G DATA XDR

De detailpagina van de meldingen

MeldungenDetail

Een centraal onderdeel van de werking van G DATA XDR is het continu monitoren van de in het G DATA Web-Portal weergegeven meldingen.
Deze moeten regelmatig worden ingezien, beoordeeld en tijdig worden afgehandeld. De gebruiker beslist zelfstandig of verdere maatregelen of actie noodzakelijk zijn.

Om een op feiten gebaseerde beslissing te kunnen nemen, biedt deze pagina u alle belangrijke informatie in één oogopslag.

De detailpagina is onderverdeeld in twee tabs: de tab Details en de tab Meldingsgrafiek.

De tab Details

Onder de tab Details vindt u verschillende tegels die u een totaaloverzicht van de beveiligingsgebeurtenis geven.

De tegel Details

In de detailtegel ziet u de belangrijkste informatie. Deze verschilt afhankelijk van of het om een melding over een bestand of over een proces gaat.

De melding heeft betrekking op het type Bestand.

Datailkache Typ Datei

ID

Unieke ID van de melding. Wordt toegewezen bij het aanmaken van de melding.

Detecties

Naam (aanduiding) van de melding.

MITRE-tactieken
Herkende tactieken van de detecties.

Dergelijke tactieken kunnen bijvoorbeeld zijn:

  • Initial Access (Eerste toegang):
    Dit zijn methoden die de aanvaller gebruikt om het netwerk binnen te dringen (bijv. phishing).

  • Execution (Uitvoering):
    Kwaadaardige code wordt op het systeem uitgevoerd.

  • Persistence (Persistentie):
    Zich in het systeem nestelen om ook na herstarts toegang te houden.

  • Privilege Escalation (Rechtenescalatie):
    Pogingen om beheerdersrechten te verkrijgen.

  • Defense Evasion (Ontwijken van verdediging):
    Technieken om beveiligingssoftware te misleiden of uit te schakelen.

  • Credential Access (Diefstal van toegangsgegevens):
    Onderscheppen van gebruikersnamen en wachtwoorden.

  • Discovery (Verkenning):
    In kaart brengen van de systeem- en netwerkarchitectuur.

  • Lateral Movement (Laterale beweging):
    Verspreiding binnen het netwerk om meer apparaten te compromitteren.

  • Collection (Gegevensverzameling):
    Verzamelen van gegevens vóór diefstal.

  • Command and Control (C2): Communicatie tussen het systeem van de aanvaller en het geïnfecteerde netwerk.

Dit veld kan ontbreken als er geen tactiek is herkend.

Schweregraad

Schweregraad van de melding (Laag, Matig, Hoog).

Geactiveerd door

Pad naar het herkende bestand.

Type

Bestand of proces.

Bestandsgrootte

Grootte van het bestand.

SHA256

Hashsom van het bestand.

Ondertekend door

Partij die het bestand heeft ondertekend. Als het bestand niet is ondertekend, bevat het veld de aanduiding Niet ondertekend.

Uitvoerbare bestanden moeten absoluut ondertekend zijn. Voer geen niet-ondertekende bestanden uit. Zeker niet als G DATA XDR al heeft aangeslagen.

Wees extra voorzichtig met deze bestandstypen:
.sys, .cat, .msi, .exe, .dll, .ocx, .ps1.

Alleen een geldige handtekening garandeert dat de fabrikant bekend is en dat het bestand niet is gemanipuleerd.

Klant

De naam van de klant waarbij het eindpunt zich bevindt (partnerfunctie)

Gebruiker

Gebruiker in wiens sessie de detectie is geactiveerd.

Als het gebruikersaccount om technische redenen niet kon worden uitgelezen, bevat het veld "Informatie niet beschikbaar". Dit kan onder andere gebeuren als een proces is beëindigd voordat de G DATA Agent de gebruikersinformatie kon uitlezen.

Eindpunt

Eindpunt waarop de detectie is geactiveerd.

Tijdstip

Tijdstip waarop de detectie is geactiveerd, gebaseerd op de systeemtijd van het eindpunt.
De melding heeft betrekking op het type Proces.

Datailkache Typ Prozess

ID

Unieke ID van de melding. Wordt toegewezen bij het aanmaken van de melding.

Detecties

Naam (aanduiding) van de melding.

MITRE-tactieken
Herkende tactieken van de detecties.

