Cas d’usages Sophos EDR et XDRDisponible avec Intercept X Advanced with XDR, Intercept X Advanced with EDR,Intercept X Advanced for Server with XDR et Intercept X Advanced for Server with EDR
Obtenez les réponses à vos questions critiques relatives aux opérations informatiques et à la traque des menaces, et prenez
les mesures nécessaires. Tant les administrateurs informatiques que les analystes de la cybersécurité peuvent tirer parti decette puissante fonctionnalité.
Réalisez des opérations de sécurité informatique et de traque des menaces
Ì Choisissez parmi des requêtes SQL pré-écrites entièrement personnalisables
Ì Prenez rapidement des mesures dès que vous avez les informations dont vous avez besoin
Ì Couvre les systèmes endpoint, les serveurs, les pare-feux, la messagerie, les hébergements Cloud, etc.

Cas d’usages pour les opérations IT
Les cas d’usages pour les opérations IT maintiennent vos opérations informatiques au plus haut niveau. Voici quelques exemples :Contrôle de l’intégrité de l’appareil

Oublis dans la configuration

Identifiez les appareils qui ont des problèmes de performance, puis accédez-y à
distance pour prendre les mesures nécessaires.

Trouvez les appareils et les ressources Cloud mal configurés présentant desrisques de sécurité.

Ì Trouver les appareils qui ont un faible espace disque, une forte utilisation de la mémoire/ÌCPU ou qui sont en attente de redémarrage.
Ì Accéder à distance aux appareils pour libérer de l’espace disque, analyser les causes decette forte utilisation et redémarrer selon les besoins.

Vulnérabilités
Détectez les appareils qui ont des problèmes ou des vulnérabilités pouvant êtreexploitées par des malwares ou des attaquants.
ÌIdentifier les serveurs avec des protocoles RDP et SSH activés, les groupes de sécurité
Cloud avec des ports réseau restés ouverts, et surveiller et inventorier les hébergements
de Cloud public, les conteneurs, etc.

Ì Accéder à distance aux serveurs, désactiver les protocoles RDP/SSH et vérifier laprésence de serveurs surveillant les ports ouverts.

Conformité
Identifiez et corrigez les problèmes de conformité en local et dans le Cloud.

Localiser les appareils avec des failles logicielles, des services inconnus en coursd’exécution ou des extensions de navigateur non autorisées, et détecter les identifiants deÌ

Trouver des fichiers sensibles et évaluer les configurations pour les environnements
AWS, Azure et GCP.

comptes partagés ou volés.

ÌAccéder à distance aux appareils pour supprimer les fichiers sensibles, garantir laconformité aux critères CIS des configurations de sécurité Cloud.

Ì Accéder à distance aux appareils pour installer des correctifs, analyser et arrêter lesservices inconnus, désinstaller les extensions de navigateur et modifier les identifiants decomptes Cloud.

Logiciels indésirables
Identifiez les logiciels qui posent des problèmes de conformité ou de productivité.
ÌTrouver des programmes indésirables comme Spotify, Steam et BitTorrent.

ÌAccéder à distance aux ordinateurs et désinstaller les logiciels.

Déploiement de projets
Vérifiez si vos projets IT ont bien été déployés sur l’ensemble des postes.
ÌVérifier si un logiciel particulier a bien été déployé sur l’ensemble des postes et mesurer
la progression tout au long du déploiement.

ÌAccéder à distance aux appareils pour s’assurer que le déploiement a réussi et lesredémarrer si besoin pour effectuer les changements nécessaires.

Problèmes de réseau au bureau (requiert XDR)

Attendre l’inattendu (requiert XDR)

Consultez et corrigez les problèmes de réseau sur l’ensemble de vos sites.

Avec 30 jours de stockage dans le Cloud, ne vous laissez pas surprendre par desévénements inattendus.

ÌComprendre pourquoi un bureau a des problèmes de réseau qui ralentissent lesperformances.

ÌIdentifier l’application à l’origine du problème

Ì

Revenir 30 jours en arrière pour détecter toute activité inhabituelle sur un appareil disparu

Ì

Découvrir ce qu’il est advenu d’un appareil, même s’il a été réinitialisé ou détruit.

Gestion des appareils (requiert XDR)
Identifiez les appareils dans l’environnement informatique de votre organisation.

