本文讨论了如何在一个XOps事件中减轻威胁。
XOps 故事通常涉及从特定用户或目标（如 IP 地址或 FQDN）发起的可疑活动。 例如，一个故事可能指示某个用户的远程会话被入侵，或者设备正在与一个可疑的网络钓鱼域通信。 故事概览页在故事工作台中让您可以通过以下方式有效缓解这两种威胁：
-
撤销用户会话：您可以直接从故事中撤销用户会话。 这将用户注销并提示其通过客户端登录界面重新进行身份验证，确保只有合法用户才能重新获得访问权限。 如果用户在缓解时未连接，其身份验证令牌将被撤销，重新连接时需要重新进行身份验证。
-
将目标添加到阻止列表：您可以将可疑目标添加到您可以纳入阻止列表策略的容器中。 这确保任何连接到 Cato 的用户都无法访问该目标。
容器是用户定义的类别，帮助您管理项目群组，例如IP地址或完全限定域名(FQDN)。 一旦创建容器，它就可以添加到带有阻止操作的防火墙规则中。 只有当容器包含在防火墙规则中时，可疑目标才会被阻止。 当您从 XOps 故事中缓解威胁时，可以将目标添加到现有容器或创建新容器。 用户仍可以访问未包含在防火墙规则中的容器中的目标。
示例公司的分析师在概览页面中调查一个 XOps 故事，发现有用户正在向文件共享应用上传大量数据。 他们不确定上传活动是否是正当的。 分析师进一步注意到，此次上传活动使用的用户代理对于该用户来说是异常的，表明可能存在对手窃取凭证的情况。 因此，他们决定撤销用户会话以强制设备重新进行身份验证。 分析师可以在确认只有合法认证用户连接到网络后继续进行调查。
在故事概览页面中，从 操作 菜单中缓解威胁。
主页 > 检测和响应策略页面上的操作中心选项卡让您可以审查您的账户中进行的XOps缓解操作。
操作中心显示每个缓解操作的以下信息：
-
时间 - 缓解操作发送的时间戳
-
操作 - 缓解操作的描述
-
主题 - 用户执行该操作
-
状态 - 操作的状态。 对于将目标添加到阻止列表操作，这些是状态值：
-
成功 - 撤销会话的请求已发送到 Cato 用户服务
-
失败 - 撤销会话请求时出现问题
-
-
作者 - 执行该操作的管理员
-
触发器 - 发送操作的故事的故事ID。 点击以打开故事的概览页面
-
备注 - 管理员输入的可选备注
0 条评论
文章评论已关闭。