Эта статья объясняет, как создать автоматическую реакцию на XOps историю для удерживания потенциальных угроз.
Обзор
Автоматические реакции на XOps истории позволяют определить меры по устранению, которые активируются, когда история соответствует определенным критериям. Это помогает сдерживать угрозы сразу после их обнаружения, сокращая время реакции и обеспечивая последовательное применение вашей политики безопасности и правил сетевого трафика по всему окружению.
Вы можете определить автоматические реакции в правилах, настроенных в Политике Реагирования. Вместо того чтобы полагаться на ручную реакцию, каждое правило оценивает атрибуты истории, такие как серьезность, вовлеченность пользователя или индикация, и автоматически активирует настроенное действие.
Чтобы предотвратить чрезмерное применение, автоматическое действие применяется к конкретному пользователю один раз в 30 минут. В течение этого 30-минутного окна дополнительные соответствующие истории не вызывают повторных действий для того же пользователя. Это избегает ненужных нарушений, при этом обеспечивая эффективную реакцию на реальные угрозы.
Поддерживаемые действия
Поддерживаемые действия перечислены ниже:
Отзыв пользовательской сессии: Это выходит пользователя из системы и предлагает ему повторно аутентифицироваться через экран входа в Клиент, гарантируя, что только легитимные пользователи восстанавливают доступ. Для получения дополнительной информации см. Смягчение угроз в XOps историях.
Случай использования - Автоматическое реагирование на истории с высокой критичностью и серьёзностью
Компания ABC сталкивается с большим объемом XOps историй, что усложняет обеспечение немедленного реагирования на наиболее критические угрозы. Чтобы уменьшить воздействие и обеспечить последовательное смягчение, они настраивают правило политики реагирования, которое автоматически обрабатывает истории с самыми высокими индикаторами риска.
Они создают правило для выявления любой истории с высокой критичностью и устанавливают автоматическое действие на отзыв пользовательской сессии. Чтобы гарантировать безопасность использования автоматического действия, администратор добавляет фильтр по индикации и выбирает только типы историй, связанные с фишингом для этой политики. Это помогает сбалансировать эффективность безопасности с правильным применением и гарантирует, что только пользователи, которые действительно нуждаются в этом, блокируются.
Любой пользователь, который включен в историю, соответствующую этим критериям, автоматически вынужден повторно аутентифицироваться. Этот подход гарантирует, что критические угрозы получают немедленное внимание, улучшает последовательность вашей безопасности и освобождает аналитиков для сосредоточения на расследованиях вместо срочных задач по устранению.
Создание автоматических реакций
Автоматические реакции настраиваются в рамках Политики Реагирования.
Чтобы создать автоматическую реакцию:
Создайте правило Политики Реагирования. Для получения дополнительной информации обратитесь к Создание политики реагирования для XOps историй.
В разделе Реакции под Действием выберите автоматическое действие для применения к правилу. Вы также можете выбрать уведомление.
Нажмите Save. Правило добавлено к политике.
Обзор действий по устранению
Если история соответствует правилу с автоматическим ответом, действие автоматически выполняется и хронология истории обновляется. Действие также видно в Центре действий.
Вкладка Центра Действий на странице Домашняя > Политика обнаружения и реагирования позволяет просмотреть XOps меры по устранению, принятые в вашем аккаунте.
Центр действий показывает следующую информацию для каждого действия по устранению:
Время - Временная метка, когда действие устранения было отправлено
Действие - Описание действия по устранению
Субъект - Пользователь, на котором было выполнено действие
Статус - Статус действия. Для действия Добавить цель в список блокировки эти значения Статуса:
Успех - Запрос на отзыв сессии был отправлен в службу пользователей Cato
Сбой - Произошла проблема с запросом на отзыв сессии
Автор - Администратор, который выполнил действие
Триггер - ID Истории для истории, из которой было отправлено действие. Нажмите, чтобы открыть страницу Обзор для истории
Примечание - Для автоматических действий никакое примечание не добавляется