Casi di utilizzo: Sophos EDR e XDR
Disponibili con Intercept X Advanced with XDR, Intercept X Advanced withEDR, Intercept X Advanced for Server with XDR e Intercept X Advanced forServer with EDR
Ora è possibile trovare risposta alle domande critiche sulle IT operation e sul threat hunting, con la possibilità di intervenire
quando richiesto. Le potenti funzionalità di queste soluzioni sono progettate per essere utilizzate sia dagli amministratori IT che
dagli analisti di cybersecurity.
Gestione operativa dei sistemi di IT security e delle attività di threat hunting
Ì Scelta tra query SQL precompilate e completamente personalizzabili
Ì Possibilità di intraprendere rapidamente un'azione adeguata, non appena sono state raccolte tutte le informazioni richieste
Ì Include endpoint, server, firewall, e-mail, host di servizi cloud e molto di piùCasi di utilizzo per le IT operation
I casi di utilizzo per le IT operation aiutano a garantire le condizioni ottimali per salvaguardare l’integrità delle stesse. Quelli che seguono sono
alcuni esempi di casi di utilizzo:Controlli sullo stato di integrità del dispositivo

Errori di configurazione

Identificazione dei dispositivi che mostrano problemi di performance, con lapossibilità di accedervi da remoto per intraprendere l’azione più adeguata.

Identificazione dei dispositivi e dei workload nel cloud che presentano problemi
di configurazione e che potrebbero esporre i sistemi a rischi di sicurezza.

Ì Individuazione dei dispositivi con spazio limitato su disco,utilizzo elevato di memoria/CPU o in attesa di riavvio

ÌIndividuazione dei server su cui sono abilitati RDP e SSH, nonché dei security group nel
cloud le cui porte di rete sono state lasciate aperte; inoltre, sono disponibili opzioni dimonitoraggio e inventario degli host, dei container e di altri elementi nel cloud pubblicoÌ

Accesso da remoto ai server, disattivazione di RDP/SSH e verifica

Ì Accesso da remoto ai dispositivi per liberare spazio su disco, indagare sulle potenziali
cause di un utilizzo elevato delle risorse e riavviare il sistema se necessario

Vulnerabilità

Identificazione dei dispositivi che presentano problemi ovulnerabilità che possono essere sfruttate da malware o hacker.
ÌIndividuazione dei dispositivi con software che presentano vulnerabilità, servizi
sconosciuti in esecuzione o estensioni del browser non autorizzate; inoltre è possibile
rilevare le credenziali degli account che sono state condivise o prelevate illecitamenteÌAccesso da remoto ai dispositivi per installare patch, condurre indagini,interrompere i servizi sconosciuti, disinstallare le estensioni del browser
indesiderate e aggiornare le credenziali degli account cloud

Software indesiderato
Individuazione proattiva della presenza di software che potrebbe
causare problemi di conformità o di produttività.
ÌIdentificazione dei programmi indesiderati, ad esempio Spotify, Steam e BitTorrentÌAccesso da remoto ai dispositivi e disinstallazione dei software indesideratidella presenza di server in ascolto sulle porte aperte

Compliance
Identificazione e risoluzione dei problemi di conformità,
sia per i sistemi on-premise che nel cloud.
ÌIndividuazione dei file contenenti dati di natura sensibile e valutazionedelle configurazioni degli ambienti AWS, Azure e GCPÌAccesso ai dispositivi da remoto per eliminare i file di natura sensibile e per verificare
la sicurezza delle configurazioni del cloud rispetto agli standard CIS Benchmarks

Implementazione di progetti
Verifica dell’implementazione dei progetti IT, per assicurarsi
che siano stati distribuiti su tutti i dispositivi.
ÌVisualizzazione dello stato di installazione dei software sui
dispositivi, per valutare l’avanzamento dell’installazioneÌAccesso da remoto ai dispositivi per garantire il completamento dell’installazione
e il riavvio (se richiesto), al fine di applicare tutte le modifiche necessarie

Problemi della rete negli uffici (è richiesto XDR)Visualizzazione e correzione dei problemi di rete in tutti gli uffici.

Preparazione per affrontare circostanze
imprevedibili (è richiesto XDR)ÌIndividuazione dei motivi alla base dei problemi cherallentano la performance della rete di un ufficio

Con 30 giorni di archiviazione nel cloud, anche lecircostanze imprevedibili non saranno un problema.

ÌIdentificazione dell’applicazione che causa il problema

ÌPossibilità di indagare sugli ultimi 30 giorni di attività di undispositivo smarrito, per identificare gli eventi anomali

Ì

Visualizzazione degli eventi del dispositivo, anche seè stato formattato o reso inutilizzabile

Gestione dei dispositivi (è richiesto XDR)
Individuazione e identificazione dei dispositivi connessi
all’ambiente IT dell’organizzazione.

