- 查看詳細資訊
在 Vision One console > XDR THREAT INVESTIGATION > Workbench > 點選您要查看的 Workbench ID,即可看到類似下圖的畫面:
點選上圖左下角紅框中的圖示(依照不同事件產生),可以看到更近一步的網路或程序資訊:
點選上圖左下角紅框中的圖示(依照不同事件產生),可以看到更近一步的網路或程序資訊:
- Network Analytics Report
- Execution Profile
- 緊急處置
- 主機隔離
- 在主機圖示上點選滑鼠右鍵,在右鍵選單中選擇「Isolate Endpoint」
- 可在 Description 中輸入註記資訊,點選「Create」
- 完成後,該主機就沒有網路通訊,僅剩與 Vision One 的通訊(解除隔離使用)
- 加入阻擋清單
- 在檔案圖示上點選滑鼠右鍵,在右鍵選單中選擇「Add to Block List」
- 可在 Description 中輸入註記資訊,點選「Create」
- 完成後,該檔案就會被加入阻擋清單,即可避免所有主機的相同檔案被執行
- 主機隔離
沙箱分析
- 執行此動作有兩個要件,否則 Create 按鈕會呈現灰色,無法點選:
- 建立送件的畫面上方會顯示保留多少 credits 配置為每日分析的數量。
- 每次分析需要50個 credits,每日使用量會歸零。今天使用的次數,明天會重新計算。
- 若餘額不足,可再從 THREAT INTELLIGENCE > Sandbox Analysis > Submission Settings 進行配額調整。
- 要送件分析的目標主機,在操作這個動作時,必須開機並且正常和 Vision One 連線。
- 建立送件的畫面上方會顯示保留多少 credits 配置為每日分析的數量。
- 在 Vision One console > XDR THREAT INVESTIGATION > Workbench > 點選您要查看的 Workbench ID,在檔案圖示上,點擊滑鼠右鍵,在右鍵選單中選擇「Submit for Sandbox Analysis」
- 按下 Create 即可將檔案送至沙箱分析
- 送件之後,就可以到 THREAT INTELLIGENCE > Sandbox Analysis 查看,一旦 Status 狀態為 Done,代表分析完成。
- Risk level 欄位代表分析樣本是否具有威脅:
- No risk 代表這個檔案或是 URL 沒有威脅
- High / Medium / Low 分別代表 高、中、低 的威脅等級
- Not analyzed 代表這個檔案或是 URL 無法進行分析,游標停在 i 圖示上,即可知道無法分析的原因。
- 送件須知:
- 需要3-7個工作天不等
- 需要ZIP格式壓縮檔案,且密碼設定為 vius
- 上班時間撥打技術支援電話(02-2377-2323)語音選單請選 1
- 在 Vision One console > XDR THREAT INVESTIGATION > Workbench > 點選您要查看的 Workbench ID,在檔案圖示上,點擊滑鼠右鍵,在右鍵選單中選擇「Collect File」
- 按下 Create 即可收集該檔案
- 收集之後,切換到 WORKFLOW AND AUTOMATION > Response Management ,就可以看到剛才建立的收集檔案工作
- 只要該 Task ID 變成綠色打勾,就可依照上圖紅色游標標示位置點選,再點選 Download File
- 按下 Download 即可以下載檔案,解壓縮密碼則參照當下畫面顯示。後續就可以依照送件需求,提出樣本分析。
- 請洽詢業務,業務將調派資源前往協助。
- 在 Vision One console > XDR THREAT INVESTIGATION > Workbench > 點選您要查看的 Workbench ID,點選「View event」(如紅色箭頭標示位置)
- 在 processCmd 那一行的指令中點選滑鼠右鍵,在右鍵選單中點選「Add to Exceptions」
- 可在 Description 中輸入註記資訊,點選「Add」
- 完成後,該指令就會被加入例外清單,即可避免因為相同行為再度被偵測