Dergelijke tactieken kunnen bijvoorbeeld zijn:

  • Initial Access (Eerste toegang):
    Dit zijn methoden die de aanvaller gebruikt om het netwerk binnen te dringen (bijv. phishing).

  • Execution (Uitvoering):
    Kwaadaardige code wordt op het systeem uitgevoerd.

  • Persistence (Persistentie):
    Zich in het systeem nestelen om ook na herstarts toegang te houden.

  • Privilege Escalation (Rechtenescalatie):
    Pogingen om beheerdersrechten te verkrijgen.

  • Defense Evasion (Ontwijken van verdediging):
    Technieken om beveiligingssoftware te misleiden of uit te schakelen.

  • Credential Access (Diefstal van toegangsgegevens):
    Onderscheppen van gebruikersnamen en wachtwoorden.

  • Discovery (Verkenning):
    In kaart brengen van de systeem- en netwerkarchitectuur.

  • Lateral Movement (Laterale beweging):
    Verspreiding binnen het netwerk om meer apparaten te compromitteren.

  • Collection (Gegevensverzameling):
    Verzamelen van gegevens vóór diefstal.

  • Command and Control (C2): Communicatie tussen het systeem van de aanvaller en het geïnfecteerde netwerk.

Dit veld kan ontbreken als er geen tactiek is herkend.

Schweregraad

Schweregraad van de melding (Laag, Matig, Hoog).

Geactiveerd door

Pad naar het bestand waarmee het herkende proces is gestart.

Type

Bestand of proces.

Opdrachtregel

Opdracht waarmee het herkende proces is gestart.

Klant

De naam van de klant waarbij het eindpunt zich bevindt (partnerfunctie)

Gebruiker

Gebruiker in wiens sessie de detectie is geactiveerd.

Als het gebruikersaccount om technische redenen niet kon worden uitgelezen, bevat het veld "Informatie niet beschikbaar". Dit kan onder andere gebeuren als een proces is beëindigd voordat de G DATA Agent de gebruikersinformatie kon uitlezen.

Eindpunt

Eindpunt waarop de detectie is geactiveerd.

Tijdstip

Tijdstip waarop de detectie is geactiveerd, gebaseerd op de systeemtijd van het eindpunt.
De actieknop in de detailtegel

Rechtsonder in de detailtegel bevindt zich een actieknop waarmee u naar keuze …​

  • een uitzondering kunt instellen Ausnahme hinzufügen.

    Wanneer u deze knop gebruikt, roept u dezelfde functie aan die u kunt gebruiken voor het handmatig aanmaken van de uitzondering.

    Het verschil is dat de benodigde informatie al is gedefinieerd. Op dit punt is het mogelijk om zowel het toepassingsgebied van de uitzondering uit te breiden als met behulp van placeholders de reikwijdte te vergroten.

    U kunt bijvoorbeeld een bestand in de gebruikersmap van gebruiker admin uitbreiden naar alle gebruikers met deze map:

    Ausnahme über Meldung erstellen

  • artefacten uit de quarantaine kunt herstellen Artefakt wiederherstellen

  • artefacten uit de quarantaine kunt verwijderen Artefakt löschen.

Klik op Auswahl Butten en kies welke knop u wilt gebruiken.

Auwahl des Aktionsbutton Meldungen

De betreffende knop wordt aan u getoond. Klik op de knop om de betreffende functie op te roepen.

Als er geen artefact aanwezig is of als het in de quarantaine aanwezige artefact al is hersteld of verwijderd, is het selecteren van de actieknop niet meer mogelijk. Een uitzondering kan echter nog steeds worden aangemaakt.
De tegel Status

Het keuzemenu voor het wijzigen van de status van de melding bevindt zich eveneens in de detailtegel.

De volgende statuswaarden zijn mogelijk:

  • Open

  • Gesloten

  • Vals-positief

  • Heropend

Het instellen van een status heeft geen technische gevolgen. De status dient om een melding te markeren. Door deze markering kunnen meldingen beter worden ingedeeld en gefilterd. Bewerkte meldingen worden gesloten, zodat ze niet meer in het overzicht worden weergegeven. Als u er gericht naar zoekt, zijn de meldingen echter nog steeds aanwezig.
Op deze manier kunnen gebeurtenissen uit het verleden indien nodig opnieuw worden nagegaan. Als u een melding op Vals-positief zet, behoudt u overzicht over welke meldingen geen echt beveiligingsincident hebben gemeld.
Dit is nuttig als u uitzonderingen wilt instellen of verwijderen.

