Revisar análisis de Windows de terminales seguros (CSE)

Introducción

Este documento describe los diferentes tipos de análisis de un conector de Windows.

Prerequisites

Los requisitos previos para este documento son:

• Extremo de Windows
• Secure Endpoint (CSE) versión v.8.0.1.21164 o posterior
• Acceso a Secure Endpoint Console

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Consola de terminal segura
• Extremo de Windows 10
• Versión de terminal seguro v.8.0.1.21164

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

Los análisis se probaron en un entorno de laboratorio con la política establecida en debug.
La exploración de Flash durante la instalación se habilitó mediante la descarga del conector.
Los análisis se ejecutaron desde la GUI de Secure Client y desde Scheduler.

Análisis completo

Este registro se muestra cuando se solicita un análisis completo desde la interfaz gráfica de usuario (GUI) de CSE.

Analizar desde la interfaz de usuario

Aquí, el proceso ScanInitiator comienza el proceso Scan.

(1407343, +0 ms) Aug 23 18:06:01 [9568]: ScanInitiator::RequestScan: Attempting to start scan: dConnected: TRUE, FileName: , Options: 0, PID: 0, Type: 5

Puede ver que Análisis completo es el tipo de Análisis activado en la GUI como se muestra en la imagen.

A continuación, tiene el Identificador de seguridad (SID), que es un valor de longitud variable asignado a este evento en particular, este Identificador de seguridad le ayuda a realizar el seguimiento del análisis en los registros.

Evento Publish

Puede relacionar esto con el evento desde la consola CSE.

Evento de consola







A continuación, en los registros, puede ver lo siguiente:

Publicación correcta

Esto significa que el evento se ha publicado correctamente en la nube de CSE.

A continuación, la siguiente acción consiste en realizar el análisis:

Inicio del análisis

Como puede observar, el SID es el mismo, por lo que se encuentra bajo la secuencia de SID 1407343.

Estos son los pasos que realiza el conector cuando se detecta una amenaza durante el análisis.

Paso 1. El conector le indica el archivo que causó la detección; en este ejemplo, es causado por Hacksantana Trainer GLS.

Archivo detectado

Paso 2. El evento se publica en la consola CSE con el nombre de Threat Detection y la ruta donde se encuentra.

Nombre de detección

Publicación de evento de amenaza

Una vez finalizado el análisis, puede echar un vistazo al visor de eventos para obtener un resumen del análisis.

Visor de eventos

Análisis Flash

Las exploraciones flash son rápidas, tardan de segundos a minutos en finalizar.
En este ejemplo, puede ver cuándo se inicia el análisis y, como en el caso anterior, se proporciona un SID, esta vez, con un valor de 2458015.

Inicio de escaneo Flash

La siguiente acción consiste en publicar el evento en la nube de CSE.

Cuando finalice el análisis, el evento se publicará en la nube.

Digitalización Finalizar publicación

El evento se puede ver en el visor de eventos de Windows. Como puede observar, la información es la misma que la información presentada en los registros.

Evento JSON

Exploraciones programadas

Cuando se trata de análisis programados, debe tener en cuenta una serie de aspectos.

Después de programar un análisis, se produce un cambio en el número de serie.

Aquí, la política de prueba no tiene ningún análisis programado.

Número de serie de política

Si desea programar un análisis, haga clic en Editar.

Desplácese hasta Advanced Settings > Scheduled Scans.

Configuración avanzada

Haga clic en New.

Nueva configuración de análisis

Las opciones son:

• Intervalo de análisis
• Tiempo de escaneo
• Tipo de análisis

Una vez configurado el análisis, haga clic en Agregar.

Configuración de análisis programada

Guarde los cambios de directiva y aparecerá una ventana emergente que confirma los cambios.

Elemento Emergente

Cambio del número de serie

Cambio del número de serie

El análisis se configura en la directiva; en este ejemplo, se configuran dos análisis, uno Flash y otro Full Scan.

XML de política

Se agregan a un Planificador en HistoryDB. Los caracteres junto a la etiqueta <Scheduled> son la ID de proceso (PID) que identifica el análisis.

ID de Proceso

Como se muestra en la imagen, se coloca en cola.

Análisis en cola

Puede buscar el análisis en los registros y ver si el análisis se puede ejecutar ahora o no. Si es posible, el análisis se ejecuta.

El análisis puede ejecutar

Puede ver que se han cargado las opciones para el análisis y que el proceso ScanInitiator solicita que se inicie el análisis.

A continuación, Process Scan::ScanThreadProcess inicia el análisis.

Al igual que en eventos anteriores, debe publicarse en la nube de CSE. Los registros pueden indicarle el tipo de escaneo, que en este caso es Flash.

Evento de publicación de análisis programado

Puede desplazarse a Event Viewer > App and Services Registries.

Registros de aplicaciones y servicios

Busque Cisco Secure Endpoint y abra Cloud and Events. Cada ficha ofrece una vista diferente.

Eventos:

Vista de eventos

Nube:

Cloud View

Una vez finalizado el análisis, podrá ver el evento publicado en la nube.

Digitalización Finalizar publicación

Análisis completo programado

El visor de eventos de Windows muestra Event Scan Started, como se muestra en la imagen.

Una vez finalizado, puede comparar el evento publicado.

Puede ver esto en el visor de eventos de Windows.

Visor de eventos

Otros análisis

Cuando se trata de escaneos personalizados o de rootkit, la diferencia principal que ha notado es el Tipo de escaneo en el visor de eventos o en los registros.

Troubleshoot

Cuando no se realiza un análisis de programación:

• Asegúrese de que el punto final esté disponible para cuando tenga lugar el análisis.
• Asegúrese de que el análisis está programado en la directiva. Si no lo ve, active una sincronización de directivas.