Bepaal de voorwaarden waaronder geautomatiseerde acties kunnen worden uitgevoerd in een beveiligd endpoint

Inleiding

Dit document beschrijft de voorwaarden waaraan moet zijn voldaan om geautomatiseerde acties te kunnen starten.

Achtergrondinformatie

Geautomatiseerde acties worden geactiveerd bij een compromis (dit betekent dat een niet-gecompromitteerde machine een gecompromitteerde machine wordt). Als een reeds gecompromitteerde machine een nieuwe detectie activeert, wordt deze detectie toegevoegd aan het compromis, maar omdat dit geen nieuw compromis is, wordt er geen geautomatiseerde actie gestart.

Een uitzondering hierop is de ernst. Geautomatiseerde acties worden geactiveerd op basis van criteria die strengheid is, maar compromissen hebben geen strengheid op zich (alleen individuele detecties). Als een geautomatiseerde actie is ingesteld op een hoog prioriteitsniveau en een detectie als middelmatig niveau wordt geactiveerd, wordt de actie niet geactiveerd. Als een volgende gebeurtenis aan het compromis wordt toegevoegd dat hoog is, brengt de actie teweeg aangezien deze nieuwe opsporing in het compromis is dat reeds bestaat.

Wat is een gecompromitteerde machine?

Een gecompromitteerde machine is een eindpunt dat een actief compromis verbonden aan het heeft. Een gecompromitteerde machine kan, door ontwerp, slechts één compromis actief in één keer hebben.

Toepasbaarheid 

Windows, Mac

Geautomatiseerde acties beschikbaar

1. Neem een forensische snapshot op Compromis: neemt een forensische snapshot van een computer wanneer er een compromis is. Een compromitterende gebeurtenis is in principe een gebeurtenis die door een connector wordt gestuurd die een melding maakt van iets dat mogelijk kwaadaardig is.
   
   

   Voorwaarden om deze geautomatiseerde actie te activeren: Gebeurtenissen die de geselecteerde ernst of hoger zijn, activeren de geautomatiseerde actie.

   

   

   Dit is een voorbeeld van een gecompromitteerde machine:

   

   Dit is het logbestand van de geautomatiseerde actie (van het tabblad Auditlogboek)

   

2. Isoleer een computer op compromis: Isoleert computers wanneer een compromis voorkomt.

   Voorwaarden om deze geautomatiseerde actie te activeren: Gebeurtenissen die de geselecteerde ernst of hoger zijn, activeren de geautomatiseerde actie. De snelheidslimiet beschermt u tegen valse positieve detecties. De functie Snelheidslimiet bekijkt het totale aantal isolaties in een 24-uurs glooiend venster. Indien het aantal isolaties groter is dan de grenswaarde, worden geen verdere isolaties geactiveerd. Computers worden weer geïsoleerd zodra het aantal compromisgebeurtenissen tot minder dan de limiet in het 24-uurs glijvenster daalt of u stopt de isolatie op computers die automatisch werden geïsoleerd.

   

   

   Dit is een voorbeeld van een gecompromitteerde machine:

   

   Dit is het logbestand van de geautomatiseerde actie (van het tabblad Auditlogboek):

   

   
   
   

3. Verzenden naar Secure Malware Analytics bij Detectie: Verzend een bestand naar Secure Malware Analytics voor bestandsanalyse wanneer een detectie optreedt.
   
   

   Voorwaarden om deze geautomatiseerde actie te activeren: Gebeurtenissen die de geselecteerde ernst of hoger zijn, activeren de geautomatiseerde actie.

   

   

   Voorbeeld van een gecompromitteerde machine

   

   In dit geval is het bestand eerder naar Secure Malware-analyses verzonden, zodat de bestandsanalyse al is uitgevoerd. Voorbeeld:

   

   

   Opmerking: deze geautomatiseerde actie is niet verbonden met compromissen en voert een automatische detectie uit.

4. Computer naar groep op compromis verplaatsen: computers van hun huidige groepen naar een andere groep verplaatsen wanneer de actie wordt gestart. Dit stelt u in staat om gecompromitteerde computers te verplaatsen naar een groep met een beleid dat agressiever scannen en engine instellingen heeft om het compromis te herstellen.

Voorwaarden om deze geautomatiseerde actie te activeren: Gebeurtenissen die de geselecteerde ernst of hoger zijn, activeren de geautomatiseerde actie.

Dit is de computer in de oorspronkelijke groep:

Dit zijn de compromissen:

Dit is het logbestand van de geautomatiseerde actie (van het tabblad Auditlogboek):

In de instelling Geautomatiseerde actie is de computer naar een bepaalde groep verplaatst:

Actielogboeken

Dit is de volledige lijst van Geautomatiseerde actielogboeken van het tabblad Geautomatiseerde acties:

Gerelateerde informatie

Gebruikershandleiding Secure Endpoint