Como analisar o status de endpoints no Dell Endpoint Security Suite Enterprise e no Threat Defense

Sommario

Articolo dettagliato

Sintomi

Causa

Risoluzione

Ulteriori informazioni

Video

Prodotti interessati

Inserisci commento

Riepilogo: Os status de endpoint podem ser analisados no Dell Endpoint Security Suite Enterprise e no Dell Threat Defense usando estas instruções.

Questo articolo si applica a Questo articolo non si applica a Questo articolo non è legato a un prodotto specifico. Non tutte le versioni del prodotto sono identificate in questo articolo.

Scopri le altre risorse

Sintomi

Nota:

Em maio de 2022, o Dell Endpoint Security Suite Enterprise deixou de receber manutenção. Esse produto e os artigos relacionados a ele não são mais atualizados pela Dell.
Desde maio de 2022, o Dell Threat Defense deixou de receber manutenção. Esse produto e os artigos relacionados a ele não são mais atualizados pela Dell.
Para obter mais informações, consulte a Política de ciclo de vida útil do produto (fim do suporte e fim da vida útil) do Dell Data Security. Se você tiver alguma dúvida sobre artigos alternativos, entre em contato com sua equipe de vendas ou envie um e-mail para endpointsecurity@dell.com.
Consulte Segurança de endpoints para obter mais informações sobre os produtos atuais.

Os status de endpoint do Dell Endpoint Security Suite Enterprise e do Dell Threat Defense podem ser obtidos de um endpoint específico para análise aprofundada de ameaças, explorações e scripts.

Produtos afetados:

Dell Endpoint Security Suite Enterprise
Dell Threat Defense

Plataformas afetadas:

Windows
Mac
Linux

Causa

Não aplicável

Risoluzione

Os administradores do Dell Endpoint Security Suite Enterprise ou do Dell Threat Defense podem acessar um endpoint individual para analisar:

Conteúdo do malware
Estado do malware
Tipo de malware

Um administrador só deve executar essas etapas ao solucionar o motivo pelo qual o mecanismo de prevenção avançada contra ameaças (ATP) classificou um arquivo de modo incorreto. Clique em Access ou Review para obter mais informações.

Acesso

O acesso a informações de malware varia entre Windows, macOS e Linux. Para obter mais informações, clique no sistema operacional adequado.

Windows

Por padrão, o Windows não registra informações detalhadas sobre malware.

Clique com o botão direito do mouse no menu Iniciar do Windows e clique em Executar.

Na IU Executar, digite regedit e, em seguida, pressione CTRL + SHIFT + ENTER. Isso executa o Editor do Registro como administrador.

No Editor do Registro, acesse HKEY_LOCAL_MACHINE\Software\Cylance\Desktop.
No painel esquerdo, clique com o botão direito do mouse em Desktop e, em seguida, selecione Permissões.

Clique em Avançado.

Clique em Proprietário.

Clique em Outros usuários ou grupos.

Procure sua conta no grupo e clique em OK.

Clique em OK.

Verifique se o seu grupo ou nome de usuário tem Controle total marcado e clique em OK.

Nota: No exemplo, DDP_Admin (etapa 8) é um membro do grupo Usuários.

Em HKEY_LOCAL_MACHINE\Software\Cylance\Desktop, clique com o botão direito do mouse na pasta Área de trabalho, selecione Novo e, em seguida, clique em Valor DWORD (32 bits).

Nomeie a DWORD StatusFileEnabled.

Clique duas vezes em StatusFileEnabled.

Preencha os dados de valor com 1 e, em seguida, pressione OK.

Em HKEY_LOCAL_MACHINE\Software\Cylance\Desktop, clique com o botão direito do mouse na pasta Área de trabalho, selecione Novo e, em seguida, clique em Valor DWORD (32 bits).

Nomeie a DWORD StatusFileType.

Clique duas vezes em StatusFileType.

Preencha os dados de valor com qualquer um dos 0 ou 1. Depois que os Dados do valor tiverem sido preenchidos, pressione OK.

Nota: Opções de dados de valor:

0 = formato do arquivo JSON
1 = Formato XML

Em HKEY_LOCAL_MACHINE\Software\Cylance\Desktop, clique com o botão direito do mouse na pasta Área de trabalho, selecione Novo e, em seguida, clique em Valor DWORD (32 bits).

Nomeie a DWORD StatusPeriod.

Clique duas vezes em StatusPeriod.

Preencha os dados do valor com um número que varia de 15 para 60 e, em seguida, clique em OK.

