Endpoint Incident-ийг хэрхэн шинжлэх вэ?

Endpoint Incidents табад endpoint түвшинд илэрсэн, судлах шаардлагатай бөгөөд одоогоор ямар ч арга хэмжээ аваагүй бүх сэжигтэй incident харагдана.

1. 1Endpoint incidents табын incident-ийн хүснэгтээс шинжлэхийг хүссэн аюулгүй байдлын үйл явдлыг (security event) олно.

- Incident картан дээрх View Graph (Графикийг харах) товчийг дарж Incident graph-ийг шинэ хуудсанд нээнэ, эсвэл
- Тухайн incident-ийн хамгийн чухал халдлагын шинж тэмдгийг хурдан харахын тулд үйл явдлын картыг сонгож дэлгэрэнгүй мэдээллийн самбарыг нээнэ.

Incident graph-ийг нээсний дараа incident-ийг өдөөсөн үйл явдлуудын дарааллыг харах бөгөөд засч залруулах арга хэмжээ авах сонголтууд гарна.

Графикийн цонхонд дараах хэсгүүд байна.

1. Graph таб
2. Events таб
3. Response таб
4. Incident status bar
5. Incident info самбар
6. Notes clipboard
7. History Clipboard
8. Search bar (Graph таб-ын тайлбараас үзнэ үү)

Граф анхнаасаа incident-ийн Critical path (чухал зам)-ыг болон incident-ийг өдөөсөн үйл явдлыг тодруулж харуулна.

2. 2Incident-ийн үндсэн шалтгааныг олохын тулд өдөөгч зангилаа (trigger node)-ийн дэлгэрэнгүй мэдээллийн самбар дахь мэдээллийг шинжилж эхэлнэ.

Самбарт өдөөгч зангилаан дээр илэрсэн alert-ууд, үйл явдлын огноо, цаг, халдагчийн ажиллуулсан командын мөрүүд зэрэг үнэ цэнэтэй мэдээлэл байдаг.

3. 3Нөхцөл боломжтой бол сэжигтэй эсвэл хортой элементүүдийг ажиллуулж, тэдгээр нь таны орчинд хэр хохирол учруулж болохыг Sandbox тайлангаас үнэлэхийн тулд Add to Sandbox (Sandbox-д нэмэх) товчийг сонгоно.

> Зөвлөмж: Юуг ч орхигдуулаагүйг баталгаажуулахын тулд өдөөгч зангилаатай ижил түвшинд байгаа бусад зангилааг мөн шалгана.

4. 4Incident-ийн шалтгааныг тодорхой ойлгох хүртлээ critical path-ийг бүрдүүлэх бусад элементүүдийг үргэлжлүүлэн шинжилж болно.

- Аюул бодитой бол түүнийг арилгахын тулд тохирох арга хэмжээ авна. Боломжит арга хэмжээний талаар Node details хэсгээс дэлгэрэнгүй үзнэ үү.

- Аюул бодитой биш бол графикийн дээд хэсэг дэх Status цэс рүү орж incident-ийн төлвийг False positive (буруу илрүүлэлт) болгож, жагсаалтын дараагийн incident-ийг шинжилж эхэлнэ.

> Тэмдэглэл: Incident-ийг өөр хэрэглэгч дахин нээсэн тохиолдолд нөхцөл байдлыг ойлгоход нь туслахын тулд Notes clipboard-д incident-ийн талаарх ажиглалтаа үлдээж болно.

5. 5Нэмэлт шинжилгээ шаардлагатай бол шинжилж буй incident-ийн хүрээнд үүссэн бүх түүхий үйл явдал (raw events) болон alert-уудыг харахын тулд Events таб руу шилжинэ.

Events

Шинжилж буй incident-ийг өдөөх хүртэл үйл явдлууд хэрхэн өрнөснийг харахын тулд Events табыг ашиглана. Энэ цонхонд EDR, Network Attack Defense, Anomaly Detection, Advanced Anti-Exploit, Windows Antimalware Scan Interface (AMSI) зэрэг GravityZone-ийн технологиор илрүүлсэн, хоорондоо уялдуулсан системийн үйл явдал болон alert-ууд харагдана.

Үйл явдал бүрт нь юу илэрсэн, уг объектыг хортой зорилгоор ашиглавал юу болж болох талаар MITRE-ийн хамгийн сүүлийн technique болон tactic-уудад нийцүүлсэн дэлгэрэнгүй тайлбар байдаг.