ÌVoir les appareils non gérés et non protégés tels que les ordinateurs portables, les mobiles et
les appareils connectés (IoT).

ÌObtenir une surveillance supplémentaire des anciens appareils ou des appareils impossibles
à gérer, tels que les équipements médicaux spécialisés.

Cas d’usages pour la traque des menaces
Débusquez les menaces évasives et subtiles, et nettoyez-les rapidement. Voici quelques exemples de cas d’usages :Attaques du réseau

Processus déguisés

Identifiez les processus qui tentent d’accéder au réseau de manière inhabituelle.

Certains processus malveillants se déguisent pour éviter d’être détectés.

ÌDétecter les processus qui tentent de se connecter sur des ports non standard ou le trafic
sortant inhabituel à partir d’une ressource Cloud.

Ì Détecter les processus qui se déguisent.

ÌAnalyser les groupes de sécurité Cloud pour identifier les ressources exposées à l’Internetpublic.

ÌAccéder à distance à l’appareil/ressource, arrêter le processus et analyser les mouvements
latéraux.

Fichiers modifiésÌ Accéder à distance à l’appareil, arrêter les processus suspects et lancer des outils
d’investigation.

Cadre MITRE ATT&CK
La cadre MITRE ATT&CK est un modèle habituellement utilisé pour identifier lestechniques d’attaque.

ÌTrouvez les éléments ayant été modifiés d’une manière inhabituelle.

ÌL’identification des processus qui ont récemment modifié des fichiers ou des clés de registre.

Ì Accéder à distance à l’appareil, analyser les modifications et prendre des mesuresappropriées.

Utiliser vos propres requêtes ou les requêtes Sophos pour identifier les tactiques d’attaque etles techniques utilisées par les adversaires.

Ì Affiner vos investigations pour rechercher d’éventuelles attaques successives ou des zones àvérifier, en vous basant sur ces techniques identifiées.

Étendue de l’incident

Scripts dissimulés

Déterminez l’impact d’un incident et les appareils et les utilisateurs touchés.

Les attaques sans fichier et basées sur la mémoire sont un vecteur d’attaque usuel.

ÌIdentifier les postes sur lesquels un utilisateur a cliqué sur un lien dans un email de phishing.

ÌVoir quels postes ont téléchargé des fichiers à partir du site de phishing, y accéder à distanceet les nettoyer.

ÌPasser au crible les données sur les exécutions PowerShell inattendues.

Ì Accéder à distance à l’appareil, lancer des outils d’analyses complémentaires et arrêter les
processus suspects.

Prolonger les périodes d’investigation (requiert XDR)
Utilisez 30 jours de données dans le Cloud en plus des 90 jours de stockage dedonnées sur l’appareil.

ÌAnalyser 30 jours de données sans avoir besoin de remettre un appareil en ligne.

Ì Voir ce qui est arrivé aux appareils mis hors service lors d’une attaque

Utiliser des données réseau riches (requiert XDR)
Intégrez les données réseau pour la traque des menaces et vos investigations.

ÌRecouper le trafic malveillant bloqué avec d’autres IoC pour identifier une attaque pluslarge.

Ì Utiliser les détections ATP et IPS du pare-feu pour analyser les hôtes et les appareils
suspects

Utiliser des données de messagerie riches (requiert XDR)
Intégrez les données des emails pour obtenir des informations supplémentaires
sur votre environnement.

ÌComparer les informations d’en-tête des emails avec d’autres IoC pour mieux comprendre
un incident

Ì

Identifier les fichiers suspects et les supprimer rapidement des appareils et des boîtes deréception O365.

Pour en savoir plus sur Sophos XDR, EDR et les capacités de protection puissantesd’Intercept X, rdv sur Sophos.fr.

© Copyright 2021. Sophos Ltd. Tous droits réservés.
Immatriculée en Angleterre et au Pays de Galles No 2096520, The Pentagon, Abingdon Science Park, Abingdon, OX14 3YP, Royaume-Uni.
Sophos est la marque déposée de Sophos Ltd. Tous les autres noms de produits et de sociétés mentionnés sont des marques ou desmarques déposées appartenant à leurs propriétaires respectifs.

21-03-26 UC-FR (MP)