EDR-workflows (Endpoint Detection and Response)

Er zijn zes standaard EDR-workflows die u kunt configureren volgens uw eisen:

• Bedreiging in quarantaine plaatsen (wanneer een EDR-incident wordt gemaakt)
• Bedreiging in quarantaine plaatsen (wanneer een EDR-incident wordt bijgewerkt)
• Workload isoleren (wanneer een EDR-incident wordt gemaakt)
• Workload isoleren (wanneer een EDR-incident wordt bijgewerkt)
• Malware-incident dat aandacht vereist
• Incident dat aandacht vereist

In de volgende tabel worden de standaardtriggers, -voorwaarden en -acties beschreven die van toepassing zijn op elke workflow. Zie Een geautomatiseerde EDR-workflow (Endpoint Detection and Response) configureren voor meer informatie over het wijzigen van deze voorwaarden en acties.

Workflow	Trigger	Voorwaarden	Acties
Bedreiging in quarantaine plaatsen	EDR-incident is gemaakt	Status van bedreiging = "Niet verholpen" EN Status van incident = "Niet gestart" EN Ernst = "Hoog" EN Type incident = "Proces gedetecteerd" OF "Malware gedetecteerd"	Stop het proces. Plaats het proces in quarantaine. Voeg een opmerking toe. De standaardtekst van de opmerking is "<Workflow name> - Bedreiging met hoge ernst in quarantaine geplaatst". Sluit het incident.
Bedreiging in quarantaine plaatsen	EDR-incident is bijgewerkt
Workload isoleren	EDR-incident is gemaakt	Status van bedreiging = "Niet verholpen" EN Status van incident = "Niet gestart" EN Ernst = "Kritiek" EN Oordeel = "Schadelijk" EN Positiviteitsniveau > 9 EN Type incident = "Proces gedetecteerd" OF "Malware gedetecteerd"	Stop het proces. Plaats het proces in quarantaine. isoleer de workload. Voeg een opmerking toe. De standaardtekst van de opmerking is "<Workflow name> - Workload <Workload name> is geïsoleerd na detectie van kritieke malware". Verzend e-mail naar geselecteerde gebruikers van de Cyber Protect console.
Workload isoleren	EDR-incident is bijgewerkt
Malware-incident dat aandacht vereist	EDR-incident is gemaakt	Status van bedreiging = "Niet verholpen" EN Status van incident = "Niet gestart" EN Leeftijd van incident > 8 uur EN Ernst = "Hoog" OF "Kritiek" EN Oordeel = "Schadelijk" EN Type incident = "Malwaredetectie"	Stop het proces. Plaats het proces in quarantaine. Voeg een opmerking toe. De standaardtekst van de opmerking is "<Workflow name> - Bedreiging met ernst Hoog/Kritiek in quarantaine geplaatst want geen onderzoek gedurende 8 uur". Verzend e-mail naar geselecteerde gebruikers van de Cyber Protect console.
Incident dat aandacht vereist	EDR-incident is gemaakt	Status van bedreiging = "Niet verholpen" EN Status van incident = "Niet gestart" EN Leeftijd van incident > 24 uur EN Ernst = "Hoog" OF "Kritiek" EN Oordeel = "Schadelijk"	Stop het proces. Plaats het proces in quarantaine. Voeg een opmerking toe. De standaardtekst van de opmerking is "<Workflow name> - Bedreiging met ernst Hoog/Kritiek in quarantaine geplaatst want geen onderzoek gedurende 24 uur". Verzend e-mail naar geselecteerde gebruikers van de Cyber Protect console.