Behandel een melding nooit als vals-positief en stel de betreffende uitzondering niet in, als u niet zeker weet dat het daadwerkelijk om een vals-positieve melding gaat.

Het instellen van uitzonderingen op basis van een vermoeden vormt een hoog beveiligingsrisico.
Let in dit verband ook op onze Toelichtingen op PUP-detecties en onze Einsendeformular.

Voor klanten die ondersteuning nodig hebben van een ervaren SecOperations-team, biedt G DATA het product G DATA MXDR aan.
Relevante meldingen

Hier kunt u alle overige meldingen bekijken die betrekking hebben op de geopende melding. Er worden meldingen weergegeven

  • die op het eindpunt eerder of gelijktijdig zijn gemeld.

  • die bij dezelfde gebeurtenis op andere eindpunten zijn opgetreden.

Relevante meldingen

De volgende kolommen worden aan u getoond:

  • Status

  • Naam van de detectie

  • Schweregraad

  • Tijdstip

  • Actieknop detailpagina meldingen

Relevante meldingen

De volgende kolommen worden aan u getoond:

  • Status

  • Naam van de detectie

  • Schweregraad

  • Tijdstip

  • Actieknop voor het wisselen van de detailpagina.

Via de actieknop (Lupe) achter een melding in deze tegel gaat u naar de betreffende melding.

Met behulp van deze functie kunt u informatie aan elkaar koppelen die u onder omstandigheden aanwijzingen kan geven over een bedrijfsbrede uitbraak van een infectie. Treedt op een computer steeds opnieuw dezelfde infectie op, dan is het zeer waarschijnlijk dat de infectiebron nog niet is gevonden en verwijderd.

Voor klanten die ondersteuning nodig hebben van een ervaren SecOperations-team, biedt G DATA het product link:https://www.gdata.de/unternehmen/mxdr[G DATA MXDR aan.
De tegel gestopte processen
Gestopte processen

Als de G DATA Agent tijdens een gebeurtenis één of meerdere processen heeft gestopt, worden deze in deze tegel weergegeven.

Standaard ziet u eerst de kolommen Pad en Opdrachtregel. Deze gegevens staan ook in de detailtegel.

Alle overige kolommen die u wilt zien, kunt u via het kolompictogram Spaltensymbol weergeven of verbergen.

De volgende extra kolommen zijn beschikbaar:

  • SHA256

    Hashsom van het bestand.

  • Ondertekend door

    Partij die het bestand heeft ondertekend. Als het bestand niet is ondertekend, bevat het veld de aanduiding Niet ondertekend.

    Uitvoerbare bestanden moeten absoluut ondertekend zijn. Voer geen niet-ondertekende bestanden uit, vooral niet wanneer G DATA XDR al heeft aangeslagen.

    Wees extra voorzichtig met deze bestandstypen:
    .sys, .cat, .msi, .exe, .dll, .ocx, .ps1.

    Alleen een geldige handtekening garandeert dat de fabrikant bekend is en dat het bestand niet is gemanipuleerd.

  • Beheerdersrechten
    Aanduiding of het proces met beheerdersrechten is uitgevoerd.

  • Starttijdstip proces
    Aanduiding wanneer het proces is gestart.

De tegel betrokken artefacten
Betrokken artefacten

In deze tegel worden de door deze melding betrokken artefacten weergegeven.

Standaard ziet u eerst de kolommen Type, Pad, SHA256/sleutel, Status. De waarden uit Type, Pad en SHA256/sleutel staan ook in de detailtegel.

Alle overige kolommen die u wilt zien, kunt u via het kolompictogram Spaltensymbol weergeven of verbergen.

De volgende kolommen zijn beschikbaar:

  • Type
    Bestand of proces

  • Pad
    Pad naar een bestand of een registersleutel.

  • SHA256/sleutel
    SHA256-waarde voor een bestand, pad naar een sleutel bij een registervermelding.

  • Sleutel-waarde
    Als het om een bestand gaat, is deze kolom leeg.
    Bij registervermeldingen ziet u hier de waarde van de sleutel die in de kolom SHA256/sleutel is ingevuld.

  • Gewijzigde sleutelwaarde
    De wijziging die door de G DATA Agent is voorkomen.

