא מתבצע שיתוף נתונים אחר.
- הנתונים של VirusTotal משותפים עם קהילת האבטחה הרחבה. כך ספקי אבטחה יכולים לשתף פעולה, לשתף פרטים חשובים ולפעול כדי להילחם באיומי אבטחה.
- אתם יכולים גם לצפות בדוחות של VirusTotal ממרכז ההתראות כדי לקבל תובנות נוספות בנושא אבטחה שקשורות להתראות. פרטים נוספים מופיעים במאמר בנושא הצגת דוחות VirusTotal ממרכז ההתראות.
צפייה בדוחות VirusTotal שקשורים ל-Gmail
נכנסים למסוף Google Admin בכתובת admin.google.com.
נכנסים באמצעות חשבון האדמין (חשבון שלא מסתיים ב- @gmail.com).
בתפריט הניווט הימני, עוברים אל אבטחה
מרכז האבטחה כלי החקירה.בוחרים באפשרות הודעות Gmail או אירועים ביומן של Gmail כמקור הנתונים לחיפוש.
לוחצים על הוספת תנאי ובוחרים באפשרות יש קובץ מצורף.
לוחצים על חיפוש.
באחד הפריטים בתוצאות החיפוש בחלק התחתון של הדף, לוחצים על הקישור מזהה הודעה או על הקישור נושא.
בחלונית הצדדית, לוחצים על הכרטיסייה הודעה או על הכרטיסייה שרשור.
לוחצים על צפייה בדוח VirusTotal.
דוח VirusTotal כולל כמה קטעים עם פרטים על איומי אבטחה פוטנציאליים. לדוגמה, אתם יכולים לראות רשימה של ספקי אבטחה שסימנו קובץ מסוים כזדוני, וגם לראות את תוצאות הסריקה של הקובץ אצל כל אחד מהספקים האלה.
צפייה בדוחות VirusTotal שקשורים ל-Chrome
נכנסים למסוף Google Admin בכתובת admin.google.com.
נכנסים באמצעות חשבון האדמין (חשבון שלא מסתיים ב- @gmail.com).
בתפריט הניווט הימני, עוברים אל אבטחה
מרכז האבטחה כלי החקירה.בוחרים באפשרות אירועים ביומן של Chrome כמקור הנתונים לחיפוש.
לוחצים על הוספת תנאי ובוחרים תנאי לחיפוש.
לוחצים על חיפוש.
בתוצאות החיפוש בחלק התחתון של הדף, לוחצים על אחד הקישורים בעמודה Content hash.
בחלונית הצדדית, לוחצים על View VirusTotal Report (צפייה בדוח VirusTotal).
דוח VirusTotal כולל כמה קטעים עם פרטים על איומי אבטחה פוטנציאליים.
גרסאות רגילות ומשופרות של דוחות VirusTotal
יש שתי גרסאות של דוח VirusTotal: רגילה ומשופרת. הגרסה הרגילה מוצגת לאדמינים שיש להם הרשאה לצפייה בדוח של VirusTotal במרכז האבטחה , ושיש להם אחת מהמהדורות הנדרשות של Google Workspace. הגרסה המשופרת מוצגת באופן אוטומטי למנויים בתשלום של VirusTotal שיש להם סשן פעיל של התחברות ל-virustotal.com עם חשבון המשתמש שלהם ב-VT Enterprise.
מידע נוסף על VT Enterprise ובקשה לניסיון ללא תשלום זמינים בסקירת השירותים באתר VirusTotal. כדי להירשם ל-VT Enterprise, צריך לשלוח את הטופס הזה.
התכונות שנכללות בגרסת Standard
הגרסה הרגילה של דוחות VirusTotal כוללת את הפרטים הבאים:
- מוניטין של איומים – הערכות של תכונות זדוניות שמגיעות מ-70 ספקי אבטחה ומעלה.
- התפשטות האיום בזמן – תאריכים מרכזיים שמאפשרים להבין מתי נצפה איום מסוים לראשונה בטבע וכמה זמן הוא פעיל.
- זיהוי קבצים – מזהים ומאפיינים שמאפשרים לכם להתייחס לאיום ולשתף אותו עם אנליסטים אחרים (גיבוב קבצים, סוג קובץ, גודל וכו').
התכונות שנכללות בגרסה המשופרת
הגרסה המשופרת של דוחות VirusTotal כוללת את אותם הפיצ'רים שזמינים בגרסה הרגילה, וגם את הפיצ'רים הבאים:
- זיהוי רב-זוויתי – ניתוח איומים נוסף שמגיע מהתאמות לכללים שמקורם במיקור המונים ומדירוג הקהילה (לדוגמה: כללי YARA, Sigma ו-IDS).
- מידע על רשימת ההיתרים – לגבי אירועים ביומן של Gmail, פרטים שימושיים לביטול תוצאות חיוביות שגויות (National Software Reference Library, Software Distributors, Microsoft Clean Metadata Feed וכו').
