Incident-уудыг судлах — 2-р хэсэг: Endpoint Incident-ийг судлах (Investigating an Endpoint Incident)

← Үндсэн хуудас

Endpoint Incident-ийг судлах (Investigating an Endpoint Incident)

Endpoint Incidents табад endpoint түвшинд илэрсэн, судлах шаардлагатай бөгөөд одоогоор ямар ч арга хэмжээ аваагүй бүх сэжигтэй incident харагдана.

1. 1
   Endpoint incidents табын incident-ийн хүснэгтээс шинжлэхийг хүссэн аюулгүй байдлын үйл явдлыг (security event) олно.

   • Incident картан дээрх View Graph товчийг дарж Incident graph-ийг шинэ хуудсанд нээнэ, эсвэл
   • Тухайн incident-ийн хамгийн чухал халдлагын шинж тэмдгийг хурдан харахын тулд үйл явдлын картыг сонгож дэлгэрэнгүй мэдээллийн самбарыг (details panel) нээнэ.

   Incident graph-ийг нээсний дараа incident-ийг өдөөсөн үйл явдлуудын дарааллыг харах бөгөөд засч залруулах арга хэмжээ авах сонголтууд гарна.

   Графикийн цонхонд дараах хэсгүүд байна.

   1. Graph tab
   2. Events tab
   3. Response tab
   4. Incident status bar
   5. Incident info panel
   6. Notes clipboard
   7. History Clipboard
   8. Search bar

   Граф анхнаасаа incident-ийн Critical path (чухал зам)-ыг болон incident-ийг өдөөсөн үйл явдлыг тодруулж харуулна.

2. 2
   Incident-ийн үндсэн шалтгааныг олохын тулд өдөөгч node (trigger node)-ийн дэлгэрэнгүй мэдээллийн самбар дахь мэдээллийг шинжилж эхэлнэ.

   Самбарт өдөөгч node дээр илэрсэн alert-ууд, үйл явдлын огноо, цаг, халдагчийн ажиллуулсан командын мөрүүд зэрэг үнэ цэнэтэй мэдээлэл байдаг.

3. 3
   Нөхцөл боломжтой бол сэжигтэй эсвэл хортой элементүүдийг ажиллуулж, тэдгээр нь таны орчинд хэр хохирол учруулж болохыг Sandbox тайлангаас үнэлэхийн тулд Add to Sandbox товчийг сонгоно.

   Зөвлөгөө

   Юуг ч орхигдуулаагүйг баталгаажуулахын тулд өдөөгч node-той ижил түвшинд байгаа бусад node-ыг мөн шалгана.

4. 4
   Incident-ийн шалтгааныг тодорхой ойлгох хүртлээ critical path-ийг бүрдүүлэх бусад элементүүдийг үргэлжлүүлэн шинжилж болно.

   • Аюул бодитой бол түүнийг арилгахын тулд тохирох арга хэмжээ авна. Боломжит арга хэмжээний талаар доорх Node details хэсгээс дэлгэрэнгүй үзнэ үү.
   • Аюул бодитой биш бол графикийн дээд хэсэг дэх Status цэс рүү орж incident-ийн төлвийг False positive (буруу илрүүлэлт) болгож, жагсаалтын дараагийн incident-ийг шинжилж эхэлнэ.

     Тэмдэглэл

     Incident-ийг өөр хэрэглэгч дахин нээсэн тохиолдолд нөхцөл байдлыг ойлгоход нь туслахын тулд Notes clipboard-д incident-ийн талаарх ажиглалтаа үлдээж болно.

5. 5
   Нэмэлт шинжилгээ шаардлагатай бол шинжилж буй incident-ийн хүрээнд үүссэн бүх түүхий үйл явдал (raw events) болон alert-уудыг харахын тулд Events таб руу шилжинэ.

Graph

Graph нь шалгаж буй incident болон түүний нөхцөл байдлыг харилцан үйлчлэлтэй график хэлбэрээр харуулдаг. Incident-ийг өдөөхөд шууд оролцсон элементүүдийн дарааллыг буюу incident-ийн Critical path-ыг тодруулж, бусад бүх оролцогч элементийг анхнаасаа бүдэгрүүлж харуулна.

