檢視次數:
  • 查看詳細資訊
在 Vision One console > XDR THREAT INVESTIGATION > Workbench > 點選您要查看的 Workbench ID,即可看到類似下圖的畫面:06071730未命名4.png
點選上圖左下角紅框中的圖示(依照不同事件產生),可以看到更近一步的網路或程序資訊:
  • Network Analytics Report06071730未命名5.png
  • Execution Profile06071730未命名6.png
  • 緊急處置
    • 主機隔離
      • 在主機圖示上點選滑鼠右鍵,在右鍵選單中選擇「Isolate Endpoint」06071740未命名4.png
      • 可在 Description 中輸入註記資訊,點選「Create」06071740未命名6.png
      • 完成後,該主機就沒有網路通訊,僅剩與 Vision One 的通訊(解除隔離使用)06071740未命名7.png
    • 加入阻擋清單
      • 在檔案圖示上點選滑鼠右鍵,在右鍵選單中選擇「Add to Block List」06071740未命名8.png
      • 可在 Description 中輸入註記資訊,點選「Create」06071740未命名9.png
      • 完成後,該檔案就會被加入阻擋清單,即可避免所有主機的相同檔案被執行06071740未命名10.png
沙箱分析
  • 執行此動作有兩個要件,否則 Create 按鈕會呈現灰色,無法點選:
    • 建立送件的畫面上方會顯示保留多少 credits 配置為每日分析的數量。
      • 每次分析需要50個 credits,每日使用量會歸零。今天使用的次數,明天會重新計算。
      • 若餘額不足,可再從 THREAT INTELLIGENCE > Sandbox Analysis > Submission Settings 進行配額調整。
    • 要送件分析的目標主機,在操作這個動作時,必須開機並且正常和 Vision One 連線。
  • 在 Vision One console > XDR THREAT INVESTIGATION > Workbench > 點選您要查看的 Workbench ID,在檔案圖示上,點擊滑鼠右鍵,在右鍵選單中選擇「Submit for Sandbox Analysis」
image.png
  • 按下 Create 即可將檔案送至沙箱分析
image.png
  • 送件之後,就可以到 THREAT INTELLIGENCE > Sandbox Analysis 查看,一旦 Status 狀態為 Done,代表分析完成。​​​​​​
image.png
  • Risk level 欄位代表分析樣本是否具有威脅:
    • No risk 代表這個檔案或是 URL 沒有威脅
    • High / Medium / Low 分別代表 高、中、低 的威脅等級
    • Not analyzed 代表這個檔案或是 URL 無法進行分析,游標停在 i 圖示上,即可知道無法分析的原因。
提供趨勢分析
  • 送件須知:
    • 需要3-7個工作天不等
    • 需要ZIP格式壓縮檔案,且密碼設定為 vius
    • 上班時間撥打技術支援電話(02-2377-2323)語音選單請選 1
  • 在 Vision One console > XDR THREAT INVESTIGATION > Workbench > 點選您要查看的 Workbench ID,在檔案圖示上,點擊滑鼠右鍵,在右鍵選單中選擇「Collect File」
image.png
  • 按下 Create 即可收集該檔案
image.png
  • 收集之後,切換到 WORKFLOW AND AUTOMATION > Response Management ,就可以看到剛才建立的收集檔案工作
image.png
  • 只要該 Task ID 變成綠色打勾,就可依照上圖紅色游標標示位置點選,再點選 Download File
image.png
  • 按下 Download 即可以下載檔案,解壓縮密碼則參照當下畫面顯示。後續就可以依照送件需求,提出樣本分析。
image.png
  • 請洽詢業務,業務將調派資源前往協助。
  • 在 Vision One console > XDR THREAT INVESTIGATION > Workbench > 點選您要查看的 Workbench ID,點選「View event」(如紅色箭頭標示位置)06071822未命名4.png
  • 在 processCmd 那一行的指令中點選滑鼠右鍵,在右鍵選單中點選「Add to Exceptions」06071822未命名5.png
  • 可在 Description 中輸入註記資訊,點選「Add」06071822未命名6.png
  • 完成後,該指令就會被加入例外清單,即可避免因為相同行為再度被偵測06071822未命名7.png