ตั้งค่าการประสานการตอบสนองและตรวจสอบผล

การประสานการตอบสนองเพิ่มแท็กที่มีอยู่ให้ปลายทางเมื่อเหตุการณ์ตรงกับกฎ แท็กเพียงอย่างเดียวไม่ได้บล็อกหรือแยกปลายทาง ต้องมีนโยบายที่เปิดใช้งานและกำหนดแท็กนั้นเป็นเป้าหมาย รวมทั้งตรวจสอบการรับและการทำงานของนโยบาย ความพร้อมใช้งาน เหตุการณ์ และสิทธิ์ขึ้นอยู่กับระบบที่ติดตั้ง ควรเริ่มจากปลายทางนำร่องจำนวนน้อยและไฟล์ทดสอบที่ไม่ละเอียดอ่อน ตัวอย่างการเก็บข้อมูลการทำงานกับไฟล์ใช้อุปกรณ์ Windows ต้องตรวจสอบระบบและวิธีการทำงานอื่นแยกต่างหาก

เตรียมเหตุการณ์และนโยบาย

1. ตรวจสอบแท็กที่เหมาะกับการทดลองในการจัดการแท็กของรายการปลายทาง และสร้างใหม่เฉพาะเมื่อไม่มีแท็กที่เหมาะสม ตรวจชื่อ สถานะเปิดใช้ ปลายทางเดิม การตอบสนอง และนโยบายที่อ้างอิง ประเมินผลและยืนยันว่าตรงกับขอบเขตทดลองที่อนุมัติ อย่าเพิ่งเพิ่มแท็กให้ปลายทางทดลองด้วยตนเอง ตรวจว่าปลายทางทดลองยังไม่มีแท็กนี้ หากมีอยู่แล้วอย่าลบโดยไม่ได้รับอนุญาต ให้ใช้แท็กเฉพาะที่เหมาะสมแทน
2. ในการทดสอบการลบไฟล์ ให้ตรวจนโยบายติดตามไฟล์ที่ใช้กับปลายทางนำร่องก่อน เฉพาะเมื่อจำเป็นจึงสร้างหรือแก้ไขนโยบายป้องกันข้อมูลรั่วไหล เปิดการติดตามไฟล์และบันทึกนโยบายทั้งหมด รอให้รับและใช้การตั้งค่า จากนั้นลบไฟล์ทดสอบที่ไม่ละเอียดอ่อนและตรวจสอบบันทึกการทำงานกับไฟล์
3. ตรวจสอบนโยบายเดิมที่ใช้ได้ และสร้างหรือแก้นโยบายเฉพาะเมื่อจำเป็นในผลิตภัณฑ์ที่เกี่ยวข้อง เลือกแท็กเป้าหมายทดลองเป็นเป้าหมายในการตั้งค่าทั่วไป กำหนดเวลาเริ่มใช้และการควบคุมหรือการตรวจสอบที่ต้องการ เริ่มด้วยการตั้งค่านำร่องที่เสี่ยงต่ำและย้อนกลับได้ หลังบันทึกให้ตรวจสอบสถานะและขอบเขต การสร้างแท็กหรือกฎตอบสนองไม่สร้างนโยบายนี้โดยอัตโนมัติ

ก่อนเปิดใช้ให้ตรวจสอบขอบเขตนำร่องและเหตุการณ์ล่าสุด เมื่อเปิดกฎของแหล่งเหตุการณ์เป็นครั้งแรก ระบบอาจสแกนระเบียนที่ตรงกันซึ่งมีอยู่ในช่วงประมาณ 5 นาทีก่อนหน้า รวมถึงเหตุการณ์ทดสอบก่อนเปิดใช้ กรอบเวลานับครั้งตามเวลาที่เซิร์ฟเวอร์ประมวลผลระเบียน ไม่ได้ยึดเวลาเกิดเหตุบนอุปกรณ์อย่างเคร่งครัด การรายงานล่าช้าหรือค้างสะสมอาจมีผลต่อผลลัพธ์ หากการตอบสนองที่ยังทำงานตรงเงื่อนไขอีกครั้ง อายุอาจขยายออก การหมดอายุประมวลผลเบื้องหลัง จึงไม่รับประกันว่าจะนำแท็กออกตรงเวลาพอดี หลังยกเลิก เหตุการณ์ใหม่ที่ตรงกันอาจกระตุ้นอีกครั้ง ให้ติดตามบันทึก แท็ก และนโยบายที่เกี่ยวข้อง

สร้างกฎตอบสนอง

1. จากหน้าแรกเปิด Response Orchestration ใน Security Operations แล้วเลือก New Rule กรอกชื่อและตรวจสอบสถานะใน Basics
2. ใน Trigger เลือก Data Loss Prevention เป็น Source Product เลือก File Operation เป็น Event Source และ Delete Files เป็น Event Type เหตุการณ์อื่นที่เลือกได้ไม่ได้ครอบคลุมกิจกรรมปลายทางทั้งหมด
3. ตั้งค่า Minimum Severity, Time Window, Hit Count และ Cooldown เช่น 10 นาที 2 ครั้ง และช่วงพัก 30 นาที กรอบเวลาและจำนวนครั้งต้องมากกว่าศูนย์ ส่วนช่วงพักเป็นศูนย์ได้ ระดับขั้นต่ำต้องตรงกับเหตุการณ์จริง
4. ใน Scope เพิ่มและตรวจสอบปลายทางนำร่อง ใน Action เลือกแท็กเป้าหมายและ Tag TTL ที่มากกว่าศูนย์ เช่น 60 นาที ตรวจสอบการตั้งค่าและนโยบายที่เกี่ยวข้อง บันทึก แล้วตรวจสอบว่ากฎเปิดใช้งานใน Response Rules

ตรวจสอบ ยกเลิก และแก้ปัญหา

1. ลบไฟล์ทดสอบตามวิธีที่ได้รับอนุมัติเพื่อสร้างเหตุการณ์ให้ถึงเกณฑ์ รอการส่งข้อมูลและประมวลผล ตรวจสอบบันทึกการทำงานกับไฟล์ก่อน แล้วดู Response Records และ Active Responses บันทึกอาจระบุว่าไม่ถึงเกณฑ์ ข้ามเพราะช่วงพัก หรือข้ามเหตุการณ์ซ้ำ
2. ตรวจสอบแท็ก นโยบายที่เกี่ยวข้อง และการรับกับการทำงานจริงบนปลายทาง การตรงของเหตุการณ์หรือการเห็นแท็กไม่ได้ยืนยันว่าควบคุมสำเร็จ หากไม่มีการตอบสนองให้ตรวจสอบสถานะกฎ เหตุการณ์ ระดับ ขอบเขต กรอบเวลา จำนวนครั้ง และช่วงพัก
3. หากต้องการสิ้นสุดก่อนเวลา ให้เลือก Clear ของรายการใน Active Responses แล้วตรวจสอบแท็กและนโยบาย แท็กอาจยังอยู่หากใช้ร่วมกับการตอบสนองอื่นหรือเพิ่มด้วยตนเอง อย่าถือว่าการปิดกฎหรือยกเลิกจะถอนการควบคุมทั้งหมดทันที