Шүүлтүүрийн сонголтоор бүх үйл явдлыг харуулж эсвэл ATT&CK tactic-аар бүлэглэж болно. Мөн ангиллыг нь урьдчилан тодорхойлсны дараа хайлтын мөрөөр үйл явдлыг хайж болно. Хүснэгт эрэмбэлэгдсэн үйл явдлуудаар дүүрнэ.

Илрүүлэлтийн талаарх дэлгэрэнгүй мэдээллийг (процессын үйл ажиллагаа, нөлөөлөлд өртсөн файлууд, халдлагын контекст) шинжлэхийн тулд хүснэгтээс дурын үйл явдлыг сонгож хажуугийн самбарыг нээнэ.

View context in Historical search дээр дарж Historical search-ийг шинэ табд нээнэ. Энэ нь үйл явдлын контекстоос үүсгэсэн query-г автоматаар ажиллуулж, үйл явдлын гарал үүслийг илүү хурдан судлах боломж олгоно.

EDR Response

Response хуудас нь дараах зүйлсийг санал болгодог.

• яаралтай анхаарал шаардсан үйлдлүүдэд хандах default smart view-үүд (өгөгдмөл харагдац);
• In Progress, Completed, Dismissed зэрэг тодорхой төлөвтэй үйлдлүүдийг харуулах хуудсууд;
• тодорхой incident-тэй холбоотой бүх Response-ийн жагсаалт.

Бүх үйлдэл динамик хүснэгтээр харагдах бөгөөд үйлдлийн төрөл, объект, зорилтот объект, төлөв зэрэг олон шүүлтүүр, эрэмбэлэх сонголттой.

Хүснэгтэд дараах мэдээллийг агуулсан олон багана байна.

• Type — Хийж буй үйлдлийн төрөл. Боломжит утгууд:

- Containment
- Mitigation
- Hardening

• Action — Хийж буй үйлдлийн нэр.

• Object — Үйлдэл хийгдэж буй entity эсвэл нөөцийн нэр.

> Тэмдэглэл: Объект нь endpoint бол нэр нь дарж болох холбоос байх бөгөөд дарахад Endpoint Details самбар нээгдэнэ.

• Target — Үйлдэл хийгдэж буй entity-ийн төрөл. Боломжит утгууд:

- Endpoint
- File
- Process
- Registry

• Details — Хийж буй үйлдэлтэй холбоотой нэмэлт мэдээлэл.

• Executed on — Үйлдэл өдөөгдсөн огноо. Үйлдэл нь автомат хариу арга хэмжээний үр дүн бол endpoint-ээс мэдээлсэн огноо харагдана.

• Executed by — Үйлдлийг хэн гүйцэтгэснийг заана.

• Source — Үйлдэл хаанаас үүссэнийг заана.

Incident Info

Incident status bar-ын Incident info товчоор нээгддэг incident-ийн дэлгэрэнгүй самбар нь сонгосон incident-ийн тодорхойлолт, төлөв, шинжилгээний гол өгөгдлийг цогцоор нь харуулна. Үүнд incident ID, evolution, төлөв, priority, оноогдсон хэрэглэгч, цаг хугацааны тэмдэг, нөлөөлөлд өртсөн endpoint зэрэг үндсэн мэдээлэл багтана.

Самбарт мөн severity score, incident-ийн өдөөгч, өдөөгч дээр илэрсэн alert-ууд, оролцсон artifact-уудын мэдээлэл байна. Түүнчлэн халдлагын төрөл, tactic-ууд, харгалзах MITRE ATT&CK technique-үүд зэрэг халдлагын контекстыг харуулдаг тул incident-ийн мөн чанар, үр дагаврыг хурдан ойлгоход тусална.

Incident Status Bar

Incident status bar нь холбогдох сүлжээний endpoint-уудын талаарх гол мэдээллийг илрүүлэхэд туслах аюулгүй байдлын үйл явдлын шошгуудыг харуулна.

1. 1Incident ID — шинжилж буй incident-ийн ID дугаар, мөн incident blocked (хаагдсан) эсвэл reported (мэдээлсэн) аль нь болохыг заана.

2. 2Detection timestamp — incident өдөөгдсөн огноо, цаг.

3. 3Status — incident-ийн одоогийн төлөв.

4. 4Assignee — incident оноогдсон хэрэглэгч.

5. 5Priority — incident бүрийн priority.

6. 6Хандах дүрсүүд ба тэдгээрийн тайлбар:

- Incident info
- Notes
- History

Notes clipboard

Notes clipboard нь өөрчлөлт, incident-ийн эзэмшигчийг хянахын тулд incident-д тэмдэглэл нэмэх хялбар арга юм.

