Windows-Scans für sichere Endgeräte (CSE) überprüfen

Einleitung

In diesem Dokument werden die verschiedenen Scantypen eines Windows-Connectors beschrieben.

Voraussetzungen

Dieses Dokument setzt Folgendes voraus:

• Windows-Endpunkt
• Secure Endpoint (CSE) Version v.8.0.1.21164 oder höher
• Zugriff auf die Konsole für sichere Endgeräte

Anforderungen

Es gibt keine spezifischen Anforderungen für dieses Dokument.

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

• Konsole für sichere Endgeräte
• Windows 10-Endgerät
• Secure Endpoint Version v.8.0.1.21164

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

Die Scans wurden in einer Laborumgebung getestet, wobei die Richtlinie auf debug festgelegt war.
Der Flash-Scan bei der Installation wurde über Connector-Download aktiviert.
Die Scans wurden über die Secure Client-GUI und den Scheduler ausgeführt.

Vollständige Suche

Dieses Protokoll veranschaulicht, wenn eine vollständige Suche über die grafische Benutzeroberfläche (GUI) von CSE angefordert wird.

Scannen über die Benutzeroberfläche

Hier startet der ScanInitiator-Prozess den Scan-Prozess.

(1407343, +0 ms) Aug 23 18:06:01 [9568]: ScanInitiator::RequestScan: Attempting to start scan: dConnected: TRUE, FileName: , Options: 0, PID: 0, Type: 5

Sie können sehen, dass Vollständige Suche die Art der auf der GUI ausgelösten Suche ist, wie im Bild gezeigt.

Als Nächstes haben Sie die Sicherheits-ID (Security Identifier, SID), die ein Wert variabler Länge ist, der diesem bestimmten Ereignis zugewiesen ist. Diese Sicherheits-ID hilft Ihnen, den Scan in den Protokollen zu verfolgen.

Veröffentlichungsereignis

Sie können dies mit dem Ereignis in der CSE-Konsole abgleichen.

Konsolenereignis







Als Nächstes sehen Sie in den Protokollen Folgendes:

Veröffentlichung erfolgreich

Das bedeutet, dass die Veranstaltung erfolgreich in der CSE-Cloud veröffentlicht wurde.

Als Nächstes führen Sie den Scan aus:

Scan-Start

Wie Sie feststellen können, ist die SID die gleiche, Sie befinden sich also unter dem Strom von SID 1407343.

Dies sind die Schritte, die der Connector durchführt, wenn während des Scans eine Bedrohung erkannt wird.

Schritt 1: Der Connector teilt Ihnen mit, welche Datei die Erkennung verursacht hat. In diesem Beispiel wird sie durch Hacksantana Trainer GLS verursacht.

Datei gefunden

Schritt 2: Das Ereignis wird auf der CSE-Konsole mit dem Namen der Bedrohungserkennung und dem Pfad veröffentlicht, in dem es gefunden wurde.

Erkennungsname

Veröffentlichung von Bedrohungsereignissen

Nachdem der Scan abgeschlossen ist, können Sie eine Zusammenfassung des Scans in der Ereignisanzeige anzeigen.

Ereignisanzeige

Flash-Scan

Flash-Scans sind schnell, sie dauern von Sekunden bis Minuten zu beenden.
In diesem Beispiel sehen Sie, wann der Scan gestartet wird. Wie zuvor wird dieses Mal eine SID mit dem Wert 2458015 vergeben.

Starten des Flash-Scans

Als Nächstes muss die Veranstaltung in der CSE-Cloud veröffentlicht werden.

Wenn der Scan abgeschlossen ist, wird das Ereignis in der Cloud veröffentlicht.

Veröffentlichen des Scan-Abschlusses

Das Ereignis wird in der Windows-Ereignisanzeige angezeigt. Wie Sie feststellen können, sind die Informationen die gleichen wie die Informationen in den Protokollen dargestellt.

JSON-Veranstaltung

Geplante Scans

Bei der zeitgesteuerten Suche müssen Sie eine Reihe von Aspekten berücksichtigen.

Nachdem eine Suche geplant wurde, wird die Seriennummer geändert.

In diesem Fall enthält die Testrichtlinie keine zeitgesteuerten Scans.

Seriennummer der Richtlinie

Wenn Sie eine Suche planen möchten, klicken Sie auf Bearbeiten.

Navigieren Sie zu Advanced Settings > Scheduled Scans.

Erweiterte Einstellungen

Klicken Sie auf Neu.

Neue Suchkonfiguration

Folgende Optionen sind verfügbar:

• Scan-Intervall
• Suchzeit
• Suchtyp

Nachdem Sie die Suche konfiguriert haben, klicken Sie auf Hinzufügen.

Konfiguration der zeitgesteuerten Suche

Speichern Sie Ihre Richtlinienänderungen. Ein Popup-Fenster wird angezeigt, das Ihre Änderungen bestätigt.

Popup

Änderung der Seriennummer

Änderung der Seriennummer

Der Scan wird in der Policy konfiguriert. In diesem Beispiel sind zwei Scans konfigurierte Scans, ein Flash-Scan und ein Full-Scan.

Richtlinien-XML

Sie werden in HistoryDB einem Scheduler hinzugefügt. Die Zeichen neben dem Tag <scheduled> sind die Prozess-ID (PID), die den Scan kennzeichnet.

Prozess-ID

Wie im Bild gezeigt, befindet sie sich in einer Warteschlange.

Scan in Warteschlange gestellt

Sie können in den Protokollen nach dem Scan suchen und feststellen, ob der Scan jetzt ausgeführt werden kann oder nicht. Ist dies der Fall, wird der Scan ausgeführt.

Scan kann ausgeführt werden

Sie können sehen, dass die Optionen für den Scan geladen sind und der ScanInitiator-Prozess den Start des Scans anfordert.

Anschließend startet der Prozess Scan::ScanThreadProcess den Scan.

Ähnlich wie bei früheren Veranstaltungen muss auch diese in der CSE-Cloud veröffentlicht werden. In den Protokollen wird der Scan-Typ angezeigt, in diesem Fall "Flash".

Ereignis der zeitgesteuerten Suche veröffentlichen

Sie können navigieren zu Event Viewer > App and Services Registries.

Anwendungs- und Serviceprotokolle

Suchen Sie nach Cisco Secure Endpoint und öffnen Sie die Cloud und Veranstaltungen. Jede Registerkarte zeigt eine andere Ansicht an.

Events:

Ereignisansicht

Cloud:

Cloud-Ansicht

Sobald der Scan abgeschlossen ist, können Sie das in der Cloud veröffentlichte Ereignis sehen.

Veröffentlichen des Scan-Abschlusses

Geplante vollständige Suche

In der Windows-Ereignisanzeige wird Event Scan Started angezeigt, wie im Bild dargestellt.

Anschließend können Sie die veröffentlichte Veranstaltung vergleichen.

Sie können dies in der Ereignisanzeige von Windows aus sehen.

Ereignisanzeige

Andere Scans

Bei benutzerdefinierten oder Rootkit-Scans besteht der Hauptunterschied, den Sie bemerkt haben, in der Ereignis-Anzeige oder in den Protokollen im Scan-Typ.

Fehlerbehebung

Wenn eine zeitgesteuerte Suche nicht durchgeführt wird:

• Stellen Sie sicher, dass der Endpunkt zu dem Zeitpunkt verfügbar ist, zu dem der Scan erfolgen soll.
• Vergewissern Sie sich, dass der Scan in der Richtlinie geplant ist. Wenn dies nicht der Fall ist, starten Sie eine Synchronisierung der Richtlinie.