مراجعة عمليات مسح Windows لنقطة النهاية الآمنة (CSE)

المقدمة

يصف هذا المستند الأنواع المختلفة من عمليات الفحص لموصل Windows.

المتطلبات الأساسية

المتطلبات الأساسية لهذا المستند هي:

• نقطة نهاية Windows
• Secure Endpoint (CSE)، الإصدار v.8.0.1.21164 أو إصدار أحدث
• الوصول إلى وحدة تحكم نقطة النهاية الآمنة

المتطلبات

لا توجد متطلبات خاصة لهذا المستند.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

• وحدة التحكم في نقطة النهاية الآمنة
• نقطة نهاية Windows 10
• Secure Endpoint الإصدار v.8.0.1.21164

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

تم إختبار عمليات المسح على بيئة معملية مع تعيين النهج على تصحيح الأخطاء.
تم تمكين ميزة المسح الضوئي على "التثبيت" من خلال تنزيل Connector.
تم تنفيذ عمليات المسح من واجهة المستخدم الرسومية (GUI) الخاصة بالعميل الآمن ومن أداة الجدولة.

فحص كامل

يوضح هذا السجل عندما يتم طلب مسح كامل من واجهة مستخدم رسومات CSE (GUI).

المسح الضوئي من واجهة المستخدم

هنا، تبدأ عملية ScanInitiator عملية المسح الضوئي.

(1407343, +0 ms) Aug 23 18:06:01 [9568]: ScanInitiator::RequestScan: Attempting to start scan: dConnected: TRUE, FileName: , Options: 0, PID: 0, Type: 5

يمكنك أن ترى أن المسح الضوئي الكامل هو نوع المسح الضوئي الذي تم تشغيله على واجهة المستخدم الرسومية (GUI) كما هو موضح في الصورة.

بعد ذلك، يكون لديك معرف الأمان (SID)، والذي يعد قيمة لطول المتغير تم تعيينها لهذا الحدث المعين، يساعدك معرف الأمان هذا على تعقب المسح الضوئي في السجلات.

نشر الحدث

يمكنك مطابقة هذا مع الحدث من وحدة تحكم CSE.

حدث وحدة التحكم







بعد ذلك، في السجلات، يمكنك رؤية ما يلي:

نجح النشر

هذا يعني أنه تم نشر الحدث بنجاح إلى مجموعة CSE.

ثم، الإجراء التالي هو في الواقع إجراء المسح الضوئي:

بدء الفحص

وكما تلاحظون، ال SID هو نفسه، لذلك انتم تحت تيار ال SID 1407343.

هذه هي الخطوات التي يقوم الموصل بتنفيذها عند اكتشاف تهديد أثناء الفحص.

الخطوة 1. يخبرك الموصل بأن الملف الذي تسبب في الكشف، في هذا المثال، سببه GLS ل Hacksantana Training.

تم الكشف عن الملف

الخطوة 2. يتم نشر الحدث إلى وحدة تحكم CSE باستخدام اسم اكتشاف التهديد والمسار حيث يتم العثور عليه.

اسم الكشف

نشر حدث التهديد

بعد انتهاء الفحص، يمكنك إلقاء نظرة على عارض الأحداث للحصول على ملخص للمسح الضوئي.

عارض الأحداث

مسح ضوئي

المسح الضوئي للفلاش سريع، ويستغرق من ثوان إلى دقائق للانتهاء.
في هذا المثال، يمكنك أن ترى متى يبدأ المسح الضوئي، ومثل السابق، يتم توفير معرف أمان (SID)، هذه المرة، بقيمة 2458015.

بدء فحص Flash

الإجراء التالي هو نشر الحدث إلى سحابة CSE.

عندما ينتهي الفحص، يتم نشر الحدث إلى السحابة.

إنهاء المسح الضوئي للنشر

يمكن رؤية الحدث في عارض أحداث Windows. وكما تلاحظون، تكون المعلومات هي نفسها المعلومات المقدمة في السجلات.

حدث JSON

مسوحات مجدولة

عندما يتعلق الأمر بعمليات الفحص المجدولة، يجب أن تكون على دراية بمجموعة من الجوانب.

بعد جدولة الفحص، يحدث تغيير في الرقم التسلسلي.

هنا، لا يحتوي نهج الاختبار على أي عمليات مسح مجدولة.

الرقم التسلسلي للنهج

إذا كنت تريد جدولة الفحص، انقر فوق تحرير.

انتقل إلى Advanced Settings > Scheduled Scans.

إعدادات متقدمة

انقر فوق جديد.

تكوين الفحص الجديد

الخيارات هي:

• الفاصل الزمني للمسح
• وقت المسح
• نوع المسح

بعد تكوين الفحص، انقر فوق إضافة.

تكوين الفحص المجدول

حفظ تغييرات النهج، يظهر إطار منبثق يؤكد التغييرات.

منبثق

تغيير الرقم التسلسلي

تغيير الرقم التسلسلي

تم تكوين الفحص في "النهج"، في هذا المثال، تم تكوين مسحين ضوئيين، وفحص Flash، وفحص كامل.

XML للنهج

تتم إضافتها إلى مجدول في HistoryDB. الحروف المجاورة لعلامة <scheduled> هي معرف العملية (PID) الذي يعرف المسح الضوئي.

معرف العملية

كما هو موضح في الصورة، تم وضع اسمه في قائمة الانتظار.

المسح الضوئي في قائمة الانتظار

يمكنك البحث في السجلات عن المسح الضوئي، ولاحظ ما إذا كان يمكن تشغيل الفحص الآن أم لا. إذا كان ذلك ممكنا، يتم تنفيذ الفحص.

يمكن تنفيذ المسح الضوئي

يمكنك أن ترى أن خيارات المسح الضوئي يتم تحميلها وأن عملية ScanInitiator تطلب بدء المسح.

ثم تبدأ العملية المسح الضوئي::ScanThreadProcess في إجراء المسح الضوئي.

وكما هو الحال مع الأحداث السابقة، يجب نشره في سحابة CSE. يمكن أن تخبرك السجلات نوع الفحص، والذي في هذه الحالة هو Flash.

نشر حدث الفحص المجدول

يمكنك الانتقال إلى Event Viewer > App and Services Registries.

سجلات التطبيقات والخدمات

البحث عن نقطة النهاية الآمنة من Cisco والسحابة المفتوحة والأحداث. كل علامة تبويب تمنحك طريقة عرض مختلفة.

الأحداث:

عرض الحدث

السحابة:

منظر السحابة

بمجرد انتهاء الفحص، يمكنك رؤية الحدث المنشور على السحابة.

إنهاء المسح الضوئي للنشر

فحص كامل مجدول

يظهر عارض أحداث Windows بدء فحص الحدث، كما هو موضح في الصورة.

وبمجرد انتهائها، يمكنك مقارنة الحدث المنشور.

يمكنك رؤية ذلك في عارض الأحداث من Windows.

عارض الأحداث

عمليات مسح أخرى

عندما يتعلق الأمر بمسحات مخصصة أو مسحات مجموعة المواد الأولية، فإن الاختلاف الرئيسي كما لاحظته هو نوع المسح في عارض الأحداث أو في السجلات.

استكشاف الأخطاء وإصلاحها

عند عدم إجراء فحص الجدول الزمني:

• تأكد من توفر نقطة النهاية في الوقت الذي يفترض فيه حدوث المسح.
• تأكد من جدولة الفحص في النهج. إذا لم تكن ترى ذلك، قم بتشغيل مزامنة النهج.