Jak działa agent
Agent XenXDR działa jako usługa Windows lub jednostka systemd na Linuksie. Ma dwa zadania:
- zbieranie: wysyłanie telemetrii bezpieczeństwa hosta do wdrożenia po TLS;
- reagowanie: umożliwienie analitykowi pracy na hoście w czasie rzeczywistym: procesy, pliki, powłoka, izolacja sieciowa, kontrola aplikacji, szybki triage.
Agent instaluje się i aktualizuje bez restartu systemu, a z serwerem łączy się wyłącznie wychodząco. Każde polecenie analityka trafia na hosta przez uwierzytelnione, szyfrowane połączenie agenta, razem z tożsamością analityka.
Co zbiera
| Platforma | Źródła |
|---|---|
| Windows | Kanały dziennika zdarzeń Windows, w tym Security, System i PowerShell; Sysmon; detekcje Microsoft Defender Antivirus. |
| Linux | journald, uwierzytelnianie SSH i sudo, auditd. |
O tym, co zbiera każdy host, decyduje polityka floty organizacji. Zobacz Telemetria.
Co potrafi
| Funkcja | W skrócie |
|---|---|
| Procesy | Lista, zabicie, wstrzymanie, wznowienie. |
| Pliki | Przeglądanie, metadane, podgląd, skrót, pobranie. |
| Powłoka na żywo | Interaktywny terminal na hoście. |
| Izolacja sieciowa | Pięć trybów, automatyczne odnawianie, trwałość po restarcie. |
| Kontrola aplikacji | Blokowanie i odblokowywanie według nazwy obrazu lub skrótu pliku. |
| Szybki triage | Jednorazowy zrzut kluczowych informacji z hosta. |
| Dostępność narzędzi bezpieczeństwa | Zgłasza, gdy wymagane narzędzie przestaje działać. |
Każda funkcja ma własną stronę w tej sekcji.
Rozmiar i obciążenie
Agent dla Windows zajmuje około 12 MB, a agent dla Linuksa około 13 MB na dysku, przy niewielkim zużyciu pamięci. Opcjonalna aplikacja w obszarze powiadomień Windows to osobny plik wykonywalny (4 MB), który może jedynie odczytywać stan agenta.
Lokalizacje plików
| Windows | Linux | |
|---|---|---|
| Program | C:\Program Files\XenXDR | /opt/xenxdr |
| Konfiguracja | C:\ProgramData\XenXDR | /etc/xenxdr |
| Stan i bufor | C:\ProgramData\XenXDR | /var/lib/xenxdr |
| Nazwa usługi | XenXDRAgent | xenxdr-agent.service |
Tożsamość i zaufanie
Przy pierwszym połączeniu agent jednorazowo używa tokenu rejestracyjnego organizacji i otrzymuje własne poświadczenia. Od tej chwili uwierzytelnia się wyłącznie nimi, więc każdy agent we flocie ma własne. Identyfikator agenta nadaje XenXDR podczas rejestracji, dlatego maszyna po zmianie nazwy lub sklonowaniu nadal ma odrębną tożsamość.
Aktualizacje są podpisane przez FluenceSecurity, a przed instalacją agent sprawdza podpis kluczem zapisanym podczas instalacji. Zobacz Aktualizacje.