Bedrohungssuche-Handbuch

Die Funktion „Threat Hunting“ fungiert als Dashboard, das Administratoren ermöglicht, Anomalien in Geräteeinstellungen und -verhalten zu erkennen. Ihr Hauptziel besteht darin, Sicherheitsverletzungen proaktiv zu identifizieren, sodass Bedrohungen entdeckt werden, bevor sie potenziell schädliches Verhalten zeigen. Diese Funktion ist für alle Arbeitsbereiche verfügbar, die Enterprise Security +EDR verwenden.

Um den Prozess des Threat Hunting für unsere Nutzer zu vereinfachen, haben wir mehrere vordefinierte Abfragen eingefügt. Sie können jedoch weiterhin benutzerdefinierte Abfragen hinzufügen, um Ihren individuellen Anforderungen gerecht zu werden.

Häufige Abfragen und deren Einsatz
Eine häufige Abfrage ist eine vordefinierte Reihe von Anweisungen oder Kriterien, die verwendet wird, um Daten in einem System zu durchsuchen und zu analysieren. Sie hilft dabei, spezifische Informationen oder Muster aus einem Datensatz oder einer Datenbank zu identifizieren. Die Art der Abfrage kann je nach den spezifischen Zielen der Analyse variieren, z. B. Daten filtern, Systeminformationen prüfen oder einfach aussagekräftige Erkenntnisse aus dem Datensatz extrahieren.

Die Wahl der häufigen Abfragen hängt von den spezifischen Analysezielen, den Eigenschaften des Datensatzes und den Erkenntnissen ab, die Sie aus den Daten gewinnen möchten. Das Verständnis der Art Ihrer Daten und der Fragen, die Sie beantworten möchten, leitet die Auswahl geeigneter Abfragen für Ihre Analyse.

Abfragen bedarfsgerecht und asynchron ausführen
Live-Abfrage:
Live-Abfragen – oder bedarfsgerechte Abfragen – eignen sich, wenn aktuelle Daten sofort benötigt werden und für Aufgaben, die schnell ausgeführt werden können und Ergebnisse liefern.
Eine Abfrage bedarfsgerecht auszuführen ermöglicht die Echtzeitansicht der Ergebnisse direkt in Ihrem Dashboard. Dieses flexible Abfrage-Tool erlaubt es uns, alle ausgewählten Geräte zu untersuchen und die Ergebnisse sofort direkt darunter anzuzeigen.

Asynchrone Abfragen und Berichte:
Beim Ausführen asynchroner Abfragen arbeiten diese unabhängig vom Hauptprogrammfluss, und ihre Ausführung hängt nicht von der sofortigen Fertigstellung anderer Aufgaben ab. Dies ermöglicht es Administratoren, Berichte später zu prüfen, während sie gleichzeitig andere Berichte in Echtzeit bearbeiten.
Asynchrone Abfragen sind besonders vorteilhaft für Aufgaben, die länger dauern, was in Szenarien üblich ist, in denen die Benutzererfahrung nicht durch das Warten auf das Ergebnis beeinträchtigt wird. Sie sind ideal, wenn Aufgaben gleichzeitig ausgeführt werden können oder ein nicht blockierendes Verhalten erforderlich ist.

Die Snapshots stellen eine vollständige Kopie eines Berichts dar, anstatt ihn in der Live-Ergebnisansicht anzuzeigen. Sie sind im Berichte-Panel sichtbar.

Bitte beachten Sie, dass bestimmte Abfragen eine Weile dauern können, bis Ergebnisse zurückgegeben werden. Administratoren haben die Möglichkeit, auf die Schaltfläche „Abfrage abbrechen“ zu klicken, um die Ausführung zu stoppen.

Erstellen Sie einen neuen Bericht und beginnen Sie mit der Analyse mithilfe häufiger Abfragen.

1. Wählen Sie in Ihrer Emsisoft Management Console einen bestehenden Workspace aus, klicken Sie auf „Threat Hunting“ und dann auf „Neuen Bericht erstellen“.