Tryby
Izolację włączasz na stronie hosta w Response (graf zdarzeń alertu prowadzi tam bezpośrednio) albo w playbooku. Do wyboru jest pięć trybów:
| Tryb | Co pozostaje otwarte |
|---|---|
| Full | Tylko połączenie z XenXDR. Tryb domyślny. |
| Gateway and DNS | XenXDR oraz serwery DNS hosta, więc rozwiązywanie nazw działa dalej. Słabszy niż Full, bo przez DNS można przesyłać dane. |
| Allowlist | XenXDR oraz wskazane adresy i porty, na przykład kontroler domeny albo jump host. Tylko adresy i zakresy CIDR, bez nazw hostów. |
| Egress | Sieć wewnętrzna pozostaje dostępna, internet jest zablokowany. Na wypadek podejrzenia wycieku danych z maszyny, która musi dalej działać. |
| Process | Od sieci odcięte są tylko wskazane pliki wykonywalne. Tylko Windows. |
Każda izolacja wymaga podania powodu, który trafia do dziennika audytu.
Czas trwania
Przy włączaniu izolacji wybierasz, jak długo ma trwać: do wyłączenia albo przez 1, 8, 24 lub 72 godziny. Dostępna jest też opcja Never expire, ale host odizolowany w ten sposób wymaga ręcznego przywrócenia, jeśli straci połączenie z XenXDR.
Trwałość izolacji
- Włączenie izolacji zrywa także już nawiązane połączenia.
- Izolacja utrzymuje się po restarcie: agent przywraca ją, zanim system uruchomi sieć.
- Agent sprawdza izolację co 15 sekund. Jeśli ktoś lub coś ją zmieni, agent ją przywraca i generuje zdarzenie
containment.tampered. Traktuj to zdarzenie jako sygnał do eskalacji. - Polityka firewalla sprzed izolacji jest zapisywana i przywracana po jej wyłączeniu.
- Jeśli host straci kontakt z XenXDR, izolacja trwa przez 24 godziny, potem przechodzi w tryb Gateway and DNS, a po 72 godzinach bez kontaktu zostaje wyłączona. Host nigdy nie zostaje odcięty na stałe.
Wyłączanie izolacji
Izolację wyłączysz na stronie hosta w Response albo akcją zwolnienia hosta w playbooku. Wyłączenie przywraca poprzedni stan firewalla i zapisuje, kto i dlaczego to zrobił.
Dobre praktyki
- Jeśli oprogramowanie ochronne stacji również zarządza firewallem hosta, ustal, które narzędzie przejmuje nad nim kontrolę na czas incydentu.
- Przetestuj tryb Allowlist z narzędziami do zarządzania, zanim będzie potrzebny w prawdziwym incydencie.
- Powiedz użytkownikom, co oznacza dla nich izolacja. Zobacz komunikat o izolacji w Settings › Organizations.