Actions automatisées - Instantané médico-légal

Cas d'utilisation - Récréation des travaux pratiques

N° 1 : Comme nous l'avons indiqué dans la section FAQ. Les clichés médico-légaux ne sont pris qu'en cas de ” de compromission “. En d'autres termes, si nous essayons d'accéder et de télécharger un fichier malveillant à partir d'un site TEST et que le fichier est marqué lors du téléchargement et de la mise en quarantaine, cela n'est pas considéré comme un compromis et ne déclenche pas l'action.

Note: Détection DFC, échec de quarantaine, et à peu près tout ce qui, selon la logique, entre dans la catégorie des événements de compromission devrait créer un snapshot médico-légal.

N° 2 : Vous ne pouvez générer de cliché médico-légal qu'une seule fois sur un événement compromis unique, il ne génère pas de cliché à moins de résoudre l'ordinateur compromis dans votre boîte de réception. Si vous ne résolvez pas l'événement compromis, vous ne générez aucun autre instantané.

Exemple : Au cours de ces travaux pratiques, un script génère une activité malveillante et, parce que le fichier est supprimé dès sa création et que Secure Endpoint n'a pas pu mettre en quarantaine le fichier qu'il se trouve dans la catégorie compromis.

Dans ce test, vous pouvez regarder sous actions automatisées et 3 choses qui se sont produites en fonction des paramètres.

• Instantané créé
• L'envoi a été envoyé à Threat Grid (TG)
• Le point de terminaison a été déplacé vers un groupe distinct créé et appelé ISOLATION

Vous pouvez voir tout cela dans cette sortie, comme le montre l'image.

Maintenant que ce point de terminaison est compromis, le prochain test pour prouver la théorie avec un fichier malveillant similaire mais avec un nom différent, comme illustré dans l'image.

Cependant, comme ce compromis n'a pas été résolu, vous ne pouvez créer qu'une soumission TG. Aucun autre événement n'a été enregistré, aussi désactiver l'isolement avant ce 2^ème test.

Note: Notez l'heure à laquelle la menace a été détectée et où les déclencheurs d'action automatisée ont été détectés.

L'événement ne peut pas se déclencher à moins que le point de terminaison compromis ne soit résolu. Dans ce cas, le tableau de bord ressemble à ceci. Notez le pourcentage et le bouton Marquer résolu avec les événements compromis. Quel que soit le nombre d'événements déclenchés, vous ne pouvez créer qu'un seul instantané et le grand pourcentage n'a jamais changé. Ce nombre représente un compromis au sein de votre organisation et il est basé sur le nombre total de terminaux dans votre organisation. Il ne change qu'avec une autre machine compromise. Dans cet exemple, le nombre est élevé en raison de 16 périphériques seulement dans les travaux pratiques. Notez également que les événements de compromission sont automatiquement effacés lorsqu'ils atteignent l'âge de 31 jours.

 

L'étape suivante consiste à créer un autre événement et à générer un cliché médico-légal. La première étape est de résoudre ce compromis, cliquez sur le bouton Marquer résolu. Vous pouvez le faire par point d'extrémité ou sélectionner tout dans votre organisation.

Remarque : si vous sélectionnez tous les compromis, ils sont réinitialisés à 0 %.

Une fois que le bouton Marquer résolu est sélectionné et qu'un seul point de terminaison a été compromis sur le tableau de bord de point de terminaison sécurisé ressemble à ceci. Et à ce stade, un nouvel événement compromis sur la machine à tester a été déclenché.

L'exemple suivant déclenche un événement avec un script personnalisé qui crée et supprime un fichier malveillant.

La console de point de terminaison sécurisé est une fois de plus compromise, comme l'illustre l'image

Voici de nouveaux événements sous Actions automatisées, comme l'illustre l'image.

Lorsque le nom d'hôte sous Actions automatisées est sélectionné, il est redirigé vers la trajectoire du périphérique, où vous pouvez observer la création de l'instantané une fois que vous avez développé l'onglet de l'ordinateur, comme illustré dans l'image.

Une minute plus tard, un instantané est créé, comme l'illustre l'image.

Et maintenant vous pouvez voir les données affichées.

Conseil

Dans des environnements très étendus avec des milliers de terminaux et des centaines de compromis, vous pouvez faire face à des situations où la navigation vers chaque terminal peut être un défi. Actuellement, la seule solution disponible est d'utiliser la carte thermique, puis d'effectuer une hiérarchisation vers le bas vers un groupe spécifique où se trouve votre point de terminaison de compromis, comme dans cet exemple ci-dessous.

Une fois le groupe sélectionné dans la carte thermique, naviguez jusqu'au groupe dans lequel nous avons compromis l'événement. Puisqu'il n'y a qu'un seul terminal dans ce groupe, veuillez noter le compromis à 100 % qui est basé maintenant sur le groupe spécifique dans lequel nous sommes. En d'autres termes, si nous avons 2 points de terminaison dans ce groupe, l'un est propre et l'autre est compromis et affiche un compromis de 50 %.