Reaktionsmaßnahmen

Zur Sperrliste hinzufügen

Fügt unterstützte Objekte wie Secure Hash Algorithm 1 (SHA-1), Uniform Resource Locator (URL), Internetprotokoll (IP)-Adresse oder Domänenobjekte zur benutzerdefinierten Liste verdächtiger Objekte hinzu, die die Objekte bei nachfolgenden Erkennungen sperrt.

Das Hinzufügen eines Objekts zur benutzerdefinierten Liste verdächtiger Objekte beendet keine aktiven Prozesse oder Verbindungen zu dem Objekt. Um aktive Prozesse zu beenden, stellen Sie sicher, dass Sie auch die Beenden-Reaktion auslösen.

Weitere Informationen finden Sie unter Zur Sperrliste hinzufügen Aufgabe.

Datei sammeln

Komprimiert die vom Netzwerkgerät erkannte ausgewählte Datei und Trend Vision One in einem passwortgeschützten Archiv und sendet das Archiv dann an das Response Management.

Weitere Informationen finden Sie unter Datei-Sammelaufgabe.

Aus der Sperrliste entfernen

Entfernt das Date SHA-1, die URL, die IP-Adresse oder das Domain-Objekt, das über die Aktion "Zur Sperrliste hinzufügen" zur benutzerdefinierten Liste verdächtiger Objekte hinzugefügt wurde.

Weitere Informationen finden Sie unter Aus der Sperrliste entfernen Aufgabe.

Zur Sandbox Analysis einreichen

Sendet die ausgewählten Dateiobjekte zur automatisierten Analyse in einer Sandbox, einer sicheren virtuellen Umgebung.

Für weitere Informationen siehe Zur Sandbox Analysis-Aufgabe einreichen.

Isolationscontainer

Trennt den enthaltenen Pod von relevanten Netzwerken und verhindert den Datentransfer in und aus dem Pod. Das Verhindern des Datentransfers zu und von dem Pod begrenzt die Ausbreitung verdächtiger Prozesse innerhalb eines Containers, sodass der Benutzer die Ursachen untersuchen kann.

Weitere Informationen finden Sie unter Isolieren Container-Aufgabe.

Container fortsetzen

Setzt Container innerhalb eines zuvor isolierten Pods fort.

Weitere Informationen finden Sie unter Container-Aufgabe fortsetzen.

Container beenden

Stoppt verdächtiges Verhalten von Containern innerhalb eines Pods, indem der enthaltene Pod beendet wird.

Weitere Informationen finden Sie unter Container-Aufgabe beenden.

Nachricht löschen

Löscht die ausgewählte E-Mail-Nachricht aus den ausgewählten Postfächern.

Weitere Informationen finden Sie unter Nachricht löschen Aufgabe.

Nachricht in Quarantäne verschieben

Verschiebt die ausgewählte E-Mail-Nachricht in den Quarantäne-Ordner und ermöglicht es Ihnen, die Nachricht aus allen betroffenen Postfächern in Quarantäne zu stellen.

Weitere Informationen finden Sie unter Quarantäne-Nachrichtenaufgabe.

Nachricht wiederherstellen

Stellt die ausgewählte E-Mail-Nachricht aus der Quarantäne in die ausgewählten Postfächer wieder her.

Weitere Informationen finden Sie unter Wiederherstellungsnachricht-Aufgabe.

Beweise sammeln

Sammelt forensische Beweise von den angegebenen Endpunkten und lädt die Beweise zu Forensics hoch.

Weitere Informationen finden Sie unter Beweise sammeln Aufgabe.

Prozessspeicher abbilden

Greift direkt auf einen Endpunkt zu und führt Remote-Shell-Befehle aus, um aktuell laufende Prozesse zu identifizieren, die während einer Untersuchung verdächtige Aktivitäten verursachen könnten.

Verwenden Sie ein externes Dekomprimierungsprogramm, um den Dateiinhalte zu extrahieren.

Endpunkt isolieren

Trennt den Zielendpunkt vom Netzwerk, mit Ausnahme der Kommunikation mit dem verwaltenden Trend Micro Endpunktschutzprodukt.

Weitere Informationen finden Sie unter Endpunkt isolieren Aufgabe.

Verbindung wiederherstellen

Stellt die Netzwerkverbindung zu einem Endpunkt wieder her, der bereits die Aktion "Endpunkt isolieren" angewendet hat.

Weitere Informationen finden Sie unter Verbindung wiederherstellen Aufgabe.

Osquery ausführen

Führt SQL-Abfragen mit osquery (Version 5.7.0) aus, um Systemdaten der angegebenen Endpunkte zu erhalten.

Weitere Informationen finden Sie unter Osquery-Aufgabe ausführen.

Remote benutzerdefiniertes Skript ausführen

Verbindet sich mit einem überwachten Endpunkt und führt eine zuvor hochgeladene PowerShell- oder Bash-Skriptdatei aus.

Weitere Informationen finden Sie unter Remote benutzerdefinierte Skriptaufgabe ausführen.

YARA-Regeln ausführen

Führt benutzerdefinierte YARA-Regeln (Version 4.2.3) auf den angegebenen Endpunkten aus.

