Para hacer un uso eficaz de las funciones de TIE, siga un flujo de trabajo escalable. El proceso ideal recorre periódicamente un embudo en varias fases que da prioridad al análisis detallado.
Actividades
VINCULAr activa las siguientes actividades en ePolicy Orchestrator:
-
Evaluación
Los paneles listos para su equipo para servidor de TIE archivos y certificados de servidor de TIE incluyen archivos nuevos, modificados y sospechosos detectados durante la última semana. Puede utilizar los paneles para evaluar rápidamente el estado de un entorno. Proporcionan puntos de entrada útiles para las fases de priorización y análisis. Es posible profundizar en los gráficos y tablas de paneles en los detalles de los datos agregados.
Paneles Planific Archivos de servidor de TIE
Paneles Planific servidor de TIE certificados
Paneles → servidor de TIE inteligencia de amenazas
Paneles → servidor de TIE envíos de ATD
Paneles → infraestructura de servidor de TIE
Paneles → reemplazos de servidor de TIE
Paneles → limpieza de datos de servidor de TIE
Paneles → servidor de TIE archivos desconocidos sin firmar
Paneles → servidor de TIE archivos desconocidos firmados
Paneles → servidor de TIE prioridad panel de inconscientens
También puede crear paneles personalizados mediante las consultas ya disponibles y los widgets de búsqueda rápida.
Dashboards → Dashboard Actions → New
-
Priorización
La página perfamaciones de TIE incluye filtros predefinidos para priorizar el análisis. Se centran en archivos maliciosos o desconocidos.
Reputaciones de EMPATEs Planific Búsqueda de archivos Planific Personal Planific Archivos maliciosos
Reputaciones de EMPATEs Planific Búsqueda de archivos Planific Personal Planific Desconocido en GTI
Puede crear filtros personalizados mediante el sistema de consultas de ePO. Puede utilizar puntos de datos como la calificación de reputación y el proveedor, y los atributos de archivo, como el producto o el nombre de la empresa.
TIE Reputations → File Search → Custom → Add
-
Analizar
Cuando se selecciona un elemento para un análisis más detallado, puede hacer dos cosas. Puede acceder a información detallada sobre la pestaña detalles de archivo asociado y obtener información sobre el comportamiento en la pestaña de la ayuda adicional.
El empate proporciona una valiosa inteligencia específica de la empresa sobre la prevalencia local, como el recuento de empresa y el primer contacto.
El menú de acciones de ePO puede dinamizar desde un archivo hasta su elemento principal, a su certificado de firma o a la lista de hosts en los que se ha ejecutado el archivo.
Reputaciones de EMPATEs Planific Seleccione elemento Planific Acciones Planific Detalles del archivo asociado
Reputaciones de EMPATEs Planific Seleccione elemento Planific Acciones Planific Principales de archivo
Reputaciones de EMPATEs Planific Seleccione elemento Planific Acciones Planific Detalles de certificado asociados
Reputaciones de EMPATEs Planific Seleccione elemento Planific Acciones Planific Dónde se ha ejecutado el archivo
-
Reaccionaba
Existen varias opciones para reaccionar ante indicadores sospechosos:
- La configuración manual de omisiones le permite corregir ya la ejecución de malware y proteger frente a futuras ejecuciones.
TIE Reputations → Select Item → Actions → File Most Likely Malicious or File Most Likely Trusted → Analyze Impact → Confirm Override
- Etiquete los sistemas como comprometidos y utilice consultas de ePO para enumerarlos.
System Tree → Select Item → Actions → System Health Indicator → Set Possibly Compromised
Flujo
El ciclo de flujo de trabajo es el siguiente:
Escalado
Para escalar a medida que aumenta el número de indicadores:
- Utilice los comentarios predefinidos para etiquetar las omisiones manuales a fin de utilizar filtros personalizados para buscar etiquetas y el análisis dividido en varios respondedores de incidentes.
- Utilice una consulta personalizada de los indicadores de estado del sistema. La consulta identifica los sistemas comprometidos y permite que las acciones de corrección se completen a través de un equipo distinto y dedicado.
Provisionales
Para agregar nuevas imágenes de base al entorno gestionado con interrupciones mínimas:
- Si su empate está integrada con Advanced Threat Defense, ejecute de forma manual archivos binarios desconocidos en una imagen base nueva o actualizada. Esta acción fuerza el análisis de recintos en ellos antes de la distribución amplia de la imagen.
- Si hay archivos binarios sin reputación de Global Threat Intelligence en una imagen nueva o actualizada, ejecute las herramientas GetClean o GetSusp para que se analicen las muestras.
Véase artículo repasado EL KB69385-preguntas frecuentes de GetSusp.
- Utilice el asistente Importar STIX para incorporar nuevos archivos. Le permite evaluar información de inteligencia local como las reputaciones y la prevalencia de los hashes antes de la importación real.
TIE Reputations → File Overrides → Actions → STIX Import