Graph-д incident-ийн дүрслэлийг өөрт тохируулан сайжруулах шүүлтүүрүүд, мөн элемент бүрийн талаар нэмэлт мэдээлэл өгдөг дэлгэрэнгүй самбарууд бий. Эдгээр нь таны орчинд юу болсныг шалгахад хялбар болгоно.

Graph-ийн дүрслэл дээрх хэсгүүд:

1. 1
   Filters menu
2. 2
   Critical path
3. 3
   Search bar
4. 4
   Node details panel
5. 5
   Navigator menu

Critical path

Critical path нь сүлжээнд нэвтэрсэн цэгээс эхлээд сэрэмжлүүлэг (alert)-ийг ажиллуулсан event node хүртэлх, хоорондоо холбогдсон аюулгүй байдлын үйл явдлуудын дараалал юм.

Incident-ийн critical path болон түүнд багтах бүх event node график дээр анхнаасаа тодорч харагдана. Trigger node нь бусад элементээс тодорхой ялгарах бөгөөд түүний мэдээллийн самбар incident graph-ийн хажууд анхнаасаа нээгдэж, trigger node-ийн дэлгэрэнгүйг харуулна.

Дүрслэл дээрх тэмдэглэгээ:

1. 1
   Trigger Node
2. 2
   Node Details panel (хураах боломжтой мэдээллийн хэсгүүдтэй)
3. 3
   Incident-д шууд бусаар оролцсон, жижигрүүлсэн node-ууд

Security event nodes

Security event node-ийн талаар мэдэх зүйлс:

• Node бүр шалгаж буй incident-д оролцсон тодорхой нэг элементийг төлөөлнө.
• Critical path-ийг бүрдүүлэх бүх node-ыг incident нээхэд анхнаасаа дэлгэрэнгүй харуулж, бусад элементийг график үл ойлгогдох болохоос сэргийлж бүдэгрүүлнэ.
  • Critical path-д ороогүй node дээр хулганаа аваачвал тэр node тодорч, Critical Path-ыг таслахгүйгээр гарал үүсэл хүртэлх замыг харуулна.
• Нэг эх (parent) node-оос салаалсан, ижил төрлийн үйлдэлтэй гурав ба түүнээс олон event node-ыг дэлгэж болдог cluster-node болгон бүлэглэнэ.
  • Cluster-node хураагдсан үед зөвхөн дэд элементгүй node-ууд incident graph-аас нуугдана.
  • Сэжигтэй үйл ажиллагаа илэрсэн node-ыг cluster-node-д нэмэхгүй.
• Node дээр дарахад дараах зүйл гарна:
  • Endpoint node болон оролцсон бусад бүх элемент хүртэлх замыг цэнхэрээр тодруулна.
  • Сонгосон node-ийн дэлгэрэнгүй мэдээлэл, илэрсэн аюулын alert, боломжит үйлдэл, зөвлөмжийг агуулсан дэлгэх боломжтой хэсгүүдтэй хажуугийн самбар нээгдэнэ.
• Node-ууд incident үеэр endpoint дээр болсон үйлдлийн явцыг заасан сумтай шугамаар холбогдоно. Шугам бүр дээр үйлдлийн нэр болон хронологийн дугаар бичигдсэн байна.

Incident-ийн дараах элементүүдийг node хэлбэрээр дүрсэлнэ:

• Endpoint — Endpoint-ийн дэлгэрэнгүй мэдээлэл болон patch management-ийн төлвийг харуулна.
• Domain — Domain хост болон түүний endpoint-уудын мэдээллийг харуулна.
• Process — Тухайн incident дэх process-ийн үүрэг, файлын мэдээлэл, process-ийн ажиллалтын дэлгэрэнгүй, сүлжээн дэх оролцоо, цаашид шалгах боломжуудыг харуулна.
• File — Тухайн incident дэх файлын үүрэг, файлын мэдээлэл, сүлжээн дэх оролцоо, цаашид шалгах боломжуудыг харуулна.
• Registry — Registry-ийн мэдээлэл болон эх process-ийн дэлгэрэнгүйг харуулна.

