Carbon Black Cloud Sensor Agent 관리

Carbon Black Cloud 은 엔드포인트 및 워크로드에 센서 에이전트를 설치하여 관리한다.

센서가 엔드포인트에서 동작하기 때문에 사용자의 활동과 직접적으로 연관이 있다.
이러한 센서 에이전트가 비정상적으로 동작하거나 설치가 누락되었다면 사내 보안에 홀이 생길 수 있다.

먼저 센서를 배포하기 위해 정책과 센서 그룹 정의가 필요하다. 

먼저 정책부터 살펴보자. 
모든 센서는 하나의 정책에 할당되고 있으며, 정책을 통해서 센서의 어떠한 기능이 활성화될 지의 여부를 결정한다.
이러한 정책은 여러가지 방법으로 할당이 가능한데, 수동/자동(센서 그룹) 등의 방법으로 할당한다. 

<정책 정의>

• 센서 기능 정의
• 차단 및 격리 규칙 정의
• 바이너리 공유 여부 정의
• USB 엑세스 제어 정의
• 센서 그룹화 가능

정책은 Enforce > Policies 메뉴에서 확인이 가능하고 New Policy 버튼을 클릭하여 새로운 정책 생성 가능하다.
사용자가 신규로 정책을 생성할 수도 있지만, Carbon Black Cloud 에서 기본적으로 제공하는 정책도 있다.

<기본 제공 정책>

• Standard
  • 별도의 정책 할당되지 않은 경우에 기본으로 적용되는 정책
  • VMware 에서 권장하는 기준이 되는 정책
  • 예방 기능을 확장하기 위한 기초 정책
• Monitored
  • 상호 운용성 문제를 방지하기 위해 모니터링 하기 위한 정책
• Advanced
  • Standard 정책의 상위 버전
  • 추가 예방 기능과 예시 고급 규칙
  • 각 회사 환경에 따라 조정되지 않을 시, 운영에 영향을 끼칠 수 있음 (주의)
  • 정책이 많이 적용되어 있으므로 오탐이 많이 발생할 수 있으므로 사전 확인 필요

<정책 정의>

정책은 General, Prevention, Local Scan, Sensor 메뉴로 구성되어 있다

• General : 이름 및 노트 지정, 센서의 중요도 수준 지정 (경고에 대한 심각성 지시 제공)
• Sensor : 센서 UI 설정, Live Respons 관련 설정, 백그라운드 스캔 및 레벨, 해싱 기능, VDI 설정 등
• Local Scan : 전통적인 바이러스 백신 설정처럼 시그니처 업데이트 빈도 및 스캔 설정
                        시그니처 업데이트는 기본적으로 클라우드에서 제공되나, 선택적으로 미러 서버를 구성하여 사용 가능
                       (센서 업데이트에 관련된 트래픽 유지 - 클라우드 통신 대신 로컬 통신)
• Prevention : 카테고리에 대한 행위 차단 및 중지 정책 설정(애플리케이션 경로 추가하여 설정 가능), USB 차단 설정
                       업로드 규칙은 파일이 클라우드에 업로드 되는 것을 허용 및 거부하는 경로 기반 설정, 업로드된 파일은
                       받은 편지함에서 다운로드 가능

<센서 그룹 생성>

Inventory > Sensor Groups 메뉴에서 센서 그룹에 대해 확인할 수 있으며, Add Group 버튼을 클릭하여 센서 그룹을 생성한다. 

• 센서 설치 가능한 OS 지정 가능
• 디바이스 정의 정책 : AD OU/Domain/DN, Device Name, Subnet (C class)
• 센서 그룹에 Policy 매칭
• 센서 그룹 적용 : Top - Down 방식

<정책 변경 시의 고려 사항>

정책에서 변경된 사항이 시스템 환경에 영향을 미칠 수 있음을 주의해야 한다. 주의점을 방지하기 위해서는 몇가지 확인하는 것이 좋다.

• 중복 정책 생성 및 변경 사항 구현
• 선택한 시스템을 새로운 정책으로 이동하여 변경 사항 테스트 진행
• 정책 이름에서 날짜 또는 버전 관리를 사용하여 정책의 이력 관리 진행
• 변경 사항과 변경 이유를 식별하기 위한 설명 기입

정책 할당은 기본적으로 1분 간격으로 진행되며, 콘솔에서 지정한 정책에 의해서 할당된다.

---

<센서 설치 방식>

Attended (UI)	Unattended (CLI)
GUI 사용	CLI 사용
하나 또는 그 이상의 엔드포인트를 설치하는데에 사용	많은 엔드포인트를 설치하는데에 사용
Windows 및 Mac OS 지원	Windows, MAC, Linux OS 지원
모든 admin 유저는 센서 가능	로컬 및 도메인 관리자 계정, 로컬 명령 프롬프트 엑세스 또는 원격 배포 도구 필요
사용자가 지정할 수 있는 옵션 없음	환경에 맞게 사용자 정의 옵션 설정 가능

<설치 코드>

Activation Code	Company Code
attended (UI) 설치 방법에 사용	unattended (CLI) 설치 방법에 사용 가능
사용자에게 특정됨	조직에 특정됨
무제한 사용 가능하지만, 7일 후에 만료됨	무제한 사용 가능하며, 만료되지 않음 (사용자가 재생성 시에는 기존 코드는 만료됨)