ÌVisualizzazione di dispositivi non gestiti e non protetti, ades. laptop, telefoni cellulari e appliance IoTÌCapacità aggiuntive di supervisione per i dispositivi obsoleti o nongestibili, come ad es. apparecchiature mediche specializzate

Casi di utilizzo per il threat hunting
Individuazione proattiva ed eliminazione delle minacce più velate ed elusive. Quelli che seguono sono solo alcuni dei casi di utilizzo possibili:
Attacchi alla rete

Processi camuffati

Identificazione dei processi che effettuano tentativi diaccesso alla rete dalle caratteristiche insolite.

Alcuni processi dannosi sono in grado dicamuffarsi per eludere il rilevamento.

ÌIndividuazione dei processi che effettuano tentativi di connessione su porte nonstandard o del traffico in uscita insolito, proveniente da un workload nel cloudÌIndividuazione dei processi camuffatiÌÌAccesso da remoto ai dispositivi, per interrompere i processi

Analisi dei security group nel cloud, per identificare le risorse esposte all’Internet pubblicoÌ

Accesso dispositivi o workload da remoto, interruzione delprocesso e verifica della presenza di movimenti lateralisospetti ed eseguire strumenti di analisi approfondita

Framework MITRE ATT&CK

File modificati

Il framework MITRE ATT&CK è un modello comunemente
utilizzato per identificare le tecniche di attacco.

Individuazione degli elementi che sono stati modificati in maniera inattesa.

ÌÌ

Identificazione dei processi che hanno recentemente modificato file o chiavi di registroÌ

Accesso da remoto al dispositivo, con possibilità di analizzare

le tattiche e le tecniche di attacco utilizzate dagli hacker

Ìle modifiche e intraprendere azioni adeguateScript offuscati
Gli attacchi a livello di memoria e indipendenti dai filesono un vettore di attacco molto comune.

Utilizzo di query personalizzate o compilate da Sophos per identificare
Possibilità di focalizzare le indagini in base alla tecnica identificata, perindagare ulteriormente su potenziali tipi o ambiti di attacco specifici

Impatto degli incidenti
Comprensione dell’impatto degli incidenti, con indicazioni
sui dispositivi e sugli utenti che sono stati colpiti.

ÌAnalisi approfondita dei dettagli delle esecuzioni inattese di PowerShellÌ

Ì

Identificazione dei dispositivi nei quali è stato aperto un link di phishing

Accesso da remoto al dispositivo, per eseguire ulteriori strumenti

Ì

Visualizzazione dei dispositivi che hanno caricato file da un sito di phishing, conpossibilità di accedere da remoto a tali dispositivi per eseguire una disinfezione

di analisi approfondita e interrompere i processi sospetti

Periodi di indagine estesi (è richiesto XDR)
30 giorni di archiviazione dei dati nel cloud, più 90 giorni sui dispositivi.

Ì

Possibilità di svolgere indagini sui dati degli ultimi 30 giorni,senza che il dispositivo debba essere on-line

Ì

Visualizzazione degli eventi dei dispositivi che sono
stati resi inutilizzabili durante un attacco

Utilizzo di dati di rete (è richiesto XDR)
Integrazione dei dati di rete nelle attività di indagine e threat hunting.

ÌVerifica incrociata del traffico dannoso bloccato, con il confronto con altri
indicatori di compromissione per capire il contesto degli attacchi estesi

Ì

Utilizzo dei rilevamenti ATP e IPS del firewall per svolgere
indagini sugli host e sui dispositivi sospetti

Utilizzo di dati della posta elettronica esaurienti (è richiesto XDR)
Integrazione dei dati della posta elettronica per ulteriori
approfondimenti sul proprio ambiente informatico.

ÌConfronto tra le informazioni presenti nell’intestazione dell’e-mail e altri
indicatori di compromissione, per comprendere meglio gli incidentiÌ

Identificazione e rimozione rapida dei file sospetti dai
dispositivi e dalle cassette postali di O365

Per maggiori informazioni su Sophos XDR, EDR e sulle potenti capacità diprotezione disponibili in Intercept X, visitate: Sophos.it.

© Copyright 2021. Sophos Ltd. Tutti i diritti riservati.
Registrata in Inghilterra e Galles con Nº 2096520, The Pentagon, Abingdon Science Park, Abingdon, OX14 3YP, Regno Unito
Sophos è un marchio registrato da Sophos Ltd. Tutti gli altri nomi di società e prodotti qui menzionati sono marchi o marchi
registrati dei rispettivi titolari.

26/03/21 UC-IT (MP)