Управление агентным предотвращением угроз

Обзор

Агентное предотвращение угроз автоматически применяет меры контроля к хостам, чтобы уменьшить поверхность атаки и помочь предотвратить угрозы до того, как они повлияют на вашу среду. Для получения дополнительной информации см. Что такое агентное предотвращение угроз?.

Для каждой категории угроз определите автоматическое действие: Блокировать или Мониторинг и как отслеживается каждое действие. Эти категории угроз представляют различные этапы жизненного цикла атаки, такие как латеральное перемещение или командование и управление. Вы можете просмотреть применяемые правила и угрозы, которые они предотвращают.

Необходимые условия

• TLS включен

Настройка агентного предотвращения угроз

По умолчанию агентное предотвращение угроз включено. Для каждой категории угроз действие установлено на блокировку, и отслеживание настроено на создание события. Чтобы соответствовать вашим требованиям безопасности, измените эти конфигурации.

Чтобы настроить агентное предотвращение угроз:

1. В меню навигации нажмите Безопасность > Агентное предотвращение угроз.

2. (Опционально) Для каждой категории угроз, настройте действие и параметры отслеживания. Для получения дополнительной информации см. Мониторинг агентного предотвращения угроз.

3. Включите переключатель.

4. Кликните Сохранить.

Мониторинг агентного предотвращения угроз

Вы можете наблюдать активность агентного предотвращения угроз с помощью:

• Страница агентных угроз: Просмотр подробностей о примененных мерах контроля к хостам и предотвращенных угрозах на странице агентных угроз. Для получения дополнительной информации см. Мониторинг агентного предотвращения угроз.

• События: Агентное предотвращение угроз генерирует следующие типы событий:

  • Применен контроль: Генерируется, когда контроль применяется к хосту

  • Обнаружено вредоносное действие (необязательно): Генерируется при обнаружении вредоносного действия
    Настройте, генерировать ли событие, уведомление или оба. Если у вас есть лицензия XOps, также генерируется история XOps.
    

  Примечание: События предотвращения агентных угроз имеют подтип Agentic Threat Prevention. Для получения дополнительной информации см. Анализ событий в вашей сети.

Чтобы включить события или уведомления:

1. В меню навигации нажмите Безопасность > Агентное предотвращение угроз.

2. Для каждой категории угроз, нажмите Событие.

3. Настройте необходимые параметры отслеживания:

   • Группа подписки (Для получения дополнительной информации, см.  Создание групп подписки)

   • Список рассылки (Для получения дополнительной информации, см. Работа со списками рассылки)

   • Webhook (Для получения дополнительной информации, см. Отправка уведомлений CMA через Webhooks)

4. Нажмите Сохранить.

Исключение хостов из контроля

Чтобы предотвратить применение конкретных мер контроля к хосту, добавьте соответствующую сигнатуру в список разрешений политики IPS.  Для дополнительной информации см. Разрешение подписей IPS.

Вы можете разрешить следующее:

• Сигнатуры подозрительного поведения: Ни один контроль, связанный с подозрительным поведением, не применяется к хосту

• Сигнатуры контроля: Только выбранный контроль исключается из хоста

Исключение хостов на странице событий

Добавьте сигнатуры подозрительного поведения или контроля в список разрешений политики IPS непосредственно на странице События.

Нажмите на ссылку ID сигнатуры, чтобы открыть панель с заранее заполненным правилом списка разрешений политики IPS. Пересмотрите или отредактируйте правило по мере необходимости, затем нажмите Применить, чтобы добавить его в список разрешений.