Lösen Sie ein CrowdStrike Falcon Insight -Profil manuell aus einem Security Incident aus

  • Freigeben Version: Washingtondc
  • Aktualisiert 1. Februar 2024
  • 1 Minute Lesedauer

    • Lösen Sie ein Profil manuell aus, nachdem Sie einen Security Incident überprüft haben.

    Vorbereitungen

    Erforderliche Rolle: admin

    Warum und wann dieser Vorgang ausgeführt wird

    Sobald Sie das Profil basierend auf den konfigurierten Auslöserbedingungen aktiviert haben, können Sie die Abfrageergebnisse in den Now Platform Security Incidents anzeigen. Mit CrowdStrike Falcon Insight können Sie auch einzelne Fähigkeiten für Konfigurationselemente (CIs) ausführen, ohne ein Profil zu verwenden.

    Prozedur

    1. Navigieren zu Alle > Security Incidents > Alle Incidents anzeigen.
    2. Wählen Sie den Security Incident, den Sie überprüfen möchten, mit den Informationen CrowdStrike Falcon Insight.
    3. Wählen Sie im Abschnitt „Zugehörige Listen“ die Option EDR-Profil(e) ausführenaus.
    4. Suchen Sie ein Profil und wählen Sie es aus der Liste der verfügbaren Profile aus.
    5. Wählen Sie Zugehöriges CI einschließen aus, um dieses Profil für alle zugehörigen CIs des Profils auszuführen.
      Wenn dem Security Incident beispielsweise fünf CIs zugeordnet sind, wird das ausgewählte Profil für alle fünf CIs ausgeführt.
    6. Klicken Sie auf Absenden.
      Das ausgewählte Profil wird manuell ausgelöst. Sie können den Abschnitt „Arbeitsnotizen und Aktivitäten“ und die Tags „profileinitied“ und „profile-completed“ (Profil abgeschlossen) im Abschnitt „Arbeitsnotizen“ überprüfen. Arbeitsnotizen für Automatisierungsaktivität werden überprüft.
    7. Die Ergebnisse werden in Form von zugehörigen Listen angezeigt, z. B. Datei abrufen, Hostdetails, Angemeldete Benutzer, Laufende Prozesse, Laufende Services, Netzwerkstatistiken usw.Überprüfen Sie die zugehörige Liste auf zusätzliche Details.
    8. Führen Sie die folgenden Schritte aus, um einzelne Fähigkeiten für ein CI auszuführen:
      1. Wählen Sie in der zugehörigen Liste Konfigurationselemente das erforderliche CI aus.
      2. Klicken Sie auf die Dropdown-Liste Aktionen für ausgewählte Zeilen... und wählen Sie die erforderliche Fähigkeit aus, die Sie für das ausgewählte CI ausführen möchten.
        Beispiel: Host isolieren.
      3. Suchen Sie mithilfe der Suchoption nach der erforderlichen Fähigkeitsimplementierung für das CI, und wählen Sie CrowdStrike Falcon Insight Isolate Host(CrowdStrike Falcon Insight-Host isolieren) aus.
      4. Klicken Sie auf Host isolieren, um sie für das ausgewählte CI auszuführen.