Revisar verificações do Windows do Secure Endpoint (CSE)

Introdução

Este documento descreve os diferentes tipos de varreduras de um conector do Windows.

Pré-requisitos

Os pré-requisitos para este documento são:

• Ponto de Extremidade do Windows
• Secure Endpoint (CSE) versão v.8.0.1.21164 ou posterior
• Acesso ao console de endpoint seguro

Requisitos

Não existem requisitos específicos para este documento.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• Console de endpoint seguro
• Ponto de Extremidade do Windows 10
• Secure Endpoint versão v.8.0.1.21164

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

As varreduras foram testadas em um ambiente de laboratório com a Política definida para depuração.
A varredura flash na instalação foi ativada por meio de download do Connector.
As varreduras foram executadas na GUI do Secure Client e no Agendador.

Verificação completa

Esse registro demonstra quando uma verificação completa é solicitada na interface gráfica do usuário (GUI) do CSE.

Digitalizar a partir da interface do usuário

Aqui, o processo ScanInitiator inicia o processo Scan.

(1407343, +0 ms) Aug 23 18:06:01 [9568]: ScanInitiator::RequestScan: Attempting to start scan: dConnected: TRUE, FileName: , Options: 0, PID: 0, Type: 5

Você pode ver que Varredura completa é o tipo de Varredura acionada na GUI, como mostrado na imagem.

Em seguida, você tem o Identificador de Segurança (SID), que é um valor de tamanho variável atribuído a esse evento específico, esse Identificador de Segurança ajuda a controlar a varredura nos logs.

Publicar evento

Você pode fazer a correspondência disso com o evento no console do CSE.

Evento de console







Em seguida, nos logs, você pode ver isso:

Publicação Bem-sucedida

Isso significa que o evento foi publicado com êxito no CSE Cloud.

Em seguida, a próxima ação é, na verdade, executar a varredura:

Início da varredura

Como você pode observar, o SID é o mesmo, então você está sob o fluxo do SID 1407343.

Estas são as etapas que o conector executa quando uma ameaça é detectada durante a Varredura.

Etapa 1. O conector informa o arquivo que causou a detecção. Neste exemplo, ele é causado pelo Hacksantana Trainer GLS.

Arquivo detectado

Etapa 2. O evento é publicado no console do CSE com o nome da detecção de ameaças e o caminho onde é encontrado.

Nome da detecção

Publicação de evento de ameaça

Após a conclusão da varredura, você pode dar uma olhada no Visualizador de eventos para obter um resumo da varredura.

Visualizador de eventos

Verificação em Flash

As varreduras em flash são rápidas e levam de segundos a minutos para serem concluídas.
Neste exemplo, você pode ver quando a Varredura é iniciada e, como anteriormente, um SID é fornecido, desta vez, com um valor de 2458015.

Início da varredura flash

A próxima ação é publicar o evento na nuvem do CSE.

Quando a Varredura é concluída, o Evento é publicado na nuvem.

Verificação Concluir Publicação

O evento pode ser visto no Visualizador de Eventos do Windows. Como você pode observar, as informações são as mesmas apresentadas nos logs.

Evento JSON

Varreduras programadas

Quando se trata de varreduras programadas, você deve estar ciente de um conjunto de aspectos.

Depois que uma varredura é programada, ocorre uma alteração no número de série.

Aqui, a política de teste não tem nenhuma varredura programada.

Número de série da política

Para agendar uma Varredura, clique em Editar.

Navegue até Advanced Settings > Scheduled Scans.

Configurações avançadas

Clique em New.

Nova Configuração de Verificação

As opções são:

• Intervalo de verificação
• Tempo de Verificação
• Tipo de Verificação

Depois de configurar a Varredura, clique em Adicionar.

Configuração da varredura programada

Salve suas alterações de política, uma janela pop-up será exibida confirmando suas alterações.

Pop-up

Alteração do número de série

Alteração do número de série

A varredura é configurada na Política, neste exemplo, duas varreduras são configuradas, uma varredura Flash e uma Varredura completa.

XML de política

Eles são adicionados a um Agendador no HistoryDB. Os caracteres ao lado da marca <schedule> são o ID do processo (PID) que identifica a verificação.

ID de Processo

Como mostrado na imagem, ele está na fila.

Verificação na Fila

Você pode pesquisar nos registros a varredura e observar se ela pode ser executada agora ou não. Se puder, a varredura será executada.

A varredura pode ser executada

Você pode ver que as opções para a varredura são carregadas e o processo ScanInitiator solicita que a varredura seja iniciada.

Em seguida, o Processo Scan::ScanThreadProcess inicia a Varredura.

Semelhante aos eventos anteriores, ele precisa ser publicado na nuvem do CSE. Os registros podem informar o tipo de varredura, que, nesse caso, é Flash.

Publicar evento de verificação agendada

Você pode navegar até Event Viewer > App and Services Registries.

Logs de aplicativos e serviços

Procure o Cisco Secure Endpoint e abra a nuvem e os eventos. Cada guia oferece uma exibição diferente.

Eventos:

Exibição de Evento

Nuvem:

Exibição em nuvem

Quando a verificação for concluída, você poderá ver o evento publicado na nuvem.

Verificação Concluir Publicação

Verificação completa agendada

O visualizador de eventos do Windows mostra Event Scan Started, como mostrado na imagem.

Quando terminar, você poderá comparar o evento publicado.

Você pode ver isso no visualizador de eventos do Windows.

Visualizador de Eventos

Outras varreduras

Quando se trata de varreduras personalizadas ou de rootkit, a principal diferença observada é o Tipo de varredura no Visualizador de eventos ou nos registros.

Troubleshooting

Quando uma Varredura programada não ocorrer:

• Certifique-se de que o endpoint esteja disponível no momento em que a Varredura deve ocorrer.
• Certifique-se de que a varredura esteja programada na Política. Se você não o vir, acione uma Sincronização de política.