目录

简介

常见问题

什么是受危害的机器？

什么是妥协？

在受感染的计算机上发生新检测时会发生什么情况？

我在哪里可以看到和管理危害？

如何触发自动操作*?

如何重新触发自动操作？

使用案例 — 实验重新创建

提示

简介

本文档介绍安全终端中的自动操作功能与危害的概念有关。  了解危害的生命周期和管理对于理解自动化操作的功能至关重要。本文回答有关这些概念的术语和功能的问题。

常见问题

什么是受危害的机器？

受感染的计算机是与其关联的活动危害的终端。按照设计，受感染的机器一次只能激活一个危害。

什么是妥协？

危害是计算机上一个或多个检测的集合。大多数检测事件（检测到威胁、危害表现等）都可以生成或与危害关联。但是，有对事件可能不会触发新的危害。例如，当检测到威胁事件发生，但在其发生关联的威胁隔离事件后不久，这不会触发新的危害。从逻辑上讲，这是因为安全终端已处理了潜在危害（我们隔离了威胁）。

在受感染的计算机上发生新检测时会发生什么情况？

检测事件将添加到现有危害。未创建新危害。

我在哪里可以看到和管理危害？

危害在安全终端控制台的“收件箱”(Inbox)选项卡中进行管理(北美云为https://console.amp.cisco.com/compromises)。受损计算机列在“需要注意”部分下，可通过按“已解决标记”来清除其危害。此外，一个月后，威胁会自动消除。

如何触发自动操作*?

在危害（即未受危害的机器成为受危害的机器时）触发自动操作。如果已受损的计算机遇到新检测，则此检测会添加到危害中，但由于这不是新的危害，因此不会触发自动操作。

如何重新触发自动操作？

在尝试重新触发自动操作之前，必须“清除”危害。请记住，Threat Detected + Threat Quarantined事件不足以生成新的危害事件（因此不足以触发新的自动操作）。

*异常：“向ThreatGrid提交文件”自动操作与危害无关，并运行每次检测

使用案例 — 实验重新创建

#1:正如我们在常见问题部分中所述。调查分析快照仅在“危害”时拍摄。换句话说，如果我们尝试从TEST站点访问和下载恶意文件，并且下载时会标记该文件并将其隔离，而不被视为危害，并且不会触发操作。

注意：DFC检测、隔离故障以及几乎任何逻辑属于危害事件类别的内容都应创建取证快照。

#2:只能在唯一受危害事件上生成一次取证快照，它不会生成快照，除非您在收件箱中解析受危害的计算机。如果不解决受危害事件，则不生成任何其他快照。

示例：在本实验中，脚本会生成恶意活动，并且因为文件一旦创建即被删除，并且安全终端无法隔离其属于危害类别的文件。

在本测试中，您可以根据设置查看自动操作和发生的3件事。

- 已创建快照

- 提交文件已发送到Threat Grid(TG)

- 终端已移至创建并称为ISOLATION的单独组

您可以在此输出中看到所有这些，如图所示。

现在，由于此终端已受到危害，下一次测试将用类似的恶意文件证明该理论，但名称不同，如图所示。

但是，由于此危害未解决，您只能创建TG提交。没有记录其他事件，也在此第2次测试之前关闭隔离。

注意：请注意检测到威胁并触发自动操作的时间。

除非已解决受危害的终端，否则无法检索事件。在本例中，控制面板如下所示。请注意百分比和“标记已解决”按钮以及受危害事件。无论触发了多少个事件，您只能创建一个快照，且大百分比数量从未更改。该数字表示您组织内部的危害，并且取决于您组织中终端的总数量。它仅与另一台受危害的计算机一起更改。在本例中，由于实验中只有16台设备，因此该数字很高。另请注意，危害事件在达到31天时自动清除。

下一步是创建另一个事件并生成取证快照。第一步是解决此危害，单击“标记已解决”按钮。您可以按终端执行此操作，也可以在组织中选择所有。

注意：  如果选择所有危害，则重置为0%。

选择“标记已解析”(Mark Resolved)按钮后，由于安全终端控制面板上仅有一个终端受到危害，因此如下所示。此时，测试机上触发了新的入侵事件。

下一个示例使用创建和删除恶意文件的自定义脚本触发事件。

如图所示，安全终端控制台再次受到危害

以下是自动操作下的新事件，如图所示。

选择“自动操作”下的主机名后，主机名将重定向到“设备轨迹”，在此可以观察展开计算机选项卡后创建的快照，如图所示。

然后，将创建快照，如图所示。

现在，您可以查看显示的数据。

提示

在拥有数千个端点和数百个危害的超大型环境中，您可能会遇到导航到单个端点可能是一项挑战的情况。目前，唯一可用的解决方案是使用热图，然后深入到您的危害终端所在的特定组，如下例所示。

在热图中选择组后，导航到我们危害了事件的组。由于该组中只有一个终端，请注意100%受感染，这取决于我们所在的特定组。换句话说，如果此组中有2个终端，一个是干净的，另一个受感染的终端显示50%的危害。