Casos de uso de Sophos EDR y XDRDisponibles con Intercept X Advanced with XDR, Intercept X Advancedwith EDR, Intercept X Advanced for Server with XDR e Intercept X
Advanced for Server with EDR
Responda a preguntas críticas sobre la búsqueda de amenazas y las operaciones de TI y tome medidas cuando sea necesario.
Tanto los administradores de TI como los analistas de ciberseguridad pueden servirse de su potente funcionalidad.
Realice operaciones de seguridad TI y tareas de búsqueda de amenazas.
Ì Use consultas SQL ya escritas totalmente personalizables.
Ì Tome las medidas oportunas rápidamente cuando tenga la información que necesita.
Ì Cubre endpoints, servidores, firewalls, correo electrónico, hosts en la nube y más

Casos de uso de operaciones de TI
Los casos de uso de operaciones de TI mantienen la higiene de sus operaciones de TI en excelente estado. Estos son algunos casos de uso de ejemplo:
Comprobación del estado de seguridad de los dispositivos

Errores de configuración

Identifique los dispositivos con problemas de rendimiento, acceda
a ellos de forma remota y tome las medidas necesarias.

Detecte dispositivos y cargas de trabajo en la nube con problemasde configuración que puedan suponer riesgos de seguridad.

Ì Detecte dispositivos con falta de espacio en disco, un uso deÌIdentifique servidores con RDP y SSH habilitados y grupos de seguridad
en la nube con puertos de red que se han dejado abiertos, y supervise
e inventarie hosts en la nube pública, contenedores y más.

ÌAcceda de forma remota a los servidores, deshabilite RDP/SSH
y busque servidores escuchando en puertos abiertos.

memoria/CPU excesivo o un reinicio pendiente.
Ì Acceda remotamente a los dispositivos para liberar espacio en disco, investigar
las causas del uso excesivo y reiniciar cuando sea necesario.

Vulnerabilidades
Detecte los dispositivos con problemas o vulnerabilidades
que el malware o los atacantes pueden explotar.
ÌLocalice dispositivos con vulnerabilidades de software, encuentre servicios
en ejecución desconocidos o extensiones de navegadores no autorizadas

Cumplimiento
Identifique y resuelva problemas de cumplimiento de ámbito local y en la nube.
ÌBusque archivos confidenciales y evalúe configuraciones para entornos de AWS, Azure y GCP.

ÌAcceda de forma remota a dispositivos para eliminar archivos confidenciales y mantenerconfiguraciones en la nube seguras de acuerdo con los indicadores de referencia del CIS.

y detecte credenciales de cuentas compartidas o robadas.
ÌAcceda a dispositivos de forma remota para instalar parches,
investigar y detener servicios desconocidos, desinstale extensiones denavegadores y actualice credenciales de cuentas en la nube.

Despliegue de proyectos
Compruebe si los proyectos de TI se han desplegado en todos dispositivos.

Software no deseadoÌVea si se ha implementado el software en los dispositivospara evaluar el progreso durante el despliegue.

Localice software que pueda causar problemas de cumplimiento o productividad.

ÌAcceda a los dispositivos de forma remota para garantizar el despliegue
correcto y reiniciar si es necesario para hacer los cambios pertinentes.

ÌEncuentre programas no deseados como Spotify, Steam y BitTorrent.

ÌAcceda remotamente a los dispositivos y desinstale software.

Problemas de red en la oficina (requiere XDR)

Espere lo inesperado (requiere XDR)

Vea y rectifique problemas de red en todas sus oficinas.

Con 30 días de almacenamiento en la nube, no sufrirá
las consecuencias de los eventos inesperados.

ÌEntienda por qué una oficina tiene problemas de red que ralentizan el rendimiento.

ÌIdentifique qué aplicación provoca el problema.

Gestión de dispositivos (requiere XDR)ÌRevise los últimos 30 días para identificar actividad
inusual en un dispositivo extraviado.

ÌAverigüe qué ha ocurrido con un dispositivo incluso si
se han borrado sus datos o se ha destruido.

