VirusTotal, שהוא עכשיו חלק מ-Google Cloud, מספק נתונים על הקשר ומוניטין של איומים כדי לעזור לנתח קבצים, כתובות URL,דומיינים וכתובות IP חשודים, במטרה לזהות איומים על אבטחת הסייבר. הדוחות של VirusTotal מספקים פרטים רבים ממיקור המונים על הסיבות לכך שדומיין, קובץ מצורף או כתובת IP עלולים להיחשב כמסוכנים. (לפרטים נוספים, אפשר לעיין באתר של VirusTotal).
מהכלי לחקירת אבטחה, אתם יכולים לגשת ישירות לדוחות של VirusTotal שקשורים לקבצים שמצורפים לאימיילים שמופצים בארגון, או שקשורים לאירועים ביומן של Chrome. כך תוכלו לקבל נתונים על הקשר ומוניטין של איומים שרלוונטיים לחקירה. לדוגמה, דוח של VirusTotal יכול להראות שספקי אבטחה רבים סימנו דומיין מסוים כזדוני.
שימו לב:
- כדי לצפות בדוחות של VirusTotal מכלי החקירה, אתם צריכים את ההרשאה מרכז האבטחה
VirusTotal הצגת דוח. - VirusTotal לא משמש לזיהוי תוכנות זדוניות או איומי אבטחה אחרים. VirusTotal מרחיב את תוצאות החקירה על ידי מתן תובנות אבטחה נוספות, ועוזר לכם לקבל החלטות כשאתם מטפלים בבעיות אבטחה.
- הנתונים (גיבובים של קבצים מצורפים) משותפים עם VirusTotal רק אחרי שהאדמין בוחר להציג את הדוח של VirusTotal. לא משותפים נתונים אחרים.
- הנתונים של VirusTotal משותפים עם קהילת האבטחה הרחבה יותר. כך ספקי אבטחה יכולים לשתף פעולה, לשתף פרטים חשובים ולפעול כדי להילחם באיומי אבטחה.
- אתם יכולים גם לצפות בדוחות של VirusTotal ממרכז ההתראות כדי לקבל תובנות אבטחה נוספות שקשורות להתראות. פרטים נוספים זמינים במאמר הצגת דוחות VirusTotal ממרכז ההתראות.
צפייה בדוחות של VirusTotal שקשורים ל-Gmail
נכנסים למסוף Google Admin בכתובת admin.google.com.
נכנסים באמצעות חשבון האדמין (חשבון שלא מסתיים ב- @gmail.com).
בתפריט הניווט הימני, נכנסים לאבטחה
מרכז האבטחה כלי החקירה.בוחרים באפשרות הודעות ב-Gmail או אירועים ביומן של Gmail בתור מקור הנתונים לחיפוש.
לוחצים על הוספת תנאי ובוחרים באפשרות יש קובץ מצורף.
לוחצים על חיפוש.
באחד מהפריטים בתוצאות החיפוש שבתחתית הדף, לוחצים על הקישור מזהה הודעה או על הקישור נושא.
בחלונית הצדדית, לוחצים על הכרטיסייה הודעה או שרשור.
לוחצים על הצגת דוח VirusTotal.
הדוח של VirusTotal כולל כמה קטעים עם פרטים על איומי אבטחה פוטנציאליים. לדוגמה, אתם יכולים לראות רשימה של ספקי אבטחה שסימנו קובץ כזדוני, וגם את תוצאות הסריקה של הקובץ אצל כל אחד מהספקים האלה.
צפייה בדוחות VirusTotal שקשורים ל-Chrome
נכנסים למסוף Google Admin בכתובת admin.google.com.
נכנסים באמצעות חשבון האדמין (חשבון שלא מסתיים ב- @gmail.com).
בתפריט הניווט הימני, נכנסים לאבטחה
מרכז האבטחה כלי החקירה.בוחרים באפשרות אירועים ביומן של Chrome כמקור הנתונים לחיפוש.
לוחצים על הוספת תנאי ובוחרים תנאי לחיפוש.
לוחצים על חיפוש.
בתוצאות החיפוש שבתחתית הדף, לוחצים על אחד הקישורים בעמודה Content hash.