Filters

Filters цэс нь incident graph-ийг бүрэн удирдах боломж олгоно. Элементүүдийг төрөл эсвэл ач холбогдлоор нь тодруулах, эсвэл incident-ийг нягт, шинжлэхэд хялбар болгохын тулд нуух боломжтой.

Хөвөгч шүүлтүүрийн самбарыг incident graph доторх дурын газар байрлуулахын тулд Drag дүрсийг дарж барьсаар чирнэ.

Элементийн төрлөөр шүүлтүүр сонгоход:

• Incident graph жижиг болж, сонгосон төрлийн бүх элементийг тодруулж, бусад төрлийн элементийг бүдэгрүүлнэ.
• Тодруулсан бүх элементийн жагсаалттай самбар тэр дор нээгдэнэ.

Шүүлтүүрийн сонголтууд:

• Critical path: Compromise-ийн incident-ийн critical path-ыг тодруулна.
• Endpoint: Incident-д өртсөн endpoint-уудыг тодруулна.
• Process: Incident-д оролцсон бүх process төрлийн node-ыг тодруулна.
• File: Incident-д оролцсон file төрлийн node-уудыг тодруулна.
• Domain: Incident-д оролцсон бүх domain төрлийн node-ыг тодруулна.
• Registry: Incident-д оролцсон бүх registry төрлийн node-ыг тодруулна.
• Element relevance: Элементүүдийг incident доторх ач холбогдлоор нь шүүж болно.
  • Neutral node: Аюулгүй байдлын incident-д шууд нөлөөгүй элементүүд.
  • Important node: Incident-д ач холбогдолтой үүрэгтэй элементүүд.
  • Origin node: Сүлжээн доторх incident-ийн эхлэл цэг (ground zero).
  • Suspicious node: Сэжигтэй үйлдэлтэй, incident-д шууд оролцсон элементүүд.
  • Malicious node: Таны сүлжээнд хохирол учруулсан элементүүд.

File, Domain, Registry төрлийн шүүлтүүр дээр хулганаа аваачихад харагдах Show/Hide товчийг дарж зарим элементийг incident graph-аас нууж болно.

Элементийн төрлийг нуувал trigger node болон дэд элементтэй node-уудаас бусад, жижигрүүлсэн байсан ч тухайн төрлийн бүх элементийг хасаж incident graph-ийг дахин зурна.

Navigator

Navigator нь мини-газрын зураг болон өөр өөр түвшний дүрслэлийг ашиглан incident graph дотор хурдан шилжиж, харагдаж буй бүх элементийг судлах боломж олгоно. Navigator анхнаасаа хураастай байдаг. Дэлгэхэд incident-ийн бүх газрын зургийн жижигрүүлсэн хувилбар болон дүрслэлийн түвшинг тохируулах товчнууд гарна.

Хөвөгч navigator самбарыг incident graph доторх дурын газар байрлуулахын тулд Drag дүрсийг дарж барьсаар чирнэ.

Navigator нь Fewer details (Цөөн дэлгэрэнгүй) болон More details (Илүү дэлгэрэнгүй) үйлдлүүдээр incident graph-ийг хэрхэн харахаа тохируулах боломжийг олгоно.

Node details

Node details самбар нь сонгосон node-ийн талаарх дэлгэрэнгүй мэдээллийн дэлгэх боломжтой хэсгүүдийг агуулна. Үүнд incident-ийг сааруулахын тулд хийж болох урьдчилан сэргийлэх эсвэл засах үйлдлүүд, node дээр илэрсэн илрүүлэлт ба alert-ийн төрөл, сүлжээн дэх оролцоо, process-ийн ажиллалтын дэлгэрэнгүй, аюулгүй байдлын үйл явдлыг зохицуулах нэмэлт зөвлөмж, элементийг цааш шалгах үйлдлүүд орно.

Энэ мэдээллийг харж, самбар доторх үйлдлийг хийхийн тулд security event map дээрээс node сонгоно.

