G DATA MXDR

Il Meldungsgraph

Meldungsgraph volle View

Il Meldungsgraph La supporta nel comprendere meglio le strutture complesse dei processi coinvolti. Si tratta di una funzione utile, ad esempio, quando è necessario analizzare in dettaglio un Vorfall di sicurezza.

Qui può esaminare in dettaglio tutti i processi, con particolare riferimento a…​

  • dettagli generali del processo.

  • operazioni sui file.

  • operazioni nel registro di Windows.

  • attività di rete.

Il Meldungsgraph è attualmente disponibile solo per sistemi con sistema operativo Windows.

Visualizzazione dei processi all’interno di una Meldung

Meldungsgraph Verlauf

Questa panoramica è il Meldungsgraph vero e proprio e mostra i processi appartenenti alla Meldung. In questa rappresentazione visiva può vedere quali processi hanno richiamato o contattato altri processi e che cosa è avvenuto al loro interno.
Quale processo ha richiamato altri processi e quali processi esattamente?
Che cosa è accaduto e in quali file del sistema?
Sono state apportate modifiche al registro di Windows e, in caso affermativo, che cosa è cambiato nel dettaglio?
Ci sono state comunicazioni verso l’esterno e, in caso affermativo, verso dove?
Tutte queste domande possono essere sottoposte a un’analisi approfondita.

Il grafico può includere un numero elevato di singoli processi e occupare di conseguenza molto spazio. Nella finestra può spostare il punto di osservazione con il tasto sinistro del mouse e ingrandire o ridurre nel grafico con la rotellina. In alternativa, può utilizzare i pulsanti previsti accanto alla dimensione di visualizzazione corrente (Livello di zoom).
A sinistra dei pulsanti per il livello di zoom si trova un pulsante per reimpostare il punto di osservazione (Pulsante di reset) sul punto di vista iniziale e sul livello di ingrandimento originale.

Un processo contrassegnato con un segnale di avviso rappresenta il nucleo del rilevamento della relativa Meldung. I processi possono essere selezionati singolarmente e vengono quindi evidenziati in blu. Tutte le informazioni di dettaglio visualizzate sotto il grafico si riferiscono di volta in volta al processo selezionato nel grafico, evidenziato in blu. Per impostazione definita, la vista del Meldungsgraph viene centrata sul processo selezionato. Può modificare questo comportamento facendo clic sull’icona a forma di ingranaggio (Icona impostazioni).

Il grafico si riferisce ai processi che appartengono a una Meldung, non ai processi di tutte le Meldung, che appartengono a un Vorfall!

Informazioni di dettaglio sui processi

  • Le informazioni sui processi sono suddivise nelle sezioni Dettagli processo, Operazioni sui file, Operazioni del registro e Operazioni di rete.

  • Le operazioni non sospette forniscono informazioni di contesto sui processi; le operazioni sospette hanno collegamenti diretti al rilevamento.

  • Con il pulsante "Mostra solo operazioni sospette", nelle sezioni Operazioni sui file e Operazioni del registro vengono visualizzate solo le voci sospette.

Le voci all’interno delle sezioni possono essere ordinate in ordine alfanumerico crescente o decrescente con un clic sinistro sul nome della colonna.

Alcune informazioni vengono visualizzate in forma abbreviata per migliorare la leggibilità. L’informazione completa può sempre essere visualizzata passando il mouse e, se necessario, copiata.

Tooltip al passaggio del mouse

Dettagli processo

Qui vengono elencate informazioni generali sul processo.

Tra queste rientrano…​

  • il percorso del file nel sistema.

  • l’esatta chiamata, inclusi tutti gli argomenti.

  • la dimensione del file.

  • il momento di avvio del processo.

  • indicazione se l’esecuzione è avvenuta con privilegi di amministratore.

Prozessdetails

La voce "Sospetto?" indica se l’intero processo è stato classificato come sospetto dall’Agent.

Operazioni sui file

Qui sono elencate tutte le operazioni sui file correlate al rispettivo processo. Le informazioni riportate includono percorso del file, momento e tipo di operazione.

Dateioperationen

Percorso file

Percorso del file nel sistema a cui si riferisce l’operazione.

Operazione

Tipo esatto di operazione sul file. Le opzioni sono…​

  • "File chiuso"

  • "File creato"

  • "File eliminato"

  • "File eseguito"

  • "File aperto"

  • "File letto"

  • "File rinominato"

  • "Informazioni del file modificate"

  • "File scritto"

Momento

Momento esatto in cui è stata avviata l’operazione.

Sospetto?

Indica se si tratta di un’operazione che ha avuto un ruolo nel rilevamento.

Operazioni del registro

Vengono visualizzate informazioni sulle modifiche al registro di Windows avviate dal processo. Questo include tutte le informazioni relative alla chiave stessa, nonché il momento e il tipo di operazione.

Registryoperationen

Percorso della chiave

Percorso della chiave all’interno del registro di Windows a cui si riferisce l’operazione.

Nome

Nome del valore all’interno della chiave del registro a cui si riferisce l’operazione.

Valore

Valore dopo l’operazione, se presente.

Operazione

Tipo di operazione. Le opzioni sono:

  • "Chiave creata"

  • "Chiave aperta"

  • "Chiave eliminata"

  • "Valore eliminato"

  • "Valore impostato"

Momento

Momento esatto dell’operazione.

Sospetto?

Indica se si tratta di un’operazione che ha avuto un ruolo nel rilevamento.

Operazioni di rete

Qui sono elencate, se presenti, tutte le operazioni nella rete avviate dal processo. Oltre al momento e al tipo di operazione, sono inclusi anche tutti i dettagli di connessione rilevanti.

Netzwerkoperationen

Indirizzo IP

Per l’operazione "Connessione stabilita", l’indirizzo IP verso cui è stata stabilita la connessione. Se è presente l’operazione "Aperto per connessioni in ingresso", qui viene visualizzato l’indirizzo IP locale.

Porta

Porta utilizzata per la connessione.

Protocollo

Protocollo utilizzato per la connessione. Le opzioni sono TCP o UDP.

Operazione

Tipo di operazione di rete. Le opzioni sono:

  • "Connessione stabilita"

  • "Aperto per connessioni in ingresso"

Momento

Momento esatto delle operazioni di rete.