בחלונית הצדדית, לוחצים על הצגת דוח VirusTotal.
הדוח של VirusTotal כולל כמה קטעים עם פרטים על איומי אבטחה פוטנציאליים.
גרסאות רגילות ומשופרות של דוחות VirusTotal
לדוח של VirusTotal יש שתי גרסאות: רגילה ומשופרת. גרסת Standard מוצגת לאדמינים שיש להם את ההרשאה מרכז האבטחה
VirusTotal הצגת דוח, ושיש להם את אחת מהמהדורות הנדרשות של Google Workspace. הגרסה המשופרת מוצגת באופן אוטומטי למנויים בתשלום של VirusTotal שיש להם סשן התחברות פעיל ב-virustotal.com עם חשבון המשתמש בגרסה הארגונית שלהם ב-VT Enterprise.
למידע נוסף על VT Enterprise ולבקשת תקופת ניסיון, עיינו בסקירה הכללית על השירותים באתר של VirusTotal. כדי להירשם ל-VT Enterprise, צריך לשלוח את הטופס הזה.
התכונות שנכללות בגרסה הרגילה
הגרסה הרגילה של דוחות VirusTotal כוללת את הפרטים הבאים:
- מוניטין של איומים – הערכות של זדוניות שמגיעות מיותר מ-70 ספקי אבטחה.
- טווח הזמן של האיום – תאריכי מפתח שמאפשרים לכם להבין מתי איום מסוים נצפה לראשונה בשטח וכמה זמן הוא פעיל.
- זיהוי קבצים – מזהים ומאפיינים שמאפשרים לכם להפנות לאיום ולשתף אותו עם מנתחים אחרים (גיבובים של קבצים, סוג הקובץ, הגודל וכו').
התכונות שנכללות בגרסה המשופרת
הגרסה המשופרת של דוחות VirusTotal כוללת את אותן תכונות שקיימות בגרסה הרגילה, וגם את התכונות הבאות:
- זיהוי מכמה זוויות – ניתוח איומים נוסף שמגיע מהתאמות של כללים ממיקור המונים ודירוג קהילתי (לדוגמה: כללי YARA, Sigma ו-IDS).
- מידע על רשימת ההיתרים – לאירועים ביומן של Gmail, פרטים שימושיים כדי להפעיל את ההתעלמות מזיהויים חיוביים כוזבים (National Software Reference Library, מפיצי תוכנה, פיד מטא-נתונים נקיים של מיקרוסופט וכו').
- סימנים מחשידים (IOC) קשורים – דוגמאות ל-IOC כוללות תשתית רשת שמפיצה קובץ של תוכנה זדונית, שרתים שפועלים כמרכז שליטה ובקרה לאיום מסוים, וקטורים של מסירה בשלב הראשון של קובץ שנחקר וכו'.
- תרשים איומים אינטראקטיבי – פורמט גרפי שממפה קמפיינים שלמים של איומים באמצעות המחשה חזותית של הקשרים בין ה-IOC.
- מטא-נתונים שרלוונטיים לאבטחה – כוללים מידע על מפיצי התוכנה, זיהוי של פקודות מאקרו זדוניות במסמכים, הרשאות של אפליקציות ל-Android וכו'.
- פרטים על איומים פעילים – פרטים על המיקום הגיאוגרפי ועל משך הזמן של האיומים, שיטות הטעיה נפוצות של תוקפים ועוד, באמצעות מטא-נתונים של שליחה ל-VirusTotal.
- התמקדות במאפיינים חשודים – פרטים שאפשר ללחוץ עליהם בדוחות של VirusTotal, שמאפשרים לכם לחקור את מערך הנתונים הגלובלי של VirusTotal כדי למצוא איומים אחרים עם אותם מאפיינים.
יתרונות ותרחישים לדוגמה לשימוש בגרסה המשופרת
- זיהוי משופר של איומים – אתם יכולים להשתמש בכללים מבוססי מיקור המונים כדי לזהות איומים ולקבל הקשר לגביהם, גם אם הם עדיין לא מוכרים באופן נרחב לספקי אבטחה.