1. 1
   Collapse товчийг дарж Node Details самбарыг хураана.
2. 2
   Node Details самбар дахь мэдээллээр дөрвөн үндсэн хэсгийн дүрс бүр дээр дарж хялбар шилжинэ:

   • ALERTS. Сонгосон node дээр ажилласан нэг буюу хэд хэдэн илрүүлэлтийг харуулна: элементийг incident-д оруулсан Bitdefender технологи, илрүүлэлтийг үүсгэсэн шалтгаан, илрүүлэлтийн нэр, илэрсэн огноо.
   • INVESTIGATION. Анхны илрүүлэлтийн огноо болон энэ элемент илэрсэн бүх endpoint-ыг харуулна.
   • REMEDIATION. GravityZone-оос автоматаар хийсэн үйлдлүүд, аюулыг сааруулахын тулд та шууд хийж болох үйлдлүүд, мөн сонгосон node дээр илэрсэн alert бүрт incident-ийг сааруулж, орчныхоо аюулгүй байдлын түвшинг нэмэгдүүлэхэд туслах дэлгэрэнгүй зөвлөмжийг харуулна.
   • INFO. Файл бүрийн ерөнхий мэдээлэл болон сонгосон node-ийн төрлөөс хамаарсан тусгай мэдээллийг харуулна.
3. 3
   Node Details самбарыг дэлгэцийн төв рүү чирж, агуулгыг нь тав тухтай үзэж болно.

Endpoint node-ийн дэлгэрэнгүй самбар (Details Panel for Endpoint Nodes)

Endpoint-ийн дэлгэрэнгүй самбар хоёр хэсэгтэй:

• REMEDIATION. GravityZone-оос аюулыг сааруулахаар автоматаар хийсэн үйлдлүүд болон таны хийж болох үйлдлүүдийг харуулна.

  Тэмдэглэл

  Таны хийж болох үйлдлийн хүрээ одоогийн багцад багтсан лицензээс хамаарч өөр өөр байж болно.

  • Isolate Host - Endpoint-ийг сүлжээнээс тусгаарлахад хэрэглэнэ.
  • Install patches - Зорилтот endpoint дээр дутуу байгаа аюулгүй байдлын patch-ыг суулгахад хэрэглэнэ. Энэ сонголт зөвхөн Patch Management модультай үед харагдана. Энэ нь тусдаа лицензийн түлхүүртэй нэмэлт модуль юм. Patch суулгах талаар дэлгэрэнгүйг энд үзнэ үү.
  • Remote Connection - Incident-д оролцсон endpoint-той remote connection (алсын холболт) тогтоож, түүний үйлдлийн систем дээр хэд хэдэн өөрчилсөн shell командыг шууд ажиллуулан аюулыг даруй сааруулах, эсвэл цаашдын шинжилгээнд зориулж өгөгдөл цуглуулахад хэрэглэнэ.
• DEVICE INFO. Нөлөөлөгдсөн endpoint-ийн ерөнхий мэдээллийг харуулна: endpoint-ийн нэр, IP хаяг, үйлдлийн систем, харьяалагдах бүлэг, төлөв, идэвхтэй бодлогууд (policies), мөн endpoint-ийн бүрэн мэдээллийг шинэ цонхонд нээх холбоос.

  Мөн суулгасан patch-ийн тоо, амжилтгүй болсон patch-ийн тоо, дутуу байгаа аюулгүй байдлын болон аюулгүй байдлын бус patch-уудын талаарх мэдээллийг өгнө.

  Нэмж endpoint-ийн patch-ийн төлвийн тайлан гаргаж болно. Энэ хэсгийг зорилтот endpoint-д хүсэлтээр (on demand) гаргана.

  Самбар доторх дараах үйлдлүүдийг хийж болно:

  • Зорилтот endpoint-ийн patch-ийн мэдээллийг харах. Patch-ийн дэлгэрэнгүйг харахын тулд Refresh товчийг дарна.
  • Зорилтот endpoint-ийн patch-ийн төлвийн тайланг харах. Тайланг гаргахын тулд View endpoint patch status report товчийг дарна.