Incidenten in de cyber kill chain onderzoeken

U kunt elke stap van een aanval onderzoeken in de cyber kill chain. Volg de gemakkelijk te begrijpen zinnen en grafieken van de cyber kill chain om inzicht te krijgen in elke stap van de aanval. Op die manier bespaart u ook op de tijd die nodig is voor het onderzoek.

Een onderzoek starten in de cyber kill chain

  1. Ga in de Cyber Protect console naar Bescherming > Incidenten.

  2. Klik in de weergegeven lijst met incidenten op in de uiterst rechtse kolom van het incident dat u wilt onderzoeken. De cyber kill chain voor het geselecteerde incident wordt weergegeven.

  3. Bekijk een samenvatting van het incident in de statusbalk van de bedreiging bovenaan de pagina. De statusbalk van de bedreiging bevat de volgende informatie:
    • Huidige bedreigingsstatus: De bedreigingsstatus wordt automatisch door het systeem bepaald. Elk incident met de status Niet verholpen moet zo snel mogelijk worden onderzocht.
      Een incident krijgt de status Beperkt wanneer het terugzetten vanuit een back-up met succes is voltooid of wanneer alle detecties met succes zijn verholpen door een proces te stoppen, in quarantaine te plaatsen of een terugdraaiactie uit te voeren.

      Een incident krijgt de status Niet beperkt wanneer het terugzetten vanuit een back-up niet met succes is voltooid of wanneer ten minste één detectie niet met succes is verholpen door een proces te stoppen, in quarantaine te plaatsen of een terugdraaiactie uit te voeren.

      U kunt de dreigingsstatus ook handmatig instellen op Beperkt of Niet beperkt. Wanneer u een van beide statussen selecteert, wordt u gevraagd een opmerking in te voeren. Deze opmerking wordt opgeslagen als onderdeel van de onderzoeksactiviteiten en kan worden bekeken op het tabblad Incidentactiviteiten. Houd er rekening mee dat EDR de dreigingsstatus nog steeds kan terugzetten naar Beperkt of Niet beperkt als er nieuwe detecties voor het incident zijn ontdekt of als er responsacties zijn uitgevoerd en succesvol zijn voltooid.
    • Ernst van incident: Kritiek, Hoog of Matig. Zie Incidenten in de incidentlijst bekijken voor meer informatie.
    • Huidige onderzoeksstatus: Een van de opties Wordt onderzocht, Niet gestart (de standaardstatus), Fout-positief of Gesloten. U moet de status wijzigen wanneer u het incident gaat onderzoeken, zodat andere collega's op de hoogte zijn van eventuele wijzigingen in het incident.
    • Positiviteitsniveau: Geeft aan hoe waarschijnlijk het is dat een incident een echte kwaadaardige aanval is, met een score van 1 tot 10. Zie Incidenten in de incidentlijst bekijken voor meer informatie.

    • Type incident: Een of meer van Ransomware gedetecteerd, Malware gedetecteerd, Verdacht proces gedetecteerd, Schadelijk proces gedetecteerd, Microsoft Defender detectie, Verdachte URL geblokkeerd en Schadelijke URL geblokkeerd.

      Als Microsoft Defender Antivirus is ingeschakeld voor realtime bescherming in plaats van Acronis Realtime bescherming, worden alleen de incidenttypen Microsoft Defender detectie, Verdachte URL geblokkeerd en Schadelijke URL geblokkeerd weergegeven.

    • Als Managed Detection and Response (MDR) is ingeschakeld voor de workload, wordt een veld MDR-ticket weergegeven. U kunt de details van het MDR-ticket voor het incident bekijken en zien welke MDR-beveiligingsanalist is toegewezen aan het incident.

    • Wanneer het incident is gemaakt en bijgewerkt: Datum en tijd waarop het incident is gedetecteerd, of wanneer het incident voor het laatst is bijgewerkt met nieuwe detecties die zijn geregistreerd voor het incident.

  4. Klik op het tabblad Legenda om de verschillende knooppunten van de kill chain-grafiek te bekijken en om te definiëren welke knooppunten u wilt bekijken. Zie De cyber kill chain-weergave begrijpen en aanpassen voor meer informatie.
  5. Onderzoek en verhelp het incident door de volgende stappen uit te voeren. Let op: dit is de gebruikelijke workflow is voor het onderzoek naar en verhelpen van een incident, maar dit kan per incident en al naargelang uw eigen vereisten verschillen.
    1. Onderzoek elke fase van de aanval op het tabblad Aanvalsfasen. Zie De aanvalsfasen van een incident onderzoeken voor meer informatie.

    2. Klik op Het hele incident verhelpen om herstelacties toe te passen. Zie Een heel incident verhelpen voor meer informatie. U kunt ook afzonderlijke knooppunten in de cyber kill chain herstellen, zoals beschreven in Responsacties voor afzonderlijke knooppunten in de cyber kill chain.

      U kunt ook op Copilot klikken om de chat met Acronis AI te starten. Acronis AI biedt, afhankelijk van het incident, verschillende reactiemogelijkheden en relevante contextuele informatie over het incident, zoals details over het type aanval. U kunt de relevante reactiemogelijkheid selecteren en vervolgens de instructies op het scherm volgen. Deze reactiemogelijkheden worden beschreven in Responsacties voor afzonderlijke knooppunten in de cyber kill chain.

      Bij het gebruik van Copilot geldt een maandelijks limiet van 1000 verzoeken per partnertenant. Wanneer deze limiet is bereikt, wordt er een foutbericht weergegeven waarin u wordt geïnformeerd dat u het maandelijkse limiet hebt overschreden.
    3. Ga naar het tabblad Incidentactiviteiten om te bekijken welke acties zijn ondernomen om het incident te verhelpen. Zie Inzicht in de ondernomen acties om een incident te verhelpen voor meer informatie.

De cyber kill chain-weergave begrijpen en aanpassen

Ga naar de legenda om inzicht te krijgen in de knooppunten die worden beïnvloed in de cyber kill chain. De legenda toont alle knooppunten die betrokken zijn bij een incident, zodat u kunt begrijpen hoe de verschillende knooppunten zijn beïnvloed door de aanvaller. U kunt ook de knooppunten definiëren die u wilt verbergen of weergeven in de cyber kill chain.

Toegang tot de legenda:

  1. Klik op het pijlpictogram rechts van het gedeelte Legenda.

    Het gedeelte Legenda wordt uitgevouwen, zoals hieronder weergegeven.

  2. Er worden vier hoofdkleuren gebruikt in de legenda, zodat u snel kunt begrijpen wat er met elk knooppunt in de cyber kill chain is gebeurd, zoals hieronder weergegeven. Deze knooppunten met kleurcodes worden ook weergegeven in de aanvalsfasen, zoals beschreven in De aanvalsfasen van een incident onderzoeken.

Knooppunten in de cyber kill chain verbergen of weergeven

  1. Vouw het gedeelte Legenda uit en controleer of wordt weergegeven naast de knooppunten die u wilt weergeven in de cyber kill chain. Als het weergegeven pictogram is, klikt u op het pictogram om het te wijzigen in .
  2. Klik op om een knooppunt in de cyber kill chain te verbergen. Het pictogram verandert in en het knooppunt wordt niet meer weergegeven in de cyber kill chain.