Forensische Artefacten: Bestanden verzamelen van eindpunten
Cyber Protection Endpoint Detection and Response (EDR) stelt analisten en beveiligingsteams in staat om verdachte bestandsvoorbeelden van eindpunten te verzamelen en deze centraal op te slaan in een beveiligde cloudrepository. Deze verzamelde bestanden, Forensische Artefacten genoemd, ondersteunen onderzoek, dreigingsonderzoek en geautomatiseerde analyseworkflows.
Wat is Forensische Artefacten?
Forensische Artefacten is een beveiligde gecentraliseerde repository waarin alle bestandsvoorbeelden die van uw eindpunten zijn verzameld, worden opgeslagen en beheerd. Wanneer u tijdens een onderzoek een bestand van een eindpunt verzamelt:
- Het bestand wordt verpakt als een met een wachtwoord beveiligd versleuteld archief.
- Het wordt geüpload naar beveiligde cloudopslag.
- Het wordt opgeslagen met volledige metagegevens (hash, pad, host, tijdstempel, bestandsgrootte en wie de verzameling heeft aangevraagd).
- Het wordt 180 dagen bewaard en daarna automatisch verwijderd.
- Alle toegang wordt vastgelegd in het logboek voor compliance- en auditdoeleinden.
Waarom bestanden verzamelen?
Hoewel EDR bedreigingen detecteert en gedetailleerde activiteitsinformatie biedt, hebt u soms de daadwerkelijke bestandsvoorbeelden nodig voor diepgaander onderzoek. Met bestandsverzameling kunt u:
- Onderzoek verdiepen — analyseer het daadwerkelijke schadelijke bestand, niet alleen hashes en metagegevens.
- Dreigingsonderzoek ondersteunen — dien bestanden in voor sandboxanalyse of statische analyse.
- Voldoen aan nalevingsvereisten — houd een audittrail van forensicsactiviteiten bij.
Hoe werkt bestandsverzameling?
Wanneer u een bestandsverzameling aanvraagt:
- Het systeem stuurt een verzameltaak naar het eindpunt waar het bestand zich bevindt.
- De eindpuntagent leest het bestand en verpakt het als een met een wachtwoord beveiligd ZIP-archief.
- Het archief wordt geüpload naar beveiligde cloudopslag.
- Het systeem registreert de verzamelgebeurtenis in uw auditlogboek.
- Het bestand verschijnt op de pagina Forensische Artefacten, waar u het kunt downloaden, details kunt bekijken of het kunt verwijderen.
Belangrijke beveiligingsvoorzieningen
Bestandsverzameling wordt beschermd door meerdere beveiligingslagen:
- Role-Based Access Control (RBAC) — alleen gebruikers met de machtigingen "Collect Files" of "Download Collected Files" kunnen deze acties uitvoeren.
- Wachtwoordbeveiliging — elk verzameld bestand wordt versleuteld met een uniek wachtwoord, dat alleen tijdens het downloaden aan u wordt weergegeven.
- Auditlogboekregistratie — alle verzamel-, download- en verwijderacties worden vastgelegd met informatie over gebruiker, tijdstempel, bestand en host. Wachtwoorden worden nooit vastgelegd.
- Versleutelde opslag — bestanden worden in rust versleuteld in beveiligde cloudopslag, gescheiden van andere productgegevens.
- Automatisch opschonen — bestanden worden na 180 dagen automatisch verwijderd om opslag te beheren en te voldoen aan beleidsregels voor gegevensbewaring.
Wie kan Forensische Artefacten gebruiken?
Forensische Artefacten is beschikbaar op het niveau van het klantaccount voor deze rollen:
- Cyberbeheerder — kan bestanden verzamelen, bestanden downloaden en bestanden verwijderen.
- Bedrijfbeheerder — kan bestanden verzamelen, bestanden downloaden en bestanden verwijderen.
- Securityanalist — kan bestanden verzamelen, bestanden downloaden en bestanden verwijderen.