De netwerkisolatie van een workload beheren

Met EDR kunt u de netwerkisolatie van een workload beheren om zijdelingse verplaatsing of Command and control (C&C)-activiteiten te stoppen. U munt kiezen uit diverse opties voor isolatie, afhankelijk van uw vereisten. Let op: alle technologieën van Acronis Cyber Protect zijn functioneel, zelfs als een workload is geïsoleerd, zodat u een volledig onderzoek kunt uitvoeren.

Een workload isoleren van het netwerk:

1. Klik in de cyber kill chain op het workloadknooppunt dat u wilt herstellen.
2. Klik in de weergegeven zijbalk op het tabblad Responsacties.
3. Klik in het gedeelte Herstellen op Netwerkisolatie beheren.

   

   De waarde van Netwerkstatus geeft aan of de workload momenteel is verbonden of niet. Als de waarde Geïsoleerd is, kunt u de geïsoleerde workload opnieuw verbinden met het netwerk, zoals beschreven in de onderstaande procedure. Als de workload offline is, kunt u de workload toch nog isoleren. Wanneer de workload weer online gaat, krijgt deze automatisch de status Geïsoleerd.

4. In de vervolgkeuzelijst Onmiddellijke actie na isolatie selecteert u een van de volgende opties:

   • Alleen isoleren

   • Workload isoleren en back-up maken

   • Workload isoleren en back-up maken met forensische gegevens

   • Workload isoleren en uitschakelen

   Zie Back-up en herstel van workloads en bestanden beheren voor meer informatie over het definiëren van een locatie voor back-ups van de workload en mogelijke versleutelingsopties.

5. [Optioneel] Voeg in het veld Bericht om weer te geven een bericht toe dat wordt weergegeven voor eindgebruikers wanneer ze toegang krijgen tot de geïsoleerde workload. U kunt gebruikers bijvoorbeeld laten weten dat de workload nu geïsoleerd is en dat netwerktoegang naar en uit de workload momenteel niet beschikbaar is. Let op: dit bericht wordt ook weergegeven als een tray monitor-melding en het blijft zichtbaar totdat de gebruiker het bericht sluit.
6. Voeg in het veld Opmerking een opmerking toe.

   Deze opmerking is zichtbaar op het tabblad Actiegeschiedenis (voor een specifieke node) of op het tabblad Incidentactiviteiten (voor het volledige incident), en kan u (of uw collega's) helpen herinneren waarom u de actie hebt uitgevoerd wanneer u het incident opnieuw bekijkt.

7. Klik op Netwerkuitsluitingen beheren om poorten, URL's, hostnamen en IP-adressen toe te voegen die toegang hebben tot de workload tijdens de isolatie. Zie Netwerkuitsluitingen beheren voor meer informatie.
8. Klik op Isoleren.

   De applicatie is geïsoleerd. Deze actie kan ook worden bekeken op het tabblad Actiegeschiedenis (voor de specifieke node) en het tabblad Incidentactiviteiten (voor het hele incident). Zie Inzicht in de ondernomen acties om een incident te verhelpen voor meer informatie.

Een geïsoleerde workload opnieuw verbinden met het netwerk:

1. Klik in de cyber kill chain op het workloadknooppunt dat u opnieuw wilt verbinden.

   Als de geïsoleerde workload momenteel offline is, kunt u deze toch nog opnieuw verbinden met het netwerk. Wanneer de workload weer online gaat, krijgt deze automatisch de status Verbonden.
2. Klik in de weergegeven zijbalk op het tabblad Responsacties.
3. Klik in het gedeelte Herstellen op Netwerkisolatie beheren.
4. Selecteer een van de volgende opties:
   • Onmiddellijk verbinding maken met netwerk: De workload wordt opnieuw verbonden met het netwerk.
   • Workload herstellen vanaf back-up voordat verbinding wordt gemaakt met het netwerk: Selecteer een herstelpunt van waaruit u de workload wilt herstellen:
     1. Klik in het veld Herstelpunt op Selecteren.
     2. Ga naar de weergegeven zijbalk en selecteer het betreffende herstelpunt.
     3. Klik op Herstellen > Volledige workload om alle bestanden en mappen voor de workload te herstellen.

        Of

        Klik op Herstellen > Bestanden/mappen om specifieke bestanden en mappen voor de workload te herstellen. U wordt vervolgens gevraagd om de relevante bestanden of mappen te selecteren. Wanneer u deze hebt geselecteerd, kunt u de lijst met items bekijken door op de betreffende waarde te klikken in het veld Items om te herstellen.

        

        Als het door u geselecteerde herstelpunt is versleuteld, wordt u om het wachtwoord gevraagd.
5. [Optioneel] Schakel het selectievakje De workload indien nodig automatisch opnieuw opstarten in. Deze optie is alleen relevant als u in stap 4 Herstellen > Volledige workload hebt geselecteerd.
6. [Optioneel] Voeg in het veld Bericht om weer te geven een bericht toe dat wordt weergegeven voor eindgebruikers wanneer ze toegang krijgen tot de verbonden workload. U kunt gebruikers bijvoorbeeld laten weten dat er een back-up is hersteld voor de workload en dat netwerktoegang naar en uit de workload is hervat.
7. Voeg in het veld Opmerking een opmerking toe.

   Deze opmerking is zichtbaar op het tabblad Actiegeschiedenis (voor een specifieke node) of op het tabblad Incidentactiviteiten (voor het volledige incident), en kan u (of uw collega's) helpen herinneren waarom u de actie hebt uitgevoerd wanneer u het incident opnieuw bekijkt.

8. Klik op Verbinden als u Onmiddellijk verbinding maken met netwerk hebt geselecteerd in stap 4.

   Of

   Klik op Herstellen en verbinden als u Workload herstellen vanaf back-up voordat verbinding wordt gemaakt met het netwerk hebt geselecteerd in stap 4.

   De workload wordt opnieuw verbonden met het netwerk en er zijn geen beperkingen meer voor toegang tot het netwerk.

Netwerkuitsluitingen beheren

1. Klik in het gedeelte Herstellen van het tabblad Responsacties op Netwerkuitsluitingen beheren.
2. Voeg in de zijbalk Netwerkuitsluitingen de betreffende uitsluitingen toe. Doe het volgende voor elk van de beschikbare opties (poorten, URL-adres en hostnaam/IP-adres):
   1. Klik op Toevoegen en voer vervolgens de relevante poort(en), URL-adressen of hostnaam/IP-adressen in.
   2. Selecteer in de vervolgkeuzelijst Verkeersrichting een van de opties: Binnenkomende en uitgaande verbindingen, Alleen binnenkomende verbindingen of Alleen uitgaande verbindingen.
   3. Klik op Toevoegen.
3. Klik op Opslaan.