การดำเนินการตอบสนอง

การตรวจจับภัยคุกคามเป็นเพียงครึ่งหนึ่งของงาน การตอบสนอง คือการดำเนินการเพื่อหยุดและจัดการการโจมตี

การตอบสนองที่รวดเร็วช่วยจำกัดความเสียหายและป้องกันการแพร่กระจาย

การแยก (การกักกันเครือข่าย) จะตัดอุปกรณ์ปลายทางที่ติดเชื้อออกจากเครือข่าย

เครื่องดังกล่าวยังติดต่อกับคอนโซล EDR เพื่อการสืบสวนได้ แต่ไม่สามารถแพร่มัลแวร์หรือรั่วไหลข้อมูลได้

นักวิเคราะห์สามารถหยุดกระบวนการที่เป็นอันตรายจากระยะไกลได้

การยุติกระบวนการจะหยุดกิจกรรมปัจจุบันของผู้โจมตี เช่น การเข้ารหัสหรือการขโมยข้อมูล ขณะที่การกำจัดเชิงลึกยังดำเนินต่อไป

การกักกันจะย้ายไฟล์น่าสงสัยไปยังตำแหน่งที่ปลอดภัยและล็อกไว้

ไฟล์ดังกล่าวจะไม่สามารถทำงานได้อีก แต่ยังคงเก็บไว้เป็นหลักฐาน และสามารถกู้คืนได้หากภายหลังพบว่าไฟล์นั้นปลอดภัย

เมื่อเข้าใจภัยคุกคามแล้ว ทีมต่าง ๆ จะบล็อก ตัวบ่งชี้การถูกบุกรุก (ไอโอซี) ของภัยคุกคามนั้นในทุกระบบ

• ค่าแฮชของไฟล์อันตราย
• ที่อยู่ IP และโดเมนที่เป็นอันตราย

การดำเนินการนี้ช่วยปกป้องอุปกรณ์ปลายทางอื่นทั้งหมดได้พร้อมกัน

การดำเนินการบางอย่างสามารถทำงานโดยอัตโนมัติเมื่อเกิดการแจ้งเตือน

ตัวอย่างเช่น อุปกรณ์ปลายทางอาจแยกตัวเองออกจากเครือข่ายทันทีที่ตรวจพบพฤติกรรมของแรนซัมแวร์ ก่อนที่มนุษย์จะได้อ่านการแจ้งเตือนด้วยซ้ำ

ก่อนเริ่มการกำจัด นักวิเคราะห์จะรวบรวมหลักฐานจากระยะไกล

• รวบรวมรายการกระบวนการที่กำลังทำงาน
• ดึงไฟล์น่าสงสัยมาเพื่อวิเคราะห์
• เปิดเชลล์ระยะไกลบนอุปกรณ์ปลายทาง

การดำเนินการนี้ช่วยให้เห็นภาพรวมของการโจมตีได้อย่างชัดเจน

การแก้ไขจะกำจัดภัยคุกคามและย้อนคืนการเปลี่ยนแปลงที่เกิดขึ้น

• ลบไฟล์อันตราย
• ลบรายการที่ทำให้ภัยคุกคามคงอยู่
• ย้อนคืนการเปลี่ยนแปลงการกำหนดค่าที่เป็นอันตราย

เครื่องมือ EDR บางชนิดสามารถ ย้อนกลับการเปลี่ยนแปลงที่มัลแวร์ทำไว้ได้ เช่น กู้คืนไฟล์ที่ถูกแรนซัมแวร์เข้ารหัส

เมื่อไม่สามารถย้อนกลับได้ จะสร้างเครื่องขึ้นใหม่จากอิมเมจที่สะอาด

การตอบสนองเป็นส่วนหนึ่งของวงจรที่กว้างขึ้น:

• ระบุภัยคุกคาม
• ควบคุมภัยคุกคาม (การแยก)
• กำจัดภัยคุกคาม (การแก้ไข)
• กู้คืนระบบ
• เรียนรู้จากเหตุการณ์

หลังเกิดเหตุการณ์ ทีมต่าง ๆ จะทบทวนสิ่งที่เกิดขึ้น

ทีมจะบันทึกว่าผู้โจมตีเข้ามาได้อย่างไร และปรับปรุงการตรวจจับกับนโยบาย เพื่อไม่ให้การโจมตีแบบเดิมประสบความสำเร็จอีก

ทดสอบความเข้าใจเกี่ยวกับการดำเนินการตอบสนอง

การดำเนินการตอบสนองของ EDR ได้แก่:

• การแยกเครื่องโฮสต์ การยุติกระบวนการ และการกักกันไฟล์
• การบล็อกตัวบ่งชี้การถูกบุกรุกและการควบคุมโดยอัตโนมัติ
• การแก้ไข การย้อนกลับ และบทเรียนที่ได้รับ

ขั้นตอนเหล่านี้เป็นไปตามวงจรการระบุ ควบคุม กำจัด และกู้คืน