- חקירות וקבלת החלטות מהירות יותר – אתם יכולים לשפר את היעילות של צוות האבטחה שלכם על ידי הוספת הקשר ממיקור המונים לתצפיות פנימיות בלבד. היריבים מטרגטים גם ארגונים אחרים, והעקבות שלהם מופיעים ב-VirusTotal – מה שעוזר להשלים את התמונה עבור צוות האבטחה שלכם. הגרסה המשופרת של דוחות VirusTotal מאפשרת לכם להתעלם מתוצאות חיוביות כוזבות, לאשר תוצאות חיוביות אמיתיות ולהעביר אותן לטיפול ברמה גבוהה יותר במהירות רבה יותר.
- טיפול משופר באיומים – אתם יכולים להשתמש בתרשים האינטראקטיבי של האיומים ובפריטים הקשורים כדי לזהות אינדיקטורים לפריצה (IOC) שקשורים להתראה רלוונטית, ולהשתמש בהם כדי להבין לעומק את ההשפעה של מתקפה על הארגון שלכם על ידי חיפוש בנתוני הטלמטריה של האבטחה. לדוגמה: מהם כל הדומיינים שמעבירים גיבוב (hash) שכלול באחת מההתראות שלכם? לכל אחד מהם, גם אם עדיין לא נראה בסביבה שלי, חסום אותם בהיקף הרשת.
- אסטרטגיית הגנה פרואקטיבית – אתם יכולים לעבור ל-VT Enterprise ולזהות תשתית איומים שאולי לא הופיעה ביומנים שלכם. או שאתם יכולים לזהות תוכנות זדוניות אחרות שמופעלות על ידי אותו גורם איום, ולחסום את התוכנות הזדוניות האלה בנקודות הקצה ובהיקף הרשת שלכם לפני שהן ישפיעו על הארגון. לדוגמה: אם יש לכם דומיין של שליטה ובקרה לאחד מהקבצים שאתם חוקרים, אתם יכולים לעבור לדומיינים אחרים שרשומים על ידי אותו גורם איום, שאולי עדיין לא נוצלו בקמפיין, ואז לחסום את הדומיינים האלה באופן מונע למקרה שהם ינוצלו בסופו של דבר נגד החברה שלכם.
לפרטים נוספים על התכונות של דוחות VirusTotal, אפשר לעיין בסקירה הכללית על השירותים באתר VirusTotal. אפשר גם לקרוא את המאמר איך זה עובד – VirusTotal או לפנות אלינו כדי לקבל מידע נוסף.
הרשמה לחשבון VT Enterprise
כמו שמתואר למעלה, דוחות VirusTotal יכולים לכלול שירותים נוספים של מודיעין איומי סייבר ותכונות מתקדמות בגרסה המשופרת של דוחות VirusTotal. כדי לקבל פרטים נוספים ולהירשם ל-VT Enterprise, פנו לצוות של VirusTotal.
הודעה משפטית
VirusTotal הוא מוצר של Alphabet שמנתח קבצים, כתובות URL, דומיינים וכתובות IP חשודים כדי לזהות תוכנות זדוניות וסוגים אחרים של איומים, ומשתף אותם באופן אוטומטי עם קהילת האבטחה.
כדי לראות דוחות של VirusTotal, צריך לשלוח ל-VirusTotal ערכי גיבוב (hash) של קבצים מצורפים, כתובות IP או דומיינים.
השימוש ב-VirusTotal מבטא את הסכמתך לכך שהתנאים וההגבלות ומדיניות הפרטיות של VirusTotal חלים על הנתונים ששלחת, ושהמערכת של VirusTotal עשויה לשתף את הנתונים ששלחת עם קהילת האבטחה.
שאלות נפוצות
האם השימוש בגרסה הרגילה של דוחות VirusTotal כרוך בעלות נוספת?
לא. גרסת Standard של דוחות VirusTotal זמינה לאדמינים שיש להם את ההרשאה מרכז האבטחה VirusTotal הצגת דוח.
אם אתם רוצים לשפר את החוויה, את קבלת ההחלטות ואת יכולות החקירה באמצעות הקשר ומוניטין מתקדמים של איומים, אתם צריכים מינוי VT Enterprise בתשלום.
