Cấu hình điều phối phản ứng và xác minh kết quả

Điều phối phản ứng gắn nhãn hiện có cho thiết bị đầu cuối khi sự kiện khớp quy tắc. Bản thân nhãn không chặn hay cô lập thiết bị: cần có chính sách đang bật nhắm đến nhãn đó và phải xác minh việc nhận, thực thi trên thiết bị. Tính khả dụng, sự kiện và quyền phụ thuộc vào hệ thống triển khai. Trước tiên hãy dùng một số ít thiết bị thí điểm và tệp thử nghiệm không nhạy cảm. Ví dụ thu thập thao tác tệp sử dụng thiết bị Windows; cần xác minh riêng các nền tảng và cách thao tác khác.

Chuẩn bị sự kiện và chính sách

1. Trong phần quản lý nhãn của danh sách thiết bị đầu cuối, kiểm tra nhãn phù hợp cho thử nghiệm; chỉ tạo khi không có nhãn thích hợp. Kiểm tra tên, trạng thái bật, thiết bị, phản ứng và chính sách đang tham chiếu, đánh giá tác động và bảo đảm phù hợp phạm vi thử nghiệm đã duyệt. Chưa gắn nhãn thủ công cho thiết bị thử nghiệm. Xác nhận thiết bị thử nghiệm chưa có nhãn này; nếu đã có, không tự ý gỡ mà hãy dùng một nhãn chuyên dụng phù hợp.
2. Để thử sự kiện xóa tệp, trước hết kiểm tra chính sách theo dõi tệp hiện áp dụng cho thiết bị thí điểm. Chỉ khi cần mới tạo hoặc sửa chính sách phòng chống rò rỉ dữ liệu, bật theo dõi tệp và lưu toàn bộ chính sách. Chờ thiết bị nhận và áp dụng cài đặt, xóa tệp thử không nhạy cảm rồi xác nhận có thể tra cứu bản ghi thao tác tệp.
3. Trong sản phẩm liên quan, kiểm tra chính sách hiện có phù hợp và chỉ tạo hoặc sửa chính sách khi cần; tại cài đặt chung chọn nhãn mục tiêu thử nghiệm làm đối tượng, đặt thời gian hiệu lực và biện pháp kiểm soát hoặc kiểm toán cần thiết. Trước tiên dùng cấu hình thí điểm rủi ro thấp, có thể khôi phục; sau khi lưu kiểm tra trạng thái bật và phạm vi. Tạo nhãn hoặc quy tắc phản ứng không tự tạo chính sách này.

Trước khi bật, kiểm tra phạm vi thí điểm và các sự kiện gần đây. Khi lần đầu bật quy tắc cho một nguồn sự kiện, hệ thống có thể quét các bản ghi phù hợp đã có trong khoảng 5 phút trước đó, kể cả sự kiện thử trước khi bật. Cửa sổ đếm theo thời điểm máy chủ xử lý bản ghi, không hoàn toàn theo thời điểm sự kiện xảy ra trên thiết bị; báo cáo trễ hoặc tồn đọng có thể ảnh hưởng kết quả. Phản ứng đang hoạt động có thể được gia hạn khi điều kiện lại được đáp ứng. Việc hết hạn được xử lý nền nên không bảo đảm gỡ nhãn đúng thời điểm hết hạn. Sau khi kết thúc, sự kiện phù hợp mới có thể kích hoạt lại; tiếp tục kiểm tra bản ghi phản ứng, nhãn và chính sách liên quan.

Tạo quy tắc phản ứng

1. Trên trang chủ, mở Response Orchestration trong Security Operations và chọn New Rule. Trong Basics, nhập tên và kiểm tra trạng thái quy tắc.
2. Trong Trigger, chọn Data Loss Prevention làm Source Product, File Operation làm Event Source và Delete Files làm Event Type. Các sự kiện khác có thể chọn không bao quát mọi hoạt động của thiết bị.
3. Đặt Minimum Severity, Time Window, Hit Count và Cooldown. Ví dụ thí điểm dùng 10 phút, 2 lần và thời gian chờ 30 phút. Cửa sổ và số lần phải lớn hơn 0; thời gian chờ có thể bằng 0. Mức tối thiểu phải phù hợp với sự kiện thực tế.
4. Trong Scope, thêm và kiểm tra thiết bị thí điểm. Trong Action, chọn nhãn đích và Tag TTL lớn hơn 0, ví dụ 60 phút. Kiểm tra cấu hình và chính sách liên quan, lưu rồi xác nhận quy tắc đã bật trong Response Rules.

Xác minh, kết thúc và xử lý sự cố

1. Xóa tệp thử theo cách được phê duyệt để tạo sự kiện đạt ngưỡng, rồi chờ gửi và xử lý. Kiểm tra bản ghi thao tác tệp trước, sau đó xem Response Records và Active Responses. Bản ghi có thể cho biết chưa đạt ngưỡng, bỏ qua do thời gian chờ hoặc trùng lặp.
2. Kiểm tra nhãn, chính sách liên quan và việc nhận, thực thi thực tế trên thiết bị. Sự kiện khớp hoặc nhãn xuất hiện không chứng minh kiểm soát đã có hiệu lực. Nếu không có phản ứng, kiểm tra trạng thái, sự kiện, mức độ, phạm vi, cửa sổ, số lần và thời gian chờ.
3. Để kết thúc sớm, chọn Clear cho mục tương ứng trong Active Responses, rồi kiểm tra lại nhãn và chính sách. Nhãn có thể còn nếu do phản ứng khác đang dùng chung hoặc được gắn thủ công. Không giả định việc tắt quy tắc hay kết thúc phản ứng lập tức gỡ mọi biện pháp kiểm soát.