Il monitoraggio delle attività sospette tramite EDR fornisce un’analisi preventiva di una minaccia potenzialmente dannosa sugli endpoint gestiti del tuo sito. Un’attività sospetta è un comportamento anomalo osservato e analizzato utilizzando le tattiche e le tecniche del MITRE. La gravità delle attività sospette viene determinata automaticamente in base agli elementi di sicurezza interessati dell’endpoint.

Il workflow delle attività sospette include i seguenti passaggi:

1. L’attività sospetta viene rilevata e classificata automaticamente per gravità e riepilogata per la revisione.
   
2. Risposta e azione intrapresa sulla minaccia rilevata.

Nella schermata Suspicious Activity, fare clic sul percorso rilevato nella colonna Location. Questa schermata mostra un’analisi dell’attività sospetta per aiutare a capire cosa sta facendo il file o il processo e quali azioni intraprendere.

Rules Triggered

Il riquadro Rules Triggered mostra un elenco di file e processi sospetti rilevati da ThreatDown by Malwarebytes. Fare clic sul pulsante Show Summary per espandere i dettagli. Qui puoi vedere tutte le regole di rilevamento attivate dall’attività sospetta e la loro mappatura in MITRE ATT&CK. Fare clic su MITRE ATT&CK Framework per ulteriori informazioni.

MITRE Tactics Mapping classifica i rilevamenti di attività sospette in base ai comportamenti del file o del processo. Vengono fornite regole di rilevamento colorate per mostrare quali regole hanno attivato il rilevamento di attività sospette.

Le regole di rilevamento sono codificate a colori in base alla gravità:

1. Rosso: gravità alta
   
2. Arancione: gravità media
   
3. Giallo: gravità bassa
   

Fare clic su una regola attivata per visualizzare il contesto del rilevamento, una descrizione, le tattiche di minaccia e le tecniche rilevate durante l’analisi. Utilizzare questa opzione per visualizzare le chiavi hash e le informazioni sui processi ai fini dell’esclusione.

Process Graph

Il riquadro Process Graph nella schermata Suspicious Activity Details mostra una rappresentazione visiva dei nodi che indicano le relazioni tra i file oi processi interessati da un’attività sospetta.

Il grafico del processo è utile per determinare se le attività sospette sono legittime o un possibile falso positivo. Per indagare su un’attività sospetta, esaminare i nodi rilevati e analizzare le regole attivate, la gravità, le tattiche e le tecniche utilizzate.

Il grafico sottostante rappresenta un rilevamento legittimo.

1. La quantità di file e processi collegati alla rilevazione iniziale dell’attività sospetta.
   
2. La quantità di regole attivate in ciascun nodo.
   
3. La gravità delle regole attivate.

Fare clic sui nodi che hanno attivato una regola di rilevamento per visualizzare il pannello Details. Utilizzare questo pannello per analizzare i singoli file nel grafico del processo, analizzando i seguenti componenti chiave:

1. MD5 hash
   
2. Activities
   
3. Sandbox Analysis

Icone dei nodi

All’interno di ogni processo sono presenti due righe che riassumono ogni attività. Passare il mouse su un’icona nel nodo per una descrizione.
La riga superiore delle icone indica il tipo di nodo, la gravità, il numero di regole attivate e i risultati dell’analisi sandbox.

1. Mostra se il nodo è un processo.
   

1. Mostra se il nodo è un documento come un documento Office o PDF.
   

1. Le regole attivate sono colorate in base alla gravità. Il numero al centro rappresenta il conteggio di tutte le regole attivate. La gravità è una combinazione del tipo di azioni, del numero di azioni e dell’impatto sulla posizione di sicurezza dell’endpoint.
   
1. Rosso: indica un’elevata gravità
   
2. Arancione: indica una gravità media
   
3. Giallo: indica una gravità bassa.
   

1. Risultati dell’analisi sandbox. I colori delle icone rappresentano:
   
1. Verde: Il campione è stato analizzato automaticamente e i risultati lo hanno segnalato come pulito. Fare clic sull’icona per visualizzare il rapporto di analisi.
   
2. Rosso: Il campione è stato analizzato automaticamente e i risultati lo hanno segnalato come dannoso. Fare clic sull’icona per visualizzare il rapporto di analisi.
   