Тэмдэглэлүүдийг харах

Байгаа тэмдэглэлүүдийн жагсаалтыг харахын тулд Status bar-ын баруун талд байгаа Notes товчийг дарна.

Тэмдэглэл нэмэх

Тэмдэглэл нэмэхийн тулд дараах алхмуудыг дагана.

1. 1Clipboard-ын зүүн доод хэсэгт байгаа Add note товчийг дарна.

2. 2Тэмдэглэлийн мэдээллийг бөглөнө.

> Тэмдэглэл: Тэмдэглэл бүр 50,000 хүртэлх тэмдэгт агуулж болно.

3. 3Save товчийг сонгоно.

> Тэмдэглэл: Олон incident дээр нэг дор (bulk) үйлдэл хийсэн тохиолдолд бүх incident-д зориулж нэг тэмдэглэл нэмэгдэнэ.

Тэмдэглэл засах

Тэмдэглэлийг засахын тулд дараах алхмуудыг дагана.

1. 1Засахыг хүссэн тэмдэглэлийнхээ баруун талд байгаа Menu товчийг сонгоно.

2. 2Edit товчийг сонгоно.

3. 3Шаардлагатай өөрчлөлтөө хийнэ.

> Тэмдэглэл: Тэмдэглэл бүр 50,000 хүртэлх тэмдэгт агуулж болно.

4. 4Save товчийг сонгоно.

Тэмдэглэл устгах

Тэмдэглэлийг устгахын тулд дараах алхмуудыг дагана.

1. 1Устгахыг хүссэн тэмдэглэлийнхээ баруун талд байгаа Menu товчийг сонгоно.

2. 2Delete товчийг сонгоно.

> Тэмдэглэл: Энэ сонголт зөвхөн өөрийн тэмдэглэлд ашиглагдана.

3. 3Delete товчийг дахин сонгоно.

History Clipboard

History самбар нь incident-ийн түүхийг хялбар хянах боломж олгоно. Дараах үйл явдлууд бүртгэгдэнэ.

• Status changed (төлөв өөрчлөгдсөн)
• Assigned or reassigned incident (incident оноосон эсвэл дахин оноосон)
• Incident priority set or changed (priority тогтоосон эсвэл өөрчилсөн)
• Incident note added, edited, or deleted (тэмдэглэл нэмсэн, зассан эсвэл устгасан)
• Created incident (incident үүсгэсэн)
• Updated incident (incident шинэчилсэн)

Жагсаалт цаг хугацааны дарааллаар, хамгийн шинэ нь доор, хамгийн хуучин нь дээр байхаар харагдана.

Үйл явдал бүр дараах мэдээллийг агуулна.

• Үйл явдлын төрөл
• Үйл явдлын тайлбар
• Үйл явдал болсон огноо, цаг

Remote Connection

Урьдчилсан нөхцөл

Endpoint-тэй remote connection-оор terminal сесс эхлүүлэхийн тулд дараах зүйлсийг хангасан байх ёстой.

• Endpoint дээр суулгасан Bitdefender agent-ийн хувилбар Remote Connection боломжийг дэмждэг байх;
• Endpoint асаалттай, онлайн байх;
• Endpoint нь Windows үйлдлийн системтэй байх;
• GravityZone endpoint-тэй холбогдож чадах;
• Таны GravityZone данс зорилтот endpoint дээр manage (удирдах) эрхтэй байх.

Remote connection эхлүүлэх

Endpoint руу remote connection-оор холбогдохын тулд дараах алхмуудыг дагана.

1. 1Incidents хуудас руу орно.

2. 2Шинжлэхийг хүссэн endpoint incident дээр дарна.

3. 3Түүний график дээр холбогдох endpoint-ийн зангилаа дээр дарна.

Баруун талд дэлгэрэнгүй мэдээллийн самбар гарна.

4. 4Дэлгэрэнгүй мэдээллийн самбар дахь Remote Connection товчийг дарна.

Remote connection цонх гарна.

5. 5Одоогийн incident-д холбогдсон endpoint дээр шууд шинжилгээ хийж, арга хэмжээ авахын тулд remote connection эхлүүлэх Connect to Host дээр дарна.

6. 6Terminal-д endpoint-ийн үйлдлийн систем дээр хэд хэдэн өөрчилсөн (custom) shell командыг шууд ажиллуулж, аюулыг тэр дор нь арилгах эсвэл цаашдын шинжилгээнд зориулж өгөгдөл цуглуулж болно.