Identifique y entienda los dispositivos del entorno de TI de su empresa.

ÌVea los dispositivos no administrados y no protegidos
como portátiles, móviles y dispositivos IoT.

ÌObtenga una visibilidad adicional de los dispositivos heredados ono administrables como equipos médicos especializados.

Casos de uso de búsqueda de amenazas
Localice amenazas sutiles y esquivas y límpielas rápidamente. Estos son solo algunos casos de uso de ejemplo:
Ataques de red

Procesos camuflados

Identifique los procesos que intentan acceder a la red de forma inusual.

Algunos procesos maliciosos se camuflan para evitar ser detectados.

ÌDetecte procesos que intenten conectarse a puertos no estándar o tráfico
saliente inusual procedente de una carga de trabajo en la nube.

ÌDetecte procesos que se hayan camuflado.

ÌAnalice grupos de seguridad en la nube para identificar
recursos expuestos a la Internet pública.

ÌAcceda remotamente al dispositivo, detenga procesos
sospechosos y ejecute herramientas forenses.

Ì

Acceda de forma remota al dispositivo o la carga de trabajo, finaliceel proceso y compruebe si hay propagación lateral.

Archivos modificados

Plataforma MITRE ATT&CK
La plataforma MITRE ATT&CK es una plantilla que sueleutilizarse para identificar las técnicas de ataque.

Ì

Utilice consultas propias o de Sophos para identificar tácticas
y técnicas de ataque utilizadas por los adversarios.

ÌEn función de la técnica identificada, centre su investigación en posibles
segundos ataques o en áreas que deben volver a comprobarse.

Identifique elementos que se hayan modificado de manera inesperada.

ÌIdentifique procesos que hayan modificado archivos o claves de registro recientemente.

ÌAcceda al dispositivo de forma remota, examine los cambios y tome medidas.

Scripts ofuscados

Alcance de los incidentesLos ataques sin archivos y basados en memoria son un vector de ataque común.

Comprenda el impacto de un incidente y qué
dispositivos y usuarios se han visto afectados.

ÌProfundice en los detalles de las ejecuciones inesperadas de PowerShell.

ÌÌ

Acceda remotamente al dispositivo, ejecute herramientas forenses
adicionales y detenga los procesos sospechosos.

Identifique los dispositivos que han seguido un enlace
desde un correo electrónico de phishing.

ÌVea qué dispositivos han descargado archivos del sitio web dephishing, acceda a ellos de forma remota y realice la limpieza.

Amplíe los periodos de investigación (requiere XDR)
Utilice 30 días de datos en la nube además de 90 díasde almacenamiento de datos en el dispositivo.

Ì

Investigue 30 días de datos sin necesidad de volver a conectar el dispositivo.

ÌVea qué ha ocurrido con los dispositivos incapacitados en un ataque.

Utilice datos de red detallados (requiere XDR)
Incorpore datos de red en su búsqueda e investigación de amenazas.

ÌCorrelacione tráfico malicioso bloqueado con otros indicadoresde peligro para entender un ataque más amplio.

ÌUtilice detecciones ATP e IPS desde el firewall para
investigar hosts y dispositivos sospechosos.

Utilice datos de correo electrónico detallados (requiere XDR)
Integre la información del correo electrónico paraobtener una mayor visibilidad de su entorno.

ÌCompare la información de encabezado del correo electrónico con
otros indicadores de peligro para entender mejor un incidente.

ÌIdentifique archivos sospechosos y elimínelos rápidamente
desde dispositivos y buzones de correo de O365.

Para obtener más información sobre Sophos XDR, EDR y las potentes funciones
de protección de Intercept X, visite es.sophos.com.

© Copyright 2021. Sophos Ltd. Todos los derechos reservados.
Constituida en Inglaterra y Gales N.º 2096520, The Pentagon, Abingdon Science Park, Abingdon, OX14 3YP, Reino Unido
Sophos es la marca registrada de Sophos Ltd. Todos los demás productos y empresas mencionados son marcas
comerciales o registradas de sus respectivos propietarios.

26-03-21 UC-ES (MP)