# Reaktionsorchestrierung konfigurieren und Ergebnisse prüfen

Canonical: https://www.nsecsoft.com/de/docs/ping64-platform/platform/risk-response/response-orchestration/

Language: de-DE

Updated: 2026-11-15T03:16:39.822231Z

Die Reaktionsorchestrierung weist einem Endpunkt bei passenden Ereignissen ein vorhandenes Tag zu. Ein Tag allein sperrt oder isoliert den Endpunkt nicht: Eine aktive Richtlinie muss das Tag verwenden; deren Zustellung und Ausführung sind zu prüfen. Verfügbarkeit, Ereignisse und Berechtigungen hängen von der Bereitstellung ab. Beginnen Sie mit wenigen Testendpunkten und nicht vertraulichen Testdateien. Das Beispiel zur Erfassung von Dateioperationen verwendet Windows-Endpunkte; andere Plattformen und Arbeitsweisen sind gesondert zu prüfen.

## Ereignisse und Richtlinien vorbereiten

1.  Prüfen Sie in der Tag-Verwaltung der Endpunktliste ein für den Pilot geeignetes Tag; erstellen Sie nur eines, wenn kein geeignetes vorhanden ist. Prüfen Sie Namen, Aktivierung, bestehende Endpunkte, Reaktionen und Richtlinienverweise, bewerten Sie die Auswirkungen und stellen Sie sicher, dass sie zum genehmigten Pilotumfang passen. Weisen Sie das Tag dem Testendpunkt zunächst nicht manuell zu. Stellen Sie sicher, dass der Testendpunkt das Tag noch nicht trägt; entfernen Sie ein vorhandenes Tag nicht ohne Genehmigung, sondern verwenden Sie ein geeignetes separates Tag.
2.  Prüfen Sie für den Test einer Dateilöschung zuerst die geltende Dateinachverfolgung auf den Pilotendpunkten. Erstellen oder bearbeiten Sie nur bei Bedarf eine Data-Loss-Prevention-Richtlinie, aktivieren Sie die Dateinachverfolgung und speichern Sie die gesamte Richtlinie. Warten Sie auf Empfang und Anwendung, löschen Sie eine nicht vertrauliche Testdatei und prüfen Sie den Dateioperationsdatensatz.
3.  Prüfen Sie im betreffenden Produkt eine vorhandene passende Richtlinie und erstellen oder bearbeiten Sie nur bei Bedarf eine Richtlinie. Wählen Sie das Zieltag für den Pilot in den allgemeinen Einstellungen als Ziel, legen Sie den Gültigkeitsbeginn und die gewünschte Kontrolle oder Überwachung fest. Verwenden Sie zunächst eine risikoarme, rückgängig zu machende Testkonfiguration. Prüfen Sie nach dem Speichern Aktivierung und Geltungsbereich. Tag und Reaktionsregel erstellen diese Richtlinie nicht automatisch.

Prüfen Sie vor dem Aktivieren den Testbereich und jüngste Ereignisse. Beim erstmaligen Aktivieren von Regeln für eine Ereignisquelle können bereits vorhandene passende Datensätze der letzten etwa 5 Minuten verarbeitet werden, auch Testereignisse vor der Aktivierung. Das Trefferfenster zählt nach dem Verarbeitungszeitpunkt auf dem Server, nicht strikt nach der Ereigniszeit am Endpunkt; verzögerte oder aufgestaute Meldungen können das Ergebnis beeinflussen. Erfüllt eine aktive Reaktion erneut die Bedingungen, kann sich ihre Gültigkeit verlängern. Der Ablauf wird im Hintergrund verarbeitet; eine Tag-Entfernung genau zum Ablauf ist nicht garantiert. Neue passende Ereignisse können nach dem Beenden erneut auslösen. Prüfen Sie Reaktionsdaten, Tags und Richtlinien weiter.

## Reaktionsregel erstellen

1.  Öffnen Sie auf der Startseite unter Security Operations die Response Orchestration und wählen Sie New Rule. Geben Sie unter Basics den Regelnamen ein und prüfen Sie den Status.
2.  Wählen Sie unter Trigger Data Loss Prevention als Source Product, File Operation als Event Source und Delete Files als Event Type. Andere auswählbare Ereignisse decken nicht sämtliche Endpunktaktivitäten ab.
3.  Legen Sie Minimum Severity, Time Window, Hit Count und Cooldown fest, zum Beispiel 10 Minuten, 2 Treffer und 30 Minuten Abkühlzeit. Zeitfenster und Trefferzahl müssen positiv sein; die Abkühlzeit darf null sein. Die Mindestschwere muss zu den Ereignissen passen.
4.  Fügen Sie unter Scope die Testendpunkte hinzu und prüfen Sie die Auswahl. Wählen Sie unter Action das Zieltag und eine positive Tag TTL, etwa 60 Minuten. Prüfen Sie Konfiguration und zugehörige Richtlinie, speichern Sie und kontrollieren Sie unter Response Rules, ob die Regel aktiv ist.

## Prüfen, beenden und Fehler suchen

1.  Löschen Sie genehmigte Testdateien auf dem Testendpunkt, um die Schwelle zu erreichen, und warten Sie auf Übermittlung und Verarbeitung. Prüfen Sie zuerst die Dateioperationsdaten, dann Response Records und Active Responses. Einträge können eine nicht erreichte Schwelle, Abkühlung oder Duplikate als Grund für das Überspringen anzeigen.
2.  Prüfen Sie Endpunkt-Tag, zugehörige Richtlinie sowie tatsächlichen Empfang und Ausführung. Ein Treffer oder sichtbares Tag beweist keine Durchsetzung. Prüfen Sie bei ausbleibender Reaktion Status, Ereignis, Schwere, Zielbereich, Zeitfenster, Trefferzahl und Abkühlung.
3.  Wählen Sie zum vorzeitigen Beenden den Eintrag unter Active Responses und Clear; prüfen Sie anschließend Tag und Richtlinien. Ein manuell vergebenes oder von einer anderen aktiven Reaktion gemeinsam verwendetes Tag kann bestehen bleiben. Das Deaktivieren oder Beenden hebt nicht notwendigerweise alle Kontrollen sofort auf.