本文章解释如何创建自动响应到 XOps 事件以包含潜在威胁。
概概览
自动响应到 XOps 事件可以定义缓解操作，当事件满足特定标准时触发。 这有助于在检测到威胁时立即进行响应，减少响应时间，并确保在您的环境中一致执行安全姿态和网络流量策略。
您可以在已配置的规则中定义自动响应，在响应策略中。 每条规则评估事件的属性，例如严重性、用户参与度或指示，并自动触发已配置的操作，而不是依赖手动响应。
为了防止过度执行，自动操作每 30 分钟对特定用户应用一次。 在这30分钟的窗口期内，其他匹配的事件不会对相同用户重复触发操作。 这样可以避免不必要的中断，同时确保对真实威胁的有效响应。
支持的操作
支持的操作列表如下：
撤销用户会话：这会将用户注销，并提示他们通过客户端登录屏幕重新认证，确保只有合法用户重新获得访问权限。 有关更多信息，请参阅 缓解 XOps 事件的威胁。
使用案例 - 自动响应严重性和重大性高的事件
公司 ABC 面临大量 XOps 事件，使得立即处理最关键的威胁成为挑战。 为了减少曝光并强制一致的缓解，他们配置了一个响应策略规则，以便自动处理具有最高风险指标的事件。
他们创建了一个规则来识别任何具有高严重性的事件，并设置自动操作以撤销用户的会话。 为了确保自动操作安全使用，管理员通过指示添加过滤器并仅选择与钓鱼相关的事件类型用于此策略。 这样有助于平衡安全效率与正确执行，并确保只有确实需要的用户才会被阻止。
任何符合这些标准的事件中的用户都会强制重新认证。 这种方法确保立即引起严重威胁的注意，提高安全姿态的一致性，并帮助分析师专注于调查，而不是紧急缓解任务。
创建自动响应
自动响应是在响应策略中配置的。
要创建自动响应：
创建响应策略规则。 有关更多信息，请参阅创建 XOps 事件的响应政策。
在响应部分，选择操作下要应用于规则的自动操作。 您还可以选择通知。
单击 保存。 该规则已添加到策略中。
审查缓解操作
如果事件匹配具有自动响应的规则，则会自动执行该操作并更新事件时间线。 操作在操作中心也可以查看。
在 主页 > 检测 & 响应策略 页面上的操作中心选项卡可以让您查看您的帐户中采取的 XOps 缓解操作。
操作中心显示以下信息：
时间 - 缓解行动发送时的时间戳
操作 - 缓解行动的描述
主题 - 操作所针对的用户
状态 - 操作的状态。 对于 添加目标到阻止列表 的操作，这些是 状态 值：
成功 - 用于撤销会话的请求已发送到 Cato 用户服务
失败 - 撤销会话的请求存在问题
作者 - 执行该操作的管理员
触发 - 发送操作的事件的 事件 ID。 点击以打开事件的概览页面
备注 - 对于自动操作，没有添加备注