האם חוויית השימוש שונה ללקוחות VirusTotal בתשלום?
כן. אם יש לכם מינוי בתשלום ל-VirusTotal, שנקרא גם VT Enterprise, תראו תוצאות משופרות בכלי החקירה בלי שזה ישפיע על המכסה שלכם ב-VirusTotal. המכסה מנוצלת רק כשפותחים דפים ב-virustotal.com.
איך נרשמים ל-VT Enterprise כדי ליהנות מהגרסה המשופרת של דוחות VirusTotal?
מידע נוסף על VT Enterprise ובקשה לתקופת ניסיון זמינים בסקירה הכללית על השירותים באתר של VirusTotal. כדי להירשם ל-VT Enterprise, צריך לשלוח את הטופס הזה.
בנוסף לגרסה המשופרת של דוחות VirusTotal, האם יש יתרונות נוספים למינוי ל-VT Enterprise?
כן. באמצעות VT Enterprise, אתם יכולים ליישם תרחישים לדוגמה אחרים שרלוונטיים במיוחד למרכזי תפעול אבטחה (SOC), לצוותי תגובה למצבי חירום במחשבים, לצוותי תגובה לאירועים וליחידות מודיעין איומי סייבר:
- העשרה אוטומטית של נתוני טלמטריה של אבטחה – כולל מיון התראות, התעלמות מתוצאות חיוביות מוטעות, אישור של תוצאות חיוביות אמיתיות ומתאם רמת סמך.
- תגובה לאירוע וניתוח פורנזי – כולל מיון התראות של פעולות אבטחה, ניתוח אירועים והקשר, גילוי פריטי מידע וזיהוי IOC.
- מודיעין איומי סייבר וחיפוש מתקדם – כולל גילוי איומים לא ידועים, מעקב אחרי קמפיינים של איומים, מעקב אחרי יריבים, זיהוי מונע של אינדיקטורים לפריצה (IOC), חקירת נוף האיומים ומודעות למצב.
- מעקב אחרי תשתיות של חברות, מותגים, הונאות ופישינג – כולל מעקב אחרי קמפיינים של פישינג, ניתוח של סוסים טרויאניים בבנקאות וגניבת מידע, מעקב אחרי התחזות למותגים, הפצת תוכנות זדוניות וזיהוי ניצול לרעה של תשתיות של חברות.
- צוות אדום והאקינג אתי – כולל שלב איסוף המידע וטביעת אצבע פסיבית, סימולציה של פריצה ומתקפה ואימות של סטאק האבטחה.
- תעדוף נקודות חולשה – כולל אסטרטגיות חכמות לתיקון נקודות חולשה לפי רמת הסיכון, מעקב אחרי ניצול נקודות חולשה בשטח ומיפוי של ניצול נקודות חולשה על ידי גורמים זדוניים.
בסקירה הכללית על VirusTotal 360 מוסבר איך VT Enterprise יכול לשפר את פעולות האבטחה. למידע נוסף, אפשר לפנות למומחים שלנו ב-VirusTotal.
האם הנתונים משותפים עם דוחות VirusTotal בלי פעולות של אדמינים?
לא. כל הפונקציונליות מבוססת על הבחירה של האדמין להציג את הדוח של VirusTotal. רק אחרי שהאדמין מבצע את הפעולה הזו, ערך ה-Hash של הקובץ, הדומיין או כתובת ה-IP משותפים עם VirusTotal כדי לבקש את דוח הערכת הסיכונים לגבי הישות שנבחרה.
אם יש לי מינוי ל-VT Enterprise, האם צפייה בדוחות של VirusTotal דרך כלי החקירה נספרת במכסה שלי?
לא. פתיחת דוחות של VirusTotal דרך כלי החקירה לא משפיעה על המכסה שלכם ב-VT Enterprise. אם אדמין פותח את האתר של VirusTotal כדי לבצע מחקר נוסף מכלי החקירה, הפעולה הזו נספרת במכסה הרגילה, בדיוק כמו כניסה ישירה לאתר virustotal.com.
האם הקבצים משותפים?
לא. רק ערכי הגיבוב של הקבצים נשלחים אל VirusTotal.