Verifica analisi Windows Secure Endpoint (CSE)

Introduzione

In questo documento vengono descritti i diversi tipi di digitalizzazione di un connettore Windows.

Prerequisiti

I prerequisiti per questo documento sono:

• Endpoint Windows
• Secure Endpoint (CSE) versione v.8.0.1.21164 o successiva
• Accesso a Secure Endpoint Console

Requisiti

Nessun requisito specifico previsto per questo documento.

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

• Secure Endpoint Console
• Endpoint Windows 10
• Secure Endpoint versione v.8.0.1.21164

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Le analisi sono state testate in un ambiente lab con il criterio impostato per il debug.
La scansione flash durante l'installazione è stata abilitata tramite il download del connettore.
Le scansioni sono state eseguite dall'interfaccia grafica Secure Client e dallo scheduler.

Scansione completa

Questo log mostra quando viene richiesta un'analisi completa dall'interfaccia grafica (GUI) CSE.

Scansione dall'interfaccia utente

In questo caso, il processo ScanInitiator avvia il processo Scan.

(1407343, +0 ms) Aug 23 18:06:01 [9568]: ScanInitiator::RequestScan: Attempting to start scan: dConnected: TRUE, FileName: , Options: 0, PID: 0, Type: 5

Come mostrato nell'immagine, è possibile notare che viene attivata la funzione di scansione completa sulla GUI.

A questo punto, si dispone del SID (ID di sicurezza), che è un valore di lunghezza variabile assegnato a questo particolare evento. Questo ID di sicurezza consente di tenere traccia dell'analisi nei log.

Evento Publish

È possibile far corrispondere questo valore con l'evento dalla console CSE.

Evento console







Nei log è quindi possibile visualizzare quanto segue:

Pubblicazione completata

Questo significa che l'evento è stato pubblicato correttamente nel cloud CSE.

L'azione successiva consiste nell'eseguire la scansione:

Inizio analisi

Come si può notare, il SID è lo stesso, quindi si è sotto il flusso di SID 1407343.

Di seguito sono riportati i passaggi eseguiti dal connettore quando viene rilevata una minaccia durante l'analisi.

Passaggio 1. Il connettore indica il file che ha causato il rilevamento. In questo esempio, è causato da Hacksantana Trainer GLS.

Rilevato file

Passaggio 2. L'evento viene pubblicato nella console CSE con il nome Threat Detection e il percorso in cui si trova.

Nome rilevamento

Pubblicazione evento minaccia

Al termine dell'analisi, è possibile esaminare il Visualizzatore eventi per un riepilogo dell'analisi.

Visualizzatore eventi

Scansione Flash

Le scansioni Flash sono veloci e richiedono da secondi a minuti per essere completate.
In questo esempio, è possibile vedere quando viene avviata l'analisi e, come in precedenza, viene fornito un SID, questa volta, con un valore di 2458015.

Inizio analisi flash

L'azione successiva consiste nel pubblicare l'evento nel cloud CSE.

Al termine dell'analisi, l'evento viene pubblicato nel cloud.

Fine scansione - Pubblica

L'evento può essere visualizzato nel Visualizzatore eventi di Windows. Come si può notare, le informazioni sono identiche a quelle presentate nei log.

Evento JSON

Analisi pianificate

Quando si tratta di analisi pianificate, è necessario essere a conoscenza di una serie di aspetti.

Una volta pianificata l'analisi, il numero di serie viene modificato.

In questo caso, il criterio di test non dispone di analisi pianificate.

Numero di serie del criterio

Se si desidera pianificare un'analisi, fare clic su Modifica.

Passa a Advanced Settings > Scheduled Scans.

Impostazioni avanzate

Fare clic su New.

Nuova configurazione di digitalizzazione

Le opzioni sono:

• Intervallo di scansione
• Tempo di scansione
• Tipo di analisi

Dopo aver configurato l'analisi, fare clic su Aggiungi.

Configurazione analisi pianificata

Salvare le modifiche apportate ai criteri. Verrà visualizzato un popup che conferma le modifiche.

Popup

Modifica numero di serie

Modifica numero di serie

L'analisi è configurata nel criterio, in questo esempio, sono configurate due analisi, una Flash e una Full Scan.

XML criteri

Vengono aggiunti a uno scheduler in HistoryDB. I caratteri accanto al tag <pianificato> sono l'ID processo (PID) che identifica l'analisi.

ID processo

Come mostrato nell'immagine, viene inserito in coda.

Scansione in coda

È possibile eseguire una ricerca nei log per l'analisi e verificare se l'analisi può essere eseguita ora o meno. In caso affermativo, la scansione viene eseguita.

Esecuzione scansione

È possibile notare che le opzioni per l'analisi sono caricate e il processo ScanInitiator richiede l'avvio dell'analisi.

Quindi, Process Scan::ScanThreadProcess avvia Scan.

Analogamente agli eventi precedenti, deve essere pubblicato nel cloud CSE. I log possono indicare il tipo di scansione, che in questo caso è Flash.

Evento di pubblicazione dell'analisi pianificata

È possibile passare a Event Viewer > App and Services Registries.

Registri applicazioni e servizi

Cercare Cisco Secure Endpoint e aprire Cloud ed eventi. Ogni scheda offre una visualizzazione diversa.

Eventi:

Visualizzazione eventi

Cloud:

Visualizzazione tramite cloud

Al termine dell'analisi, sarà possibile visualizzare l'evento pubblicato nel cloud.

Fine scansione - Pubblica

Analisi completa pianificata

Nel Visualizzatore eventi di Windows viene visualizzato Event Scan Started, come illustrato nell'immagine.

Al termine, sarà possibile confrontare l'evento pubblicato.

È possibile visualizzarlo nel visualizzatore eventi di Windows.

Visualizzatore eventi

Altre analisi

Quando si tratta di scansioni personalizzate o rootkit, la differenza principale che avete notato è il Tipo di scansione nel Visualizzatore eventi o nei log.

Risoluzione dei problemi

Se non viene eseguita un'analisi pianificata:

• Verificare che l'endpoint sia disponibile nel momento in cui si desidera che venga eseguita l'analisi.
• Verificare che l'analisi sia pianificata nel criterio. Se non è visibile, attivare una sincronizzazione dei criteri.