Een heel incident verhelpen

Als u kiest voor het verhelpen van een heel incident, kunt u snel en gemakkelijk aangeven met welke actie(s) u het incident globaal wilt verhelpen. Endpoint Detection and Response (EDR) biedt stapsgewijze begeleiding voor het hele proces om een incident te verhelpen.

Op Linux-workloads kunt u niet een volledig incident herstellen. Herstel in plaats daarvan de afzonderlijke aanvalspunten, zoals beschreven in Responsacties voor afzonderlijke knooppunten in de cyber kill chain.

Als u uw netwerk en het incident meer in detail moet beheren, raadpleegt u Responsacties voor afzonderlijke knooppunten in de cyber kill chain.

Een heel incident verhelpen:

  1. Ga in de Cyber Protect console naar Beveiliging > Incidenten.
  2. Klik in de weergegeven lijst met incidenten op in de uiterst rechtse kolom van het incident dat u wilt onderzoeken. De cyber kill chain voor het geselecteerde incident wordt weergegeven.

  3. Klik op Het hele incident verhelpen. Het dialoogvenster Het hele incident verhelpen wordt weergegeven.

  4. Ga naar het gedeelte Oordeel van analist en selecteer, op basis van uw onderzoek naar het incident, een van de volgende opties:
    • Terecht-positief: Selecteer deze optie of u zeker weet dat de aanval een echte aanval is. Wanneer u deze optie hebt geselecteerd, voegt u herstel- en preventieve acties toe, zoals beschreven in de volgende stappen.
    • Fout-positief: Selecteer deze optie of u zeker weet dat de aanval geen echte aanval is. In deze modus kunt u definiëren hoe u wilt voorkomen dat dit opnieuw gebeurt, bijvoorbeeld door het incident toe te voegen aan de acceptatielijst van een beschermingsplan.
      Nadat u Fout-positief hebt geselecteerd, kunt u alleen preventieve acties definiëren. Zie Een fout-positief incident verhelpen voor meer informatie.
  5. Voer in het gedeelte Herstelacties de volgende stappen voor herstel uit. Deze moeten in de juiste volgorde worden uitgevoerd: u kunt stap 2 bijvoorbeeld niet selecteren voordat stap 1 is voltooid.
    1. Stap 1 - Bedreigingen stoppen: Schakel het selectievakje in om alle processen te stoppen die zijn gerelateerd aan de bedreiging.
    2. Stap 2 - Bedreigingen in quarantaine plaatsen: Wanneer de bedreiging is gestopt, schakelt u het selectievakje in om alle schadelijke en verdachte processen en bestanden in quarantaine te plaatsen.
    3. Stap 3 - Wijzigingen terugdraaien: Nadat de bedreigingen in quarantaine zijn geplaatst, schakelt u het selectievakje in om alle nieuwe registervermeldingen, geplande taken of door de bedreiging (en onderliggende bedreigingen) gemaakte bestanden te verwijderen. Vervolgens worden alle wijzigingen die door de bedreiging (of bijbehorende onderliggende bedreigingen) zijn aangebracht in het register, de geplande taken en/of bestanden van de workload, teruggedraaid naar de situatie van vóór de aanval. Bij het terugdraaien worden items hersteld uit de lokale cache, zodat de bewerking sneller verloopt. Items die hiermee niet kunnen worden hersteld, worden automatisch hersteld vanaf back-upimages.

      Als de toegang tot de relevante back-ups is versleuteld, kunt u gebruikmaken van het selectievakje Deze responsactie toestaan om toegang te krijgen tot versleutelde back-ups via opgeslagen referenties. EDR heeft toegang tot de opgeslagen gebruikersreferenties om de versleutelde archieven te ontsleutelen en naar de relevante bestanden te zoeken.

      U kunt ook op Betroffen items klikken om alle items (bestanden, register of geplande taken) te bekijken die worden beïnvloed door het terugdraaien, samen met de toegepaste acties (Verwijderen, Herstellen of Geen), en om te zien of de items worden hersteld vanuit de lokale cache of vanuit back-upimages.

    4. Workload herstellen: Als een van de hierboven geselecteerde stappen geheel of gedeeltelijk mislukt, schakelt u het selectievakje voor het herstel van een workload in.

      Selecteer een van de volgende herstelopties:

      • Workload herstellen vanaf back-up: Hiermee kunt u een workload herstellen vanuit een specifiek herstelpunt. Klik op het pictogram voor het bewerken van een herstelpunt om een keuze te maken in een lijst met herstelback-ups.
      • Failover voor Disaster Recovery: Hiermee kunt u noodherstel uitvoeren (als u deze functionaliteit hebt ingeschakeld in uw beschermingsplan). We raden u aan deze optie te gebruiken voor kritieke workloads, zoals AD-servers of databaseservers. Zie Disaster Recovery implementeren voor meer informatie.
  6. Ga naar het gedeelte Preventieve acties en selecteer de betreffende stappen voor herstel:
    • Toevoegen aan blokkeringslijst: Schakel het selectievakje in en selecteer de betreffende beschermingsplannen in de weergegeven lijst met beschermingsplannen. Met deze preventieve actie wordt de uitvoering van alle detecties van het incident geblokkeerd voor de geselecteerde beschermingsplannen.
    • Workload patchen: Schakel het selectievakje in om kwetsbare software te patchen en te voorkomen dat aanvallers toegang krijgen tot de workload. U kunt vervolgens de actie selecteren die moet worden uitgevoerd wanneer de patch is voltooid (Niet opnieuw opstarten, Opnieuw opstarten of Alleen opnieuw opstarten indien nodig), afhankelijk van of de gebruiker is aangemeld of niet.

  7. Schakel het selectievakje De onderzoeksstatus van het incident wijzigen in: Gesloten in. Indien deze optie niet is geselecteerd, blijft de vorige onderzoeksstatus behouden.
  8. Klik op Herstellen. De door u geselecteerde herstelacties worden stap voor stap uitgevoerd, waarbij de voortgang van elke stap wordt weergegeven in het dialoogvenster Het hele incident verhelpen.

    Vervolgens ziet u de knop Ga naar activiteiten. Klik op Ga naar activiteiten om alle responsacties te bekijken die zijn toegepast voor het incident. Zie Inzicht in de ondernomen acties om een incident te verhelpen voor meer informatie.