Weitere Informationen finden Sie unter YARA-Regeln-Aufgabe ausführen.

DURCHSUCHEN nach Malware

Führt einen einmaligen Scan auf einem oder mehreren Endpunkten nach dateibasierten Bedrohungen wie Viren, Spyware und Grayware durch.

Weitere Informationen finden Sie unter Aufgabe: Nach Malware DURCHSUCHEN.

Remote-Zugriffssitzung starten

Verbindet sich mit überwachten Endpunkten, um Befehle, benutzerdefinierte Skripte oder Speicherabbilder von Prozessen zur Untersuchung aus der Ferne auszuführen.

Remote-Shell-Sitzung starten

Verbindet sich mit einem überwachten Endpunkt und ermöglicht es Ihnen, Remote-Befehle oder eine benutzerdefinierte Skriptdatei zur Untersuchung auszuführen.

Weitere Informationen finden Sie unter Remote-Zugriffssitzungsaufgabe (ehemals Shell) starten.

Prozess beenden

Beendet den aktiven Prozess und ermöglicht es Ihnen, den Prozess auf allen betroffenen Endpunkten zu beenden.

Weitere Informationen finden Sie unter Prozess beenden Aufgabe.

Untersuchungspaket sammeln

Komprimiert das ausgewählte Untersuchungspaket, einschließlich OpenIOC-Dateien, die Indikatoren für Kompromittierungen auf dem betroffenen Host oder Netzwerk beschreiben, in einem passwortgeschützten Archiv und sendet das Archiv dann an das Response Management.

Netzwerkanalysepaket sammeln

Komprimiert das ausgewählte Netzwerk-Analysepaket, einschließlich eines Untersuchungspakets, einer Paketaufzeichnungsdatei (PCAP) und einer vom Netzwerkgerät erkannten Datei, in einem passwortgeschützten Archiv und sendet das Archiv dann an das Response Management.

Weitere Informationen finden Sie unter Netzwerkanalysepaket-Aufgabe sammeln.

PCAP-Datei sammeln

Komprimiert die ausgewählte Paketaufzeichnungsdatei in einem passwortgeschützten Archiv und sendet das Archiv dann an das Response Management.

Zur Zscaler-Gruppe für eingeschränkte Benutzer hinzufügen

Fügt Benutzerkonten mit hohem Risiko zur von Zscaler definierten eingeschränkten Benutzergruppe hinzu, um die Zscaler Policy enforcement zu ermöglichen.

Weitere Informationen finden Sie unter Zur Zscaler-Eingeschränkte-Benutzergruppe hinzufügen Aufgabe.

Benutzerkonto deaktivieren

Meldet den Benutzer von allen aktiven Anwendungs- und Browsersitzungen des Benutzerkontos ab. Diese Aufgabe kann einige Minuten dauern. Benutzern wird das Anmelden in einer neuen Sitzung untersagt.

Weitere Informationen finden Sie unter Benutzerkonto deaktivieren Aufgabe.

Benutzerkonto aktivieren

Ermöglicht dem Benutzer, sich bei neuen Anwendungs- und Browsersitzungen anzumelden. Diese Aufgabe kann einige Minuten dauern. Die nachfolgenden Anmeldeversuche und Zugriffsanfragen des Benutzers unterliegen der Kontrolle durch Secure Access Rules.

Weitere Informationen finden Sie unter Benutzerkonto-Aufgabe aktivieren.

Die Zurücksetzung des Kennworts erzwingen

Meldet den Benutzer von allen aktiven Anwendungs- und Browsersitzungen ab und zwingt den Benutzer, bei der nächsten Anmeldeversuch ein neues Passwort zu erstellen. Diese Aufgabe kann einige Minuten dauern.

Weitere Informationen finden Sie unter Aufgabe zur Erzwingung der Zurücksetzung des Kennworts.

Die Abmeldung erzwingen

Meldet den Benutzer von allen aktiven Anwendungs- und Browsersitzungen des Benutzerkontos ab. Diese Aufgabe kann einige Minuten dauern. Benutzer werden nicht daran gehindert, sich sofort wieder in den geschlossenen Sitzungen oder in neuen Sitzungen anzumelden.

Weitere Informationen finden Sie unter Die Abmeldung erzwingen Aufgabe.

Aus der Zscaler-Eingeschränkten-Benutzergruppe entfernen

Entfernt Benutzerkonten aus der von Zscaler definierten eingeschränkten Benutzergruppe.

Weitere Informationen finden Sie unter Aus Zscaler-Eingeschränkte-Benutzergruppe entfernen Aufgabe.

Zugriffsberechtigung widerrufen

Entzieht die Zugriffsberechtigung des Benutzers auf den Amazon Web Services (AWS) Identity and Access Management (IAM)-Dienst. Nach dem Entzug der Berechtigung kann der Benutzer nicht mehr auf AWS-Ressourcen zugreifen. Bitte einige Minuten warten, bis diese Aufgabe abgeschlossen ist.

Weitere Informationen finden Sie unter Zugriffsberechtigung widerrufen Aufgabe.