<attended 설치 절차>

1. 사용자에게 설치 요청을 보내거나 관리자에게 요청
2. 센서 설치 프로그램 다운로드
3. 대상 엔드포인트에서 설치 프로그램 파일 실행 및 활성화 코드 입력
    (활성화 코드는 설치 요청에 포함됨)

설치 요청 발송 방법

1. 콘솔 로그인 진행 > Inventory > Endpoints 메뉴 이동
2. Sensor Options > Send Installation Request 선택
3. 표시되는 창에 사용자 이름 및 이메일 입력 후 Send 버튼 클릭하여 발송
4. 사용자 메일 확인하여 다운로드 진행

콘솔 다운로드 설치 방법

1. 콘솔 로그인 진행 > Inventory > Endpoints 메뉴 이동
2. Sensor Options > Download Sensor Kits 선택
3. 대상 OS 선택하여 Download kit 선택
4. 로컬 PC에 다운로드된 설치 파일 실행
5. 설치 과정 진행 및 코드 입력
* MAC OS의 경우 : 시스템 환경 설정 > Security & Privacy > VMware CB Cloud [Allow] 진행

<unattended 설치 절차>

1. 센서 설치 프로그램 다운로드
2. 활성화 코드 확인
3. CLI 를 통해 OS에 적합한 설치 명령 실행

Company Codes 

• 각 콘솔마다 고유한 회사 코드 보유
• 회사 코드 재생성은 언제든지 가능
• 회사 코드를 재생성하면 이전 코드는 무효화되며, 새로운 설치 시에 새로운 회사 코드 사용 필요
• 회사 코드를 재생성하여도 기존 설치에는 영향을 미치지 않음
• 센서 제거 시에 회사 코드가 필요하도록 설정 가능
• 회사 코드 재생성 시 Audit Log 페이지에 로깅됨
• 회사 코드는 공유하면 안됨

---

Carbon Black Cloud Console 에서 다양한 Sensor Management를 할 수 있다.
먼저 Console 을 통해 Carbon Black 센서 상태 확인이 가능하다.

• Active
  • 센서가 지난 30일 이내에 체크인한 상태 (정상적인 상태)
  • 연결 상태나 버전 정보를 반영하지는 않음
• Inactive
  • 지난 30일 동안 체크인 하지 않은 상태
  • 센서가 다시 체크인하면 Active 상태로 전환됨
• Bypass
  • 해당 엔드포인트 정책 비활성화 및 센서 데이터가 클라우드로 업로드되지 않음
  • 센서 업데이트 중 바이패스 모드로 전환
  • 다른 응용 프로그램 문제 해결을 위해 센서를 일시적으로 비활성화하는 데 사용됨
  • 관리자 또는 정책에 허용되는 경우, 사용자에 의해 전환 가능
  • 콘솔에서 마지막 체크인에 대해서 확인 가능
• Deregistered
  • 센서 등록이 취소되었거나, 제거된 상태 (센서는 제거된 후, 등록이 취소됨)
  • 등록 취소된 센서는 다시 설치해야 사용 가능
  • 등록이 취소된 센서는 관리자가 수동으로 삭제 필요
  • 새로운 설치는 기존 엔드포인트가 아닌 새로운 엔드포인트가 생성됨
  • 센서는 특정 기간 후에 자동 등록 취소 및 자동 삭제 설정 가능
• Errors
  • 센서 오류 발생 상태
• Pending install
  • 사용자에게 센서 설치 요청 이메일을 보냈지만, 설치되지 않은 상태
  • 설치 요청 보낼 때 생성됨
  • 보류 중인 설치 항목을 삭제하면 설치 요청이 취소됨
• Quarantine
  • 센서가 네트워크에서 격리된 상태
  • Carbon Black 에 필요한 연결만 허용됨
  • Quarantine 상태에서 벗어나려면 Carbon Black Console 과 연결된 상태여야 함
  • 네트워크의 무단 활동을 방지하거나 보안 사고를 해결하는데 유용하게 사용됨

센서 상태 뿐만 아니라 시그니처 업데이트 상태도 확인이 가능하다.
([Policy] > [Local Scan] 에서 시그니처 업데이트에 대한 정책 설정 가능)

• Up to Date (동그라미)
  • 시그니처 버전이 최신임을 나타냄
  • 최신 버전의 기준은 현재 날짜로부터 7일 이내에 릴리스된 버전
• Out of Date (세모)
  • 시그니처 버전이 오래되었음을 나타냄
  • 현재 날짜로부터 7일 이내에 릴리스되지 않음을 표시
• Not Available (네모)
  
  • 시그니처 버전이 아직 보고되지 않았거나 식별할 수 없음
  • 로컬 스캔이 구성되지 않았거나, 로컬 스캔 구성된 후에 센서에 오류가 발생한 경우에는 시그니처 버전이 표시되지 않을 수 있음
• Not Applicable (아이콘 없음)
  • 식별할 수 없는 시그니처 버전
  • Mac OS 및 Linux 센서에서 발생하는 현상

---

자세한 내용은 아래 VMware Docs 를 통해 확인이 가능하다.

https://docs.vmware.com/en/VMware-Carbon-Black-Cloud/services/carbon-black-cloud-user-guide/GUID-C8423E18-7163-46E7-9E94-9169CEFD6782.html

Sensor Status and Details

---