Responsacties definiëren voor een verdacht proces

Als onderdeel van uw reactie op een aanval kunt u de volgende acties toepassen in het geval van verdachte processen:

• Een proces stoppen (zie hieronder)
• Een proces in quarantaine plaatsen (zie hieronder)
• De door een proces gemaakte wijzigingen terugdraaien (zie hieronder)
• Het proces toevoegen aan een acceptatielijst of blokkeringslijst van een beschermingsplan (zie Een proces, bestand of netwerk toevoegen of verwijderen in de blokkeringslijst of acceptatielijst van het beschermingsplan)

Een verdacht proces stoppen:

1. Klik in de cyber kill chain op het procesknooppunt dat u wilt herstellen.
   Kritieke Windows-processen of niet-actieve processen kunnen niet worden gestopt en worden uitgeschakeld in de cyber kill chain.
2. Klik in de weergegeven zijbalk op het tabblad Responsacties.
3. Klik in het gedeelte Herstellen op Proces stoppen.

   

4. Selecteer een van de volgende opties:
   • Proces stoppen (stopt het specifieke proces)
   • Processtructuur stoppen (stopt het specifieke proces en alle onderliggende processen)
5. Voeg een opmerking toe.

   Deze opmerking is zichtbaar op het tabblad Actiegeschiedenis (voor een specifieke node) of op het tabblad Incidentactiviteiten (voor het volledige incident), en kan u (of uw collega's) helpen herinneren waarom u de actie hebt uitgevoerd wanneer u het incident opnieuw bekijkt.

6. Klik op Stoppen. Het proces wordt gestopt.
   De betreffende toepassing wordt gesloten en niet-opgeslagen gegevens gaan verloren.

   Deze actie kan ook worden bekeken op het tabblad Actiegeschiedenis (voor de specifieke node) en het tabblad Incidentactiviteiten (voor het volledige incident). Zie Inzicht in de ondernomen acties om een incident te verhelpen voor meer informatie.

Een verdacht proces in quarantaine plaatsen:

1. Klik in de cyber kill chain op het procesknooppunt dat u in quarantaine wilt plaatsen.
   Kritieke Windows-processen kunnen niet in quarantaine worden geplaatst en worden uitgeschakeld in de cyber kill chain.
2. Klik in de weergegeven zijbalk op het tabblad Responsacties.
3. Klik in het gedeelte Herstellen op Quarantaine.

   

4. Voeg een opmerking toe.

   Deze opmerking is zichtbaar op het tabblad Actiegeschiedenis (voor een specifieke node) of op het tabblad Incidentactiviteiten (voor het volledige incident), en kan u (of uw collega's) helpen herinneren waarom u de actie hebt uitgevoerd wanneer u het incident opnieuw bekijkt.

5. Klik op Quarantaine. Het proces wordt gestopt en vervolgens in quarantaine geplaatst.
   Het proces wordt toegevoegd aan en beheerd in het gedeelte Quarantaine onder Antimalwarebeveiliging.

   Deze actie kan ook worden bekeken op het tabblad Actiegeschiedenis (voor de specifieke node) en het tabblad Incidentactiviteiten (voor het volledige incident). Zie Inzicht in de ondernomen acties om een incident te verhelpen voor meer informatie.

Wijzigingen terugdraaien:

1. Klik in de cyber kill chain op het procesknooppunt waarvoor u wijzigingen wilt terugdraaien.
   Deze actie is alleen beschikbaar voor detectieknooppunten (weergegeven als rode of gele knooppunten).
2. Klik in de weergegeven zijbalk op het tabblad Responsacties.
3. Klik in het gedeelte Herstellen op Wijzigingen terugdraaien.

   

4. Klik op de link Betroffen items om de items te bekijken die worden beïnvloed door de teruggedraaide wijzigingen. Het weergegeven dialoogvenster toont alle items (bestanden, register, geplande taken) die worden teruggedraaid en welke actie hiervoor is gebruikt (Verwijderen, Herstellen of Geen). Daarnaast kunt u zien of de herstelde items worden hersteld vanuit de lokale cache of vanuit back-upherstelpunten.

   

5. Voeg een opmerking toe. Deze opmerking is zichtbaar op het tabblad Actiegeschiedenis (voor een specifieke node) of op het tabblad Incidentactiviteiten (voor het gehele incident), en kan u (of uw collega’s) helpen herinneren waarom u de actie hebt ondernomen wanneer u het incident opnieuw bekijkt.
6. Klik op Terugdraaien. Met de functionaliteit voor terugdraaien worden alle dor het proces gemaakte wijzigingen van registers, bestanden of geplande taken ongedaan gemaakt. Dit gebeurt als volgt:
   1. Alle nieuwe vermeldingen (register, geplande taken, bestanden) die door de bedreiging (en bijbehorende onderliggende bedreigingen) zijn gemaakt, worden verwijderd.
   2. Alle wijzigingen die door de bedreiging (en bijbehorende onderliggende bedreigingen) zijn aangebracht in het register, de geplande taken en/of bestanden van de workload, worden teruggedraaid naar de situatie van vóór de aanval.
   3. Bij het terugdraaien wordt geprobeerd items te herstellen uit de lokale cache. Items die niet kunnen worden hersteld, worden door EDR automatisch hersteld vanaf schone back-upimages.

   De herstelactie kan ook worden bekeken op het tabblad Actiegeschiedenis (voor de specifieke node) en het tabblad Incidentactiviteiten (voor het volledige incident). Zie Inzicht in de ondernomen acties om een incident te verhelpen voor meer informatie.