Auslöser McAfee ePOProfil manuell aus einem Security Incident

  • Freigeben Version: Yokohama
  • Aktualisiert 30. Januar 2025
  • 1 Minute Lesedauer

    • Löst ein Fähigkeitsprofil manuell aus Now Platform Security Incident Response( SIR) Security Incident.

    Vorbereitungen

    Erforderliche Rolle: sn_si.admin

    Hinweis:
    Die Option „Genehmigungen“ in Konfigurieren von Profilen für McAfee ePOIntegrationWird nur für die Funktionen „Host isolieren“ und „Host-Isolierung entfernen“ angezeigt.

    Warum und wann dieser Vorgang ausgeführt wird

    Sie können eine Anforderung zum Abrufen von Hostdetails, zum Isolieren des Hostcomputers oder zum Entfernen der Isolierung eines Computers automatisch aufrufen, wenn die auslösenden Bedingungen, die Sie im Profil angeben, den Bedingungen für Security Incidents entsprechen. Wenn Sie eine Anforderung alternativ manuell übermitteln möchten, senden Sie die Anforderung direkt aus einem Security Incident.

    Sobald Sie das Profil basierend auf den konfigurierten Auslöserbedingungen aktiviert haben, können Sie die Abfrageergebnisse in anzeigen Now PlatformSecurity Incidents. McAfee ePOMit Integrationen können Sie auch einzelne Fähigkeiten für Konfigurationselemente (Konfigurationselemente, CIs) ausführen, ohne ein Profil zu verwenden.

    Prozedur

    1. Navigieren zu Alle > Security Incidents > Alle Incidents anzeigenan.
    2. Wählen Sie den Security Incident aus, den Sie mit überprüfen möchten McAfee ePOInformationen.
    3. Wählen Sie im Abschnitt zugehörige Listen die Option aus EDR-Profil(e) ausführen .
      Abbildung : 1. McAfee – EDR-Profil ausführen
      Löst ein Profil manuell aus einem Security Incident aus
    4. Durchsuchen und wählen Sie ein Profil aus der Liste der verfügbaren Profile aus.
      Die Liste der verfügbaren Profile ist „Hostdetails abrufen“, „Hostcomputer isolieren“ und „Isolierung entfernen“. Wählen Sie beispielsweise Hostdetails abrufen aus.
    5. Wählen Sie Aus Schließen Sie das zugehörige CI ein Zum Ausführen dieses Profils für alle zugehörigen CIs des Profils.
      Wenn dem Security Incident beispielsweise fünf CIs zugeordnet sind, wird das ausgewählte Profil für alle fünf CIs ausgeführt.
    6. Klicken Sie auf Absenden.
      Das ausgewählte Profil wird manuell ausgelöst. Sie können den Abschnitt „Arbeitsnotizen und Aktivitäten“ sowie die Tags „Profil initiiert“ und „Profil abgeschlossen“ im Abschnitt „Arbeitsnotizen“ überprüfen.
      Abbildung : 2. Arbeitsnotizen für Automatisierungsaktivität
      Protokollierung von Arbeitsnotizen, wenn Fähigkeitsaufgaben initiiert und erfolgreich abgeschlossen werden
      Die Ergebnisse werden in Form von zugehörigen Listen angezeigt, z. B. Hostdetails abrufen, Hostcomputer isolieren oder Isolierung entfernen.
      Hinweis:
      Alle zugehörigen Listentabellen erweitern die Basistabellen. In diesem Beispiel sind die McAfee-EPO-Systemdetails eine erweiterte Tabelle der Basistabelle „Hostdetails“.
      Abbildung : 3. Zugehörige McAfee-Listen
      Überprüfen Sie die zugehörige Liste auf zusätzliche Details.
    7. Führen Sie die folgenden Schritte aus, um einzelne Fähigkeiten für ein Konfigurationselement (CI) auszuführen:
      1. Wählen Sie in der zugehörigen Liste Konfigurationselemente das erforderliche CI aus.
      2. Klicken Sie auf Aktionen für ausgewählte Zeilen... Dropdown-Liste, und wählen Sie die erforderliche Fähigkeit aus, die Sie für das ausgewählte CI ausführen möchten.
        Beispiel: Host isolieren.
      3. Klicken Sie Auf Host Isolieren Zum Ausführen für das ausgewählte CI.
        Das ausgewählte CI wird vom Netzwerk isoliert.