[خارجي] - العمل مع الحماية المتقدمة من البرامج الضارة (AMP) عمليات الكشف عن الأخطاء وحالات التفشي والاستجابة للحادث
المقدمة
نحن نسعى دائما إلى تحسين وتوسيع معلومات التهديد الخاصة بتقنية الحماية المتقدمة من البرامج الضارة (AMP) التي نوفرها، ومع ذلك إذا لم يعمل حل الحماية المتقدمة (AMP) لديك على تشغيل تنبيه أو قام بتشغيل تنبيه بشكل خاطئ، فيمكنك إتخاذ بعض الإجراءات لمنع أي تأثير إضافي على بيئتك. تقدم هذه الوثيقة مبادئ توجيهية بشأن بنود الإجراءات هذه.
الوصف
إجراءات فورية
إذا كنت تعتقد أن حل الحماية المتقدمة (AMP) لديك لم يحمي شبكتك من تهديد، فاتخذ الإجراءات التالية على الفور:
- اعزل الآلات المشبوهة عن بقية الشبكة. قد يتضمن ذلك إيقاف تشغيل الجهاز، أو قطع إتصاله بالشبكة بشكل فعلي.
- اكتب المعلومات المهمة عن العدوى، مثل الوقت الذي قد تكون فيه الآلة مصابة، أنشطة المستخدم على الآلات المشبوهة، إلخ.
تحليل
- أستخدم ميزة مسار الجهاز لبدء تحقيقك الخاص. إن برنامج "مسار الجهاز" قادر على تخزين أحدث 9 ملايين حدث للملفات تقريبا. يعتبر مسار جهاز AMP الخاص بنقاط النهاية مفيدا جدا لتعقب الملفات أو العمليات التي أدت إلى الإصابة.
في لوحة المعلومات، انتقل إلى الإدارة > أجهزة الكمبيوتر.
العثور على الجهاز المريب وتوسيع السجل الخاص بهذا الجهاز. انقر على خيار مسار الجهاز.
-
إذا عثرت على أي ملف أو تجزئة مريبة، فقم بإضافته إلى قوائم الكشف المخصصة. يمكن أن تستخدم AMP لنقاط النهاية قائمة اكتشاف مخصصة لمعالجة ملف أو تجزئة كأمر ضار. وهذه طريقة رائعة لتوفير تغطية سريعة لمنع المزيد من التأثيرات.
تحليل بواسطة Cisco
- قم بإرسال أي عينات مريبة للتحليل الديناميكي. يمكنك إرسالها يدويا من التحليل > تحليل الملف في لوحة المعلومات. يتضمن AMP لنقاط النهاية وظيفة التحليل الديناميكي التي تقوم بإنشاء تقرير لسلوك الملف من شبكة التهديدات. ويكون لهذا أيضا فائدة توفير الملف إلى Cisco في حالة الحاجة إلى إجراء تحليل إضافي من قبل فريق البحث التابع لنا.
-
إذا كنت تشك في وجود أي عمليات كشف إيجابية أو سلبية خاطئة في شبكتك، فإننا ننصحك بالاستفادة من وظيفة القائمة السوداء المخصصة أو القائمة البيضاء لمنتجات AMP الخاصة بك. عند الاتصال بمركز المساعدة التقنية (TAC) من Cisco، قم بتوفير المعلومات التالية للتحليل:
- تجزئة SHA256 للملف.
- نسخة من الملف إن أمكن.
- معلومات حول الملف مثل من أين أتى ولماذا يجب أن يكون في البيئة.
- أوضحوا لماذا تعتقدون ان ذلك إيجابي خاطئ أو سلبي خاطئ.
- إذا كنت بحاجة إلى مساعدة في التخفيف من تهديد ما أو إجراء عملية فرز لبيئتك، فستحتاج إلى إشراك فريق الاستجابة لحوادث Cisco Talos (CTIR) المتخصص في إنشاء خطط عمل، وإجراء أبحاث على الأجهزة المصابة، والاستفادة من الأدوات أو الميزات المتقدمة للحد من التفشي النشط.
يمكن الاتصال ب CTIR هنا. هذه خدمة مدفوعة تبدأ من 60000 دولار إلا إذا كان لدى مؤسستك عامل استبقاء لخدمات الاستجابة للحوادث من Cisco. وبمجرد أن يتم التواصل معهم، فإنهم سيوفرون معلومات إضافية حول خدماتهم ويفتحون حالة للحادث الذي وقع معك. كما نوصي بالمتابعة مع مدير حسابات Cisco لديك حتى يمكنهم توفير إرشادات إضافية حول العملية.
التعليقات