Działania reagowania

Wykrycie zagrożenia to dopiero połowa zadania. Reagowanie obejmuje działania podejmowane w celu zatrzymania ataku i usunięcia jego skutków.

Szybkie reagowanie ogranicza szkody i zapobiega rozprzestrzenianiu się ataku.

Izolacja (odizolowanie od sieci) odcina zainfekowany punkt końcowy od sieci.

Urządzenie nadal może komunikować się z konsolą EDR na potrzeby badania, ale nie może rozprzestrzeniać złośliwego oprogramowania ani wyprowadzać danych.

Analitycy mogą zdalnie zatrzymać szkodliwy proces.

Zakończenie procesu zatrzymuje bieżące działanie atakującego, takie jak szyfrowanie lub kradzież danych, podczas gdy trwa dokładniejsze usuwanie skutków.

Kwarantanna przenosi podejrzany plik do bezpiecznej, zablokowanej lokalizacji.

Plik nie może już zostać uruchomiony, ale jest zachowywany jako dowód i można go przywrócić, jeśli okaże się bezpieczny.

Po zrozumieniu zagrożenia zespoły blokują wszędzie jego wskaźniki naruszenia bezpieczeństwa (IOCs).

• złośliwe skróty plików
• niebezpieczne adresy IP i domeny

Chroni to jednocześnie wszystkie pozostałe punkty końcowe.

Niektóre działania mogą być wykonywane automatycznie po wygenerowaniu alertu.

Na przykład punkt końcowy może natychmiast odizolować się od sieci po wykryciu zachowania charakterystycznego dla ransomware, zanim człowiek zdąży przeczytać alert.

Przed usunięciem skutków analitycy zdalnie gromadzą dowody.

• zbierają listy uruchomionych procesów
• pobierają podejrzane pliki do analizy
• otwierają zdalną powłokę na punkcie końcowym

Pozwala to uzyskać jasny obraz ataku.

Remediacja usuwa zagrożenie i cofa wprowadzone przez nie zmiany.

• usunięcie złośliwych plików
• usunięcie wpisów zapewniających utrzymanie się zagrożenia
• cofnięcie szkodliwych zmian konfiguracji

Niektóre narzędzia EDR mogą wycofywać zmiany wprowadzone przez złośliwe oprogramowanie, na przykład przywracać pliki zaszyfrowane przez ransomware.

Gdy wycofanie zmian nie jest możliwe, urządzenie jest odbudowywane z czystego obrazu systemu.

Reagowanie jest częścią szerszego cyklu:

• Zidentyfikuj zagrożenie
• Powstrzymaj je (izolacja)
• Wyeliminuj je (remediacja)
• Odzyskaj sprawność systemu
• Wyciągnij wnioski

Po incydencie zespoły analizują jego przebieg.

Dokumentują sposób, w jaki atakujący uzyskał dostęp, oraz aktualizują mechanizmy wykrywania i zasady, aby ten sam atak nie mógł się ponownie powieść.

Sprawdź swoje rozumienie działań związanych z reagowaniem.

Działania EDR związane z reagowaniem obejmują:

• izolowanie hosta, zatrzymywanie procesów i poddawanie plików kwarantannie
• blokowanie IOCs i automatyczne powstrzymywanie zagrożenia
• remediację, wycofywanie zmian i wyciąganie wniosków

Te działania składają się na cykl identyfikacji, powstrzymywania, eliminacji i odzyskiwania.