- אינדיקטורים קשורים לפריצה (IOC) – דוגמאות לאינדיקטורים לפריצה כוללות תשתית רשת שמפיצה קובץ תוכנה זדונית, שרתים שפועלים כמרכז שליטה לאיום נתון, וקטורים של מסירה בשלב הראשון לקובץ שנבדק וכו'.
- גרף אינטראקטיבי של איומים – פורמט גרפי שממפה קמפיינים שלמים של איומים באמצעות הצגה חזותית של הקשרים בין IOC.
- מטא-נתונים שרלוונטיים לאבטחה – כוללים מידע על מפיץ התוכנה, זיהוי של פקודות מאקרו זדוניות במסמכים, הרשאות של אפליקציות ל-Android וכו'.
- פרטים על איומים פעילים – פרטים גיאוגרפיים ופרטים על התפשטות האיומים בזמן, טכניקות נפוצות להונאה של תוקפים ועוד, באמצעות מטא-נתונים של שליחת קבצים ל-VirusTotal.
- העברה בין מאפיינים חשודים – פרטים שאפשר ללחוץ עליהם בדוחות של VirusTotal, שמאפשרים לכם לחפש במערך הנתונים הגלובלי של VirusTotal איומים אחרים שכוללים את אותם מאפיינים.
יתרונות ודוגמאות לשימוש בגרסה המשופרת
- זיהוי איומים משופר: שימוש בכללים שמבוססים על מיקור המונים כדי לזהות איומים ולקבל הקשר לגביהם, גם אם הם עדיין לא מוכרים לספקי אבטחה.
- חקירות מזורזות וקבלת החלטות מהירה – שיפור היעילות של צוות האבטחה באמצעות שילוב של נתונים שזמינים רק בתוך הארגון עם נתונים שמגיעים ממקורות רבים. גורמים עוינים מכוונים גם לארגונים אחרים, והפעילות שלהם מופיעה ב-VirusTotal – כך צוות האבטחה שלכם יכול לקבל תמונה מלאה. הגרסה המשופרת של דוחות VirusTotal מאפשרת לבטל תוצאות חיוביות שגויות ולאשר ולהעביר לטיפול תוצאות חיוביות אמיתיות במהירות רבה יותר.
- שיפור הטיפול באיומים – אפשר להשתמש בתרשים האיומים האינטראקטיבי ובארטיפקטים קשורים כדי לזהות אינדיקטורים של פריצה (IOC) שקשורים להתראה רלוונטית, ולהשתמש בהם כדי להבין באופן מלא את ההשפעה של מתקפה על הארגון באמצעות חיפוש בטלמטריית האבטחה. לדוגמה: מהם כל הדומיינים שמעבירים גיבוב שמופיע באחת מההתראות שלך? לכל אחד מהם, גם אם הוא עדיין לא נראה בסביבה שלי, תחסום אותו בהיקף הרשת.
- אסטרטגיית הגנה פרואקטיבית – אתם יכולים לעבור ל-VT Enterprise ולזהות תשתית איומים שאולי לא הופיעה ביומנים שלכם. או שתוכלו לזהות תוכנות זדוניות אחרות שמופעלות על ידי אותו גורם מאיים, ולחסום את התוכנות הזדוניות האלה בפריפריה של הרשת ובנקודות הקצה לפני שהן ישפיעו על הארגון. לדוגמה: אם יש לכם דומיין של שליטה ובקרה לאחד הקבצים שאתם בודקים, אתם יכולים לעבור לדומיינים אחרים שנרשמו על ידי אותו גורם מאיים, שאולי עדיין לא נעשה בהם שימוש בקמפיין, ואז לחסום את הדומיינים האלה מראש למקרה שבסופו של דבר יעשה בהם שימוש נגד החברה שלכם.
מידע נוסף על התכונות של דוחות VirusTotal זמין בסקירה הכללית על השירותים באתר VirusTotal. אפשר גם לעיין במאמר איך זה עובד – VirusTotal או לפנות אלינו למידע נוסף.
הרשמה לחשבון VT Enterprise
כפי שמתואר למעלה, דוחות VirusTotal יכולים לכלול שירותים נוספים של מודיעין איומים ותכונות מתקדמות בגרסה המשופרת של דוחות VirusTotal. לפרטים נוספים ולהרשמה ל-VT Enterprise, אפשר לפנות לצוות VirusTotal.
הודעה משפטית
VirusTotal הוא מוצר של Alphabet שמנתח קבצים, כתובות URL, דומיינים וכתובות IP חשודים כדי לזהות תוכנות זדוניות וסוגים אחרים של איומים, ומשתף אותם באופן אוטומטי עם קהילת האבטחה.
כדי לצפות בדוחות של VirusTotal, תצטרכו לשלוח ל-VirusTotal גיבובים של קבצים מצורפים, כתובות IP או דומיינים.
