Ações automatizadas - Instantâneo forense

Caso usado - Recriação de laboratório

Nº 1: Como dissemos na seção de perguntas frequentes. Os snapshots forenses são obtidos somente em caso de "comprometimento". Em outras palavras, se tentarmos acessar e baixar um arquivo mal-intencionado de um site TEST e o arquivo for sinalizado durante o download e colocado em quarentena que não é considerado um comprometimento e não aciona a ação.

Note: Detecção de DFC, Falha de Quarentena e praticamente qualquer coisa que, pela lógica, se encaixe na categoria de evento de comprometimento deve criar Instantâneo Forense.

Nº 2: Você só pode gerar um Instantâneo Forense uma vez em um evento comprometido exclusivo que ele não gere um instantâneo, a menos que você resolva a máquina comprometida na caixa de entrada. Se você não resolver o evento comprometido, não gerará nenhum outro snapshot.

Exemplo: Neste laboratório, um script gera atividade mal-intencionada e, como o arquivo é excluído assim que é criado, o Secure Endpoint não conseguiu colocar o arquivo em quarentena na categoria de comprometimento.

Agora, neste teste, você pode observar ações automatizadas e 3 coisas que aconteceram com base nas configurações.

• O instantâneo foi criado
• O envio foi enviado para o Threat Grid (TG)
• O endpoint foi movido para um grupo separado criado e chamado ISOLAMENTO

Você pode ver tudo isso nessa saída, como mostrado na imagem.

Agora, como esse endpoint está comprometido, o próximo teste para provar a teoria com um arquivo mal-intencionado semelhante, mas com um nome diferente, como mostrado na imagem.

No entanto, como esse compromisso não foi resolvido, você só pode criar um envio de TG. Nenhum outro evento foi gravado, além de desligar o isolamento antes deste 2^º teste.

Note: Observe a hora em que a ameaça foi detectada e a ação automatizada é acionada.

O evento não poderá ser reacionado a menos que o ponto de extremidade comprometido seja resolvido. Nesse caso, o painel fica assim. Observe a porcentagem e o botão Mark Resolved junto com os eventos comprometidos. Não importa quantos eventos sejam disparados, você só pode criar um snapshot e o grande número percentual nunca mudou. Esse número representa um comprometimento dentro da sua empresa e se baseia na quantidade total de endpoints na sua empresa. Ele só muda com outra máquina comprometida. Neste exemplo, o número é alto devido a apenas 16 dispositivos no laboratório. Além disso, observe que os eventos de comprometimento são limpos automaticamente quando atingem 31 dias de idade.

 

A próxima etapa é criar outro evento e gerar um snapshot forense. A primeira etapa é resolver esse compromisso, clique no botão Marcar resolução. Você pode fazer isso por endpoint ou selecionar tudo na sua organização.

Observação: se você selecionar todos os comprometimentos serão redefinidos para 0%.

Depois que o botão Marcar resolvido for selecionado e como apenas um endpoint foi comprometido no painel do Secure Endpoint é semelhante a este. E neste ponto, um novo evento comprometido na máquina de teste foi acionado.

O próximo exemplo aciona um evento com um script personalizado que cria e exclui um arquivo mal-intencionado.

O console do Endpoint seguro novamente está comprometido, como mostrado na imagem

Aqui estão novos eventos em Ações automatizadas, como mostrado na imagem.

Quando o nome de host em Ações automatizadas é selecionado, ele redireciona para a trajetória do dispositivo, onde você pode observar o snapshot que está sendo criado quando você expande a guia Computador, como mostrado na imagem.

E o instantâneo mais recente é criado, como mostrado na imagem.

E agora você pode ver os dados exibidos.

Dica

Em ambientes muito grandes com milhares de endpoints e centenas de comprometimentos, você pode se deparar com situações em que a navegação para o endpoint individual pode ser um desafio. Atualmente, a única solução disponível é usar o mapa de calor e depois detalhar para um grupo específico em que seu endpoint de comprometimento é como neste exemplo abaixo.

Quando o grupo for selecionado no mapa de calor, navegue até o grupo no qual o evento foi comprometido. Como há apenas um endpoint nesse grupo, observe os 100% comprometidos que agora se baseiam no grupo específico em que estamos. Em outras palavras, se tivermos dois endpoints nesse grupo, um limpo e o outro comprometido mostrarão 50% de comprometimento.