Nota: O StatusPeriod é a frequência com que o arquivo é gravado.
15 = intervalo de 15 segundos
60 = intervalo de 60 segundos

Em HKEY_LOCAL_MACHINE\Software\Cylance\Desktop, clique com o botão direito do mouse na pasta Área de trabalho, selecione Novo e, em seguida, clique em String Value.

Nomeie a string StatusFilePath.

Clique duas vezes em StatusFilePath.

Preencha os Dados do valor com a localização para gravar o arquivo de status e clique em OK.

Nota:

Caminho padrão: <CommonAppData>\Cylance\Status\Status.json
Exemplo de caminho: C:\ProgramData\Cylance
Um arquivo .json (JavaScript Object Notation, notação de objeto do JavaScript) pode ser aberto em um editor de documentos de texto ASCII.

MacOS

As informações detalhadas sobre malware estão no arquivo Status.json em:

/Library/Application Support/Cylance/Desktop/Status.json

Nota: Um arquivo .json (JavaScript Object Notation, notação de objeto do JavaScript) pode ser aberto em um editor de documentos de texto ASCII.

Linux

As informações detalhadas sobre malware estão no arquivo Status.json em:

/opt/cylance/desktop/Status.json

Nota: Um arquivo .json (JavaScript Object Notation, notação de objeto do JavaScript) pode ser aberto em um editor de documentos de texto ASCII.

Análise

O conteúdo do arquivo de status inclui informações detalhadas sobre várias categorias, como Ameaças, Exploits e Scripts. Clique nas informações apropriadas para saber mais sobre ela.

Índice

Conteúdo do arquivo de status:

`snapshot_time`	A data e a hora em que as informações de status foram coletadas. A data e a hora são locais para o dispositivo.
`ProductInfo`	`version`: Versão do Agente do Advanced Threat Prevention no dispositivo `last_communicated_timestamp`: Data e hora da última verificação de atualização do agente `serial_number`: Token de instalação usado para registrar o agente `device_name`: Nome do dispositivo em que o Agent está instalado
`Policy`	`type`: Status de se o agente está on-line ou off-line `id`: Identificador exclusivo da política `name`: Policy Name
`ScanState`	`last_background_scan_timestamp`: Data e hora da última verificação de detecção de ameaças em segundo plano `drives_scanned`: Lista de letras de unidade digitaladas
`Threats`	`count`: O número de ameaças encontradas `max`: O número máximo de ameaças no arquivo de status Threat `file_hash_id`: Exibe as informações de hash SHA256 para a ameaça `file_md5`: O hash MD5 `file_path`: O caminho onde a ameaça foi encontrada. Inclui o nome do arquivo `is_running`: A ameaça está em execução atualmente no dispositivo? Verdadeiro ou falso `auto_run`: O aquivo de ameaça está definido para executar automaticamente? Verdadeiro ou falso `file_status`: Exibe o estado atual da ameaça, como Permitido, Em execução ou Em quarentena. Veja as ameaças: Tabela FileState `file_type`: Exibe o tipo de arquivo, como Executável Portátil (PE), Arquivamento ou PDF. Veja as ameaças: Tabela FileType `score`: Exibe a Pontuação da Cylance. A pontuação exibida no arquivo de status varia de 1.000 a -1.000. No console, o intervalo é de 100 a -100 `file_size`: Exibe o tamanho do arquivo, em bytes
`Exploits`	`count`: O número de explorações encontradas `max`: O número máximo de explorações no arquivo de status Exploit `ProcessId`: Exibe o ID do processo do aplicativo identificado pelo Memory Protection `ImagePath`: O caminho de origem do exploit. Inclui o nome do arquivo `ImageHash`: Exibe as informações de hash SHA256 para a exploração `FileVersion`: Exibe o número da versão do arquivo exploit `Username`: Exibe o nome do usuário que fez log-in no dispositivo quando a exploração ocorreu `Groups`: Exibe o grupo ao que o usuário conectado está associado `Sid`: O identificador de segurança (SID) do usuário conectado `ItemType`: Exibe o tipo de exploração, que está relacionado aos tipos de violação Nota: Consulte os Exploits: Tabela ItemType A lista de tipos de violação pode ser vista nas definições da categoria Proteção de memória do Dell Endpoint Security Suite Enterprise. Estado: Exibe o estado atual da exploração, como Allowed( Permitido), Blocked (Bloqueado) ou Ter terminado Nota: Consulte os Exploits: Tabela de estado `MemDefVersion`: A versão do Memory Protection usada para identificar a exploração, normalmente o número da versão do Agent `Count`: O número de vezes que a exploração tentou executar
`Scripts`	`count`: O número de scripts executados no dispositivo `max`: O número máximo de scripts no arquivo de status Script `script_path`: O caminho de origem do script. Inclui o nome do arquivo `file_hash_id`: Exibe as informações de hash SHA256 para o script `file_md5`: Exibe as informações de hash MD5 para o script, se disponíveis `file_sha1`: Exibe as informações de hash SHA1 do script, se disponíveis `drive_type`: Identifica o tipo de unidade da qual o script se originou, como Fixed `last_modified`: A data e a hora em que o script foi modificado pela última vez `interpreter`: `name`: O nome do recurso de controle de script que identificou o script mal-intencionado `version`: O número da versão do recurso de controle de script `username`: Exibe o nome do usuário que fez log-in no dispositivo quando o script foi iniciado `groups`: Exibe o grupo ao que o usuário conectado está associado `sid`: O identificador de segurança (SID) do usuário conectado `action`: Exibe a ação que é realizada no script, como Permitido, Bloqueado ou Encerrado. Consulte os Scripts: Tabela de ação