3. Grigio: Il campione non è stato caricato automaticamente per l’analisi. Fare clic sull’icona per creare un’attività di caricamento del file per visualizzare il rapporto di analisi.

La riga inferiore di icone identifica il tipo di attività che si sono svolte per il nodo. Le icone in grigio indicano che non si è verificata alcuna attività di quel tipo.

1. Mostra se il processo ha eseguito attività di rete in uscita.
   

1. Mostra se il processo ha eseguito attività del file system.
   

1. Mostra se il processo ha eseguito attività di registro.
   

1. Mostra se le attività sono state rilevate tramite l’interfaccia di scansione Windows Antimalware Scan Interface (AMSI), che include il controllo dell’account utente (UAC), l’elevazione della sicurezza e le attività di scripting.
   

1. Mostra se il processo ha eseguito attività Windows sospette, ad esempio chiamando funzioni privilegiate di Windows Management Instrumentation (WMI). Questo viene determinato se c’è l’esecuzione di codice all’interno del processo.
   

Dettagli del nodo

Fare clic sul nodo per visualizzare ulteriori dettagli.

1. Cerca in Flight Recorder Search.
   

1. Risultati dell’analisi sandbox. Fare clic per creare un’attività di caricamento file o visualizzare il report dell’analisi.
   

1. Controlla il campione in VirusTotal.
   

I dettagli del nodo mostrano le seguenti informazioni:

Activities

Alcuni nodi contengono attività non elaborate eseguite dal file o dal processo. Accanto all’attività, c’è un numero associato al valore File Write, File Read o Reg Set. Fare clic su questo numero per visualizzare un elenco completo delle attività non elaborate eseguite dal file o dal processo.

Le attività Raw possono essere:

1. Antimalware scan: quando attività script sono state rilevate da Microsoft AMSI.
   
2. File Writes: quando il file o il processo ha tentato di scrivere nel file system, inclusa la ridenominazione di file comuni durante un attacco ransomware.
   
3. Net Connect Outbound: quando l’endpoint ha avviato la comunicazione di rete in uscita con un altro host o dispositivo.
   
4. Read files: quando il file o il processo tenta di leggere altri file all’interno del file system.
   
5. Rename files: quando un file o un processo rinomina i file.
   
6. Reg Set Values: quando il file o il processo tenta di apportare modifiche al registro di Windows.

Gestione delle Suspicious Activities in OneView

Il monitoraggio delle attività sospette è una funzione di ThreatDown Endpoint Detection and Response (EDR). Osserva i comportamenti di processi, registro, file system e attività di rete sull’endpoint utilizzando un algoritmo euristico alla ricerca di deviazioni.

Visualizzare e ordinare le attività sospette

L’area principale della pagina Suspicious Activity mostra l’elenco di tutte le informazioni sulle minacce sospette come il sito, la posizione, la gravità e lo stato. E’ possibile filtrare e personalizzare i risultati nei seguenti modi:

1. Fare clic su Add/Remove Columns sopra l’elenco dei risultati per scegliere quali informazioni visualizzare sulle attività sospette.
   
2. Trascinare e rilasciare le  intestazioni delle colonne sulla barra dei risultati per raggruppare i dati in base a tali parametri.
   
3. Nell’angolo in alto a destra della pagina, fare clic su Reset Filters per tornare alle impostazioni predefinite del filtro.
   
4. Passare il cursore sopra l’intestazione di una colonna per visualizzare un’icona a forma di hamburger  con opzioni per bloccare e ridimensionare le colonne.

Eseguire azioni

L’esecuzione di azioni su eventi di attività sospette in OneView consente di gestire più siti monitorando le minacce da un’unica console. Per eseguire azioni su eventi di attività sospette, andare alla pagina Suspicious Activity in OneView. 

Nella  colonna Location , fare clic su un elemento rilevato per visualizzare lo stato e altre informazioni. Queste informazioni includono percorsi di file rilevati, regole attivate e un layout mappato di MITRE Tactics. 

Per eseguire azioni in blocco su più endpoint da siti diversi, selezionare più incidenti con lo stesso Status. 

In alto a destra, fare clic sul pulsante Actions e scegliere tra le seguenti azioni: