إعداد تنسيق الاستجابة والتحقق من النتائج

يضيف تنسيق الاستجابة علامة موجودة إلى الجهاز الطرفي عندما تطابق الأحداث قاعدة محددة. لا تعني العلامة وحدها حظر الجهاز أو عزله؛ بل يلزم وجود سياسة مفعّلة تستهدف العلامة والتحقق من استلام الجهاز للسياسة وتنفيذها. يعتمد توفر الوظيفة والأحداث والصلاحيات على بيئة النشر. ابدأ بعدد قليل من الأجهزة التجريبية وملفات اختبار غير حساسة. يستخدم مثال جمع عمليات الملفات أجهزة Windows؛ يجب التحقق من الأنظمة وطرق التشغيل الأخرى كلٌ على حدة.

إعداد الأحداث والسياسات

1. في إدارة العلامات بقائمة الأجهزة الطرفية، راجع علامة مناسبة للتجربة وأنشئ واحدة فقط إذا لم توجد علامة مناسبة. تحقق من الاسم وحالة التفعيل والأجهزة والاستجابات والسياسات التي تشير إليها، وقيّم الأثر وتأكد من توافقها مع نطاق التجربة المعتمد. لا تضف العلامة يدوياً إلى الجهاز التجريبي في البداية. تأكد من أن الجهاز التجريبي لا يحمل العلامة مسبقاً؛ إذا كان يحملها، فلا تزلها دون تصريح واستخدم علامة مخصصة مناسبة بدلاً منها.
2. لاختبار حذف الملفات، افحص أولًا سياسة تتبع الملفات المطبقة على أجهزة التجربة؛ أنشئ سياسة منع تسرب البيانات أو عدّلها وفعّل تتبع الملفات واحفظها فقط عند الحاجة. انتظر استلام الإعدادات وتطبيقها، ثم احذف ملف اختبار غير حساس وتحقق من سجل العملية.
3. راجع سياسة موجودة مناسبة، وأنشئ سياسة أو عدّلها عند الحاجة فقط في المنتج المعني، وحدد علامة التجربة المستهدفة هدفاً في الإعدادات العامة، واضبط وقت السريان والتحكم أو التدقيق المطلوب. ابدأ بإعداد تجريبي منخفض المخاطر وقابل للتراجع، وتحقق بعد الحفظ من التفعيل والنطاق. لا يؤدي إنشاء العلامة أو قاعدة الاستجابة إلى إنشاء هذه السياسة تلقائياً.

قبل التفعيل، راجع نطاق التجربة والأحداث الأخيرة. عند تفعيل قواعد مصدر حدث للمرة الأولى، قد يفحص النظام السجلات المطابقة الموجودة خلال الدقائق الخمس السابقة تقريبًا، بما فيها أحداث الاختبار قبل التفعيل. تُحسب نافذة مرات التطابق وفق وقت معالجة الخادم للسجلات، وليس بدقة وفق وقت وقوع الحدث على الجهاز؛ وقد يؤثر تأخر الإبلاغ أو تراكمه في النتائج. قد تُمدد مدة الاستجابة النشطة عند تحقق الشروط مجددًا. تُعالج مدة الانتهاء في الخلفية، لذلك لا يُضمن نزع العلامة في اللحظة المحددة تمامًا. بعد الإنهاء قد تُطلق الأحداث المطابقة الجديدة استجابة أخرى؛ واصل مراجعة السجلات والعلامات والسياسات المرتبطة.

إنشاء قاعدة استجابة

1. من الصفحة الرئيسية افتح Response Orchestration ضمن Security Operations واختر New Rule. أدخل اسم القاعدة وتحقق من حالتها في Basics.
2. في Trigger اختر Data Loss Prevention في Source Product وFile Operation في Event Source وDelete Files في Event Type. لا تغطي الأحداث الأخرى المتاحة كل أنشطة الأجهزة.
3. اضبط Minimum Severity وTime Window وHit Count وCooldown. مثال للتجربة: 10 دقائق ومرتان ومدة انتظار 30 دقيقة. يجب أن تكون النافذة والمرات أكبر من الصفر، ويمكن أن تكون مدة الانتظار صفراً. يجب أن يتوافق الحد الأدنى للشدة مع الأحداث الفعلية.
4. أضف الأجهزة التجريبية في Scope وتحقق من الاختيار. في Action اختر العلامة المستهدفة ومدة Tag TTL أكبر من الصفر، مثل 60 دقيقة. راجع الإعداد والسياسة المرتبطة واحفظ، ثم تحقق من تفعيل القاعدة في Response Rules.

التحقق والإنهاء واستكشاف الأخطاء

1. احذف ملفات الاختبار بالطريقة المعتمدة لتوليد أحداث تبلغ الحد المحدد، وانتظر الإبلاغ والمعالجة. افحص سجلات عمليات الملفات أولاً، ثم Response Records وActive Responses. قد تبين السجلات عدم بلوغ الحد أو التخطي بسبب الانتظار أو التكرار.
2. تحقق من علامة الجهاز والسياسة المرتبطة والاستلام والتنفيذ الفعليين. لا يثبت تطابق الحدث أو ظهور العلامة تطبيق التحكم. إذا لم تظهر استجابة، راجع حالة القاعدة ونوع الحدث والشدة والنطاق والنافذة والعدد ومدة الانتظار.
3. لإنهاء استجابة مبكراً، اختر العنصر في Active Responses ثم Clear وافحص العلامة والسياسات. قد تبقى العلامة إذا كانت مشتركة مع استجابة نشطة أخرى أو أضيفت يدوياً. لا تفترض أن تعطيل القاعدة أو إنهاء الاستجابة يلغي كل وسائل التحكم فوراً.