השימוש ב-VirusTotal מבטא את הסכמתכם לכך שהתנאים וההגבלות ומדיניות הפרטיות של VirusTotal חלים על הנתונים ששלחתם, ושהמערכת של VirusTotal עשויה לשתף את הנתונים ששלחתם עם קהילת האבטחה.
שאלות נפוצות
האם יש עלות נוספת לשימוש בגרסה הרגילה של דוחות VirusTotal?
לא. הגרסה הרגילה של דוחות VirusTotal זמינה לאדמינים שיש להם הרשאת גישה למרכז האבטחה VirusTotal צפייה בדוח.
אם אתם רוצים לשפר את החוויה ולשפר את יכולות קבלת ההחלטות והחקירה שלכם באמצעות הקשר ומוניטין מתקדמים של איומים, אתם צריכים מינוי בתשלום ל-VT Enterprise.
האם חוויית השימוש שונה עבור לקוחות VirusTotal בתשלום?
כן. אם יש לכם מינוי בתשלום ל-VirusTotal, שנקרא גם VT Enterprise, תוכלו לראות תוצאות משופרות באמצעות כלי החקירה, בלי להשפיע על המכסה שלכם ב-VirusTotal. המיכסה משמשת רק כשפותחים דפים בכתובת virustotal.com.
איך נרשמים ל-VT Enterprise כדי ליהנות מהגרסה המשופרת של דוחות VirusTotal?
מידע נוסף על VT Enterprise ובקשה לניסיון ללא תשלום זמינים בסקירת השירותים באתר VirusTotal. כדי להירשם ל-VT Enterprise, צריך לשלוח את הטופס הזה.
בנוסף לגרסה המשופרת של דוחות VirusTotal, האם יש עוד יתרונות למינוי VT Enterprise?
כן. עם VT Enterprise, אפשר ליישם תרחישי שימוש אחרים שרלוונטיים במיוחד למרכזי תפעול אבטחה (SOC), לצוותי תגובה למצבי חירום במחשבים, לצוותי תגובה לאירועים וליחידות מודיעין איומי סייבר:
- העשרה אוטומטית של טלמטריית אבטחה – כולל תעדוף התראות, ביטול תוצאות חיוביות שגויות, אישור תוצאות חיוביות אמיתיות ומתאם מהימנות.
- תגובה לאירועים וניתוח פורנזי – כולל תעדוף של התראות על פעולות אבטחה, ניתוח אירועים והקשר שלהם, גילוי ארטיפקטים וזיהוי של אינדיקטורים של פריצה (IOC).
- מודיעין איומי סייבר וחיפוש מתקדם – כולל גילוי איומים לא מוכרים, מעקב אחרי קמפיינים של איומים, מעקב אחרי יריבים, זיהוי מונע של IoC, חקר סביבת האיומים ומודעות למצב.
- מעקב אחרי פישינג, הונאות, מותגים וניטור של תשתית ארגונית – כולל מעקב אחרי קמפיינים של פישינג, ניתוח של סוס טרויאני בנקאי וגניבת מידע, ניטור של התחזות למותג, הפצה של תוכנות זדוניות וזיהוי של ניצול לרעה של תשתית ארגונית.
- בדיקות של צוות אדום ופריצה אתית – כולל סיור וטביעת אצבע פסיבית, הדמיה של פריצה ומתקפה ואימות של מערך האבטחה.
- תעדוף פגיעויות – כולל אסטרטגיות חכמות לתיקון חולשות שמבוססות על סיכונים, מעקב אחרי ניצול פגיעויות בטבע ומיפוי של שחקני איומים לניצול פגיעויות.
לפרטים נוספים על האופן שבו VT Enterprise יכול לשפר את פעולות האבטחה, אפשר לעיין בסקירה הכללית על VirusTotal 360. לקבלת מידע נוסף, אפשר לפנות למומחים שלנו ב-VirusTotal.
האם הנתונים משותפים לדוחות של VirusTotal ללא פעולות של אדמין?
לא. כל הפונקציונליות מבוססת על בחירה של האדמין להציג את הדוח של VirusTotal. רק אחרי שהאדמין מבצע את הפעולה הזו, הגיבוב של הקובץ, הדומיין או כתובת ה-IP משותפים עם VirusTotal כדי לבקש את דוח הערכת הסיכון לגבי הישות שנבחרה.
אם יש לי מינוי ל-VT Enterprise, האם צפייה בדוחות VirusTotal באמצעות כלי החקירה צורכת את המכסה שלי?
לא. פתיחת דוחות VirusTotal באמצעות כלי החקירה לא משתמשת במכסת VT Enterprise שלכם. אם אדמין פותח את אתר VirusTotal כדי לבצע מחקר נוסף באמצעות כלי החקירה, הפעולה הזו תיחשב לשימוש במכסת הנפח הרגילה, בדיוק כמו ביקור ישיר באתר virustotal.com.
האם הקבצים משותפים?
לא. רק גיבובים של קבצים נשלחים אל VirusTotal.