K-EDR e Action Center
Ver o ataque desenrolar-se e responder-lhe
O K-EDR recolhe os eventos úteis dos postos, correlaciona-os com regras de deteção reconhecidas e agrupa os alertas em incidentes. O Action Center permite responder com poucos cliques.
O problema
Os atacantes usam cada vez mais as ferramentas legítimas do sistema. Sem visibilidade sobre o encadeamento dos processos, uma intrusão pode passar despercebida durante semanas.
O que o módulo faz
Telemetria direcionada
Processos, ligações de rede, carregamentos de bibliotecas, persistência, tarefas agendadas, scripts PowerShell.
Regras reconhecidas
Regras Sigma compiladas, correlação no tempo e correspondência sistemática com o MITRE ATT&CK.
Incidentes legíveis
Os alertas são agrupados em incidentes com uma cronologia e uma explicação.
Respostas assinadas
Isolar, parar um processo, colocar em quarentena, recolher elementos: cada ação é assinada e registada.
Caça a ameaças
Consultas em todo o parque, consultas guardadas e pesquisa de indicadores de comprometimento.
Como funciona
Recolha
O agente comunica os eventos úteis, filtrados na origem.
Correlação
As regras detetam os encadeamentos suspeitos e criam incidentes.
Resposta
O analista age a partir do Action Center, com dupla validação se necessário.
O que deve saber
- O módulo está em desenvolvimento: recolha no Windows e centro de ações parcialmente realizados.
- A recolha no macOS depende de uma autorização da Apple; caso contrário, está prevista uma solução alternativa.
- A Kayzen não fornece um SOC 24 h/24 próprio: está prevista uma parceria na fase 6.
Perguntas frequentes
Perguntas sobre este módulo
É preciso uma equipa de segurança para utilizar o EDR?
Os incidentes são explicados de forma simples e o assistente Copilot ajuda a compreendê-los, mas uma vigilância contínua pressupõe uma pessoa ou um prestador dedicado.
Os trabalhadores são vigiados?
A telemetria incide sobre os processos e o sistema, não sobre o conteúdo dos documentos. A sua utilização numa empresa pressupõe informar os trabalhadores e, se for caso disso, o comité social e económico (CSE).
Guias práticos de cibersegurança
- Burlas e ameaçasRansomware: os bons reflexos antes, durante e depoisPrevenir um ransomware, reagir a uma infeção (isolar, não pagar, apresentar queixa) e retomar a atividade. Conselhos práticos para PME e particulares.Ler o guia
- RegulamentaçãoNIS2: quem está abrangido e por onde começar?Diretiva (UE) 2022/2555: setores, dimensão, entidades essenciais e importantes, medidas do artigo 21, notificação de incidentes. Referências e remissão à ANSSI.Ler o guia
- Na empresaVítima de um ciberataque: o que fazer na primeira horaIsolar, avisar, preservar as provas, não pagar, declarar (17Cyber, queixa, CNIL em 72 h): a conduta a seguir passo a passo em caso de incidente.Ler o guia
Quer testar este módulo?
O programa-piloto dá acesso aos módulos à medida que são entregues, gratuitamente e sem compromisso.