Acciones automatizadas: instantánea forense

Caso usado - Recreación de laboratorio

N.º 1: Como hemos indicado en la sección Preguntas frecuentes. Las instantáneas forenses se toman sólo en caso de "compromiso". En otras palabras, si tratamos de acceder y descargar un archivo malicioso desde un sitio TEST y el archivo se marca al descargarlo y ponerlo en cuarentena que no se considera un riesgo y no activa la acción.

Nota: La detección de DFC, la falla de cuarentena y prácticamente cualquier cosa que, según la lógica, caiga en la categoría de evento de compromiso debería crear una instantánea forense.

N.º 2: Solo puede generar una instantánea forense una vez en un evento comprometido único, no genera una instantánea a menos que resuelva el problema de la máquina en su bandeja de entrada. Si no resuelve el evento comprometido, no generará ninguna otra instantánea.

Ejemplo: En este laboratorio, una secuencia de comandos genera actividad maliciosa y, como el archivo se elimina tan pronto como se crea y el terminal seguro no pudo poner en cuarentena el archivo en el que se encuentra para poner en peligro la categoría.

Ahora en esta prueba, puede ver las acciones automatizadas y 3 cosas que han ocurrido en función de la configuración.

• Se creó la instantánea
• El envío se envió a Threat Grid (TG)
• El punto final se trasladó a un grupo distinto que se creó y se llamó AISLAMIENTO

Puede ver todo eso en esta salida, como se muestra en la imagen.

Ahora que este terminal está comprometido, la siguiente prueba para probar la teoría con un archivo malintencionado similar pero con un nombre diferente, como se muestra en la imagen.

Sin embargo, como este compromiso no se resolvió, sólo puede crear un envío de TG. No se registraron otros eventos, también se apaga el aislamiento antes de esta 2^ª prueba.

Nota: Observe el momento en que se detectó la amenaza y se activaron las acciones automatizadas.

El evento no se puede recuperar a menos que se resuelva el extremo comprometido. En este caso, el panel se ve así. Observe el porcentaje y el botón Marcar resuelto junto con los eventos comprometidos. No importa cuántos eventos se activen, solo podrá crear una instantánea y el número de porcentaje grande nunca cambiará. Ese número representa un riesgo dentro de su organización y se basa en la cantidad total de terminales de su organización. Sólo cambia con otra máquina comprometida. En este ejemplo, el número es alto debido a que sólo hay 16 dispositivos en el laboratorio. Además, tenga en cuenta que los eventos de compromiso se borran automáticamente una vez que alcanzan los 31 días de edad.

 

El siguiente paso es crear otro evento y generar una instantánea forense. El primer paso es resolver este problema, haga clic en el botón Marcar resuelto. Puede hacerlo por terminal o puede seleccionar todo en su organización.

Nota: Si selecciona todos los compromisos, se restablecen al 0%.

Una vez seleccionado el botón Marcar resuelto y puesto que sólo un terminal se vio comprometido en el panel de terminales seguros, se verá así. Y en este punto, se desencadenó un nuevo evento comprometido en la máquina de prueba.

El siguiente ejemplo activa un evento con un script personalizado que crea y elimina un archivo malintencionado.

Una vez más, la consola de terminales seguros se vio comprometida, como se muestra en la imagen

Estos son los nuevos eventos en Acciones automatizadas, como se muestra en la imagen.

Cuando se selecciona el nombre de host en Acciones automatizadas, se redirige a la trayectoria del dispositivo, donde puede observar la instantánea que se crea una vez que expande la ficha del equipo, como se muestra en la imagen.

Y minutos después se crea una instantánea, como se muestra en la imagen.

Y ahora puede ver los datos mostrados.

Recomendación

En entornos muy grandes con miles de terminales y cientos de compromisos, puede encontrarse con situaciones en las que la navegación hacia el terminal individual puede suponer un reto. Actualmente, la única solución disponible es utilizar el mapa de calor y, a continuación, profundizar en un grupo específico en el que su terminal de riesgo es como en este ejemplo a continuación.

Una vez seleccionado el grupo en el mapa de calor, navegue hasta ese grupo en el que hemos comprometido el evento. Dado que solo hay un terminal en ese grupo, observe el 100% comprometido que se basa ahora en el grupo específico en el que estamos. En otras palabras, si tenemos dos terminales en este grupo, uno limpio y el otro comprometido muestra un compromiso del 50%.