Ameaças

As ameaças têm várias categorias baseadas em números a serem decifrar File_Status,FileState e FileType. Consulte a categoria apropriada para os valores a serem atribuídos.

File_Status

O File_Status é um valor decimal calculado com base nos valores habilitados pelo FileState (consulte a tabela na seção FileState). Por exemplo, um valor decimal de 9 para file_status é calculado a partir do arquivo que está sendo identificado como ameaça (0x01) e o arquivo foi colocado em quarentena (0x08).

FileState

Threats: FileState

Nenhuma	0x00
Threat	0x01
Suspeito	0x02
Permitido	0x04
Em quarentena	0x08
Em execução	0x10
Corrompido	0x20

FileType

Threats: FileType

Incompatíveis	0
PE	1
Arquivo	2
PDF	3
OLE	4

Exploits

Os exploits têm duas categorias baseadas em números para serem decifradas como ItemType e State.

Consulte a categoria apropriada para os valores a serem atribuídos.

ItemType

Exploits: ItemType

`StackPivot`	1	Stack pivot
`StackProtect`	2	Proteção de pilha
`OverwriteCode`	3	Substituir código
`OopAllocate`	4	Alocação remota de memória
`OopMap`	5	Mapeamento remoto da memória
`OopWrite`	6	Gravação remota na memória
`OopWritePe`	7	Gravação remota de PE na memória
`OopOverwriteCode`	8	Substituir código remoto
`OopUnmap`	9	Cancelamento do mapeamento remoto de memória
`OopThreadCreate`	10	Criação remota de thread
`OopThreadApc`	11	APC remoto agendado
`LsassRead`	12	Leitura de LSASS
`TrackDataRead`	13	RAM Scraping
`CpAllocate`	14	Alocação remota de memória
`CpMap`	15	Mapeamento remoto da memória
`CpWrite`	16	Gravação remota na memória
`CpWritePe`	17	Gravação remota de PE na memória
`CpOverwriteCode`	18	Substituir código remoto
`CpUnmap`	19	Cancelamento do mapeamento remoto de memória
`CpThreadCreate`	20	Criação remota de thread
`CpThreadApc`	21	APC remoto agendado
`ZeroAllocate`	22	Alocação zero
`DyldInjection`	23	Injeção DYLD
`MaliciousPayload`	24	Payload mal-intencionada

Nota:

Oop referências Fora de processo
Cp processo filho de referências
Para obter mais informações sobre os tipos de violação, consulte Definições de categoria da proteção da memória do Dell Endpoint Security Suite Enterprise.

Estado

Exploits: Estado

Nenhuma	0
Permitido	1
Bloqueado	2
Encerrado	3

Scripts

Os exploits têm uma única categoria baseada em números a ser decifrada como Ação.

Scripts: Ação

Nenhuma	0
Permitido	1
Bloqueado	2
Encerrado	3

Para entrar em contato com o suporte, consulte Números de telefone do suporte internacional do Dell Data Security.
Acesse o TechDirect para gerar uma solicitação de suporte técnico on-line.
Para obter insights e recursos adicionais, participe do Fórum da comunidade de segurança da Dell.

Informazioni aggiuntive

Video

Prodotti interessati

Dell Threat Defense, Dell Endpoint Security Suite Enterprise

Numero articolo: 000124896

Tipo di articolo: Solution

Ultima modifica: 20 nov 2023

Versione: 12

Verifica che il dispositivo sia coperto dai Servizi di supporto.

Como analisar o status de endpoints no Dell Endpoint Security Suite Enterprise e no Threat Defense