    Voorbeeld hoe de waarden SHA256/sleutel, Sleutel-waarde en Gewijzigde sleutel-waarde bij een gebeurtenis worden gevuld:

    In dit voorbeeld is er een registervermelding als volgt:
    - Pad: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
    - Registersleutel: MyProgram
    - Sleutel-waarde: C:\Programs\MyProgram.exe

    Vervolgens probeert een aanvaller de sleutel-waarde te wijzigen naar de volgende waarde om zijn eigen geïnfecteerde bestand te starten:
    - Sleutel-waarde: C:\Users\admin\Downloads\?malware.exe

    Daardoor zou het pad van een programma dat eigenlijk bij het opstarten van de computer toegestaan zou zijn, veranderen naar een uitvoerbaar bestand dat vermoedelijk van een aanvaller afkomstig is.

    Onze Agent voorkomt dit en verplaatst deze registerbewerking naar de quarantaine.
    Het betreffende artefact is dan:

    • Pad: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

    • Sleutel: MyProgram

    • Sleutel-waarde: C:\Programs\MyProgram.exe

    • Gewijzigde sleutel-waarde: C:\Users\admin\Downloads\malware.exe

  • Ondertekend door
    Partij die het bestand heeft ondertekend. Als het bestand niet is ondertekend, bevat het veld de aanduiding Niet ondertekend.

  • Status

  • de status van de melding.

    • In quarantaine

    • Wordt hersteld

    • Hersteld

    • Wordt verwijderd

    • Verwijderd

    • Verwijderen mislukt

    • Herstellen mislukt

      Als het herstellen van een artefact niet mogelijk was, wordt het artefact onversleuteld in de volgende map op het eindpunt opgeslagen:

      • op Microsoft Windows-eindpunten: C:\ProgramData\G DATA\Agent\quarantine\storage.

      • op Linux- en Mac-eindpunten: /var/lib/gdata/agent/quarantine/recovery.

      Houd er rekening mee dat een bestand na het herstellen door de G DATA Agent opnieuw wordt gedetecteerd als

  • de klant waarbij de detectie is opgetreden (G DATA partnerfunctie).

  • de naam van het eindpunt waarop de detectie is opgetreden.

  • het oorspronkelijke pad en de naam van het artefact dat naar de quarantaine is verplaatst.

  • de naam van de detectie op basis waarvan het artefact naar de quarantaine is verplaatst.

  • het tijdstip van de detectie.

  • een actiebalk voor het bewerken van het artefact (detailpagina, herstellen, artefact verwijderen).

De tegel Opmerkingen
Kommentare Detailseite

Hier kunt u vrije tekst invoeren.

Op deze plek kunt u eventuele overwegingen, inzichten of documentatie noteren die u over dit incident voor een later moment of voor uw collega’s wilt vastleggen.

De tegel Meldingsgrafiek
De tegel Meldingsgrafiek

Met deze tegel krijgt u snel overzicht van de betrokken processen.

Alertgrafiek verloop

Dit overzicht is de eigenlijke alertgrafiek en toont de processen die bij de alert horen. In deze gevisualiseerde weergave kunt u zien welke processen andere processen hebben aangeroepen of benaderd en wat daarin vervolgens is gebeurd.
Welk proces heeft andere processen aangeroepen en welke processen precies?
Wat is daarbij in welke bestanden in het systeem gebeurd?
Zijn er wijzigingen in het Windows-register doorgevoerd en zo ja, wat is daar in detail gewijzigd?
Was er communicatie naar buiten en zo ja, waarheen?
Al deze vragen kunnen aan een grondige analyse worden onderworpen.

De grafiek kan een grote hoeveelheid afzonderlijke processen bevatten en daardoor veel ruimte innemen. U kunt in het venster met de linkermuisknop het kijkpunt verschuiven en met het muiswiel in de grafiek uit- en inzoomen. Als alternatief kunt u de daarvoor bedoelde knoppen naast de huidige weergavegrootte gebruiken (Zoomniveau).
Links naast de knoppen voor het zoomniveau bevindt zich een knop om het kijkpunt te resetten (Resetknop), naar het initiële kijkpunt en het oorspronkelijke zoomniveau.

Een proces dat is voorzien van een waarschuwingsschild vormt de kern van de detectie van de betreffende alert. De processen kunnen afzonderlijk worden geselecteerd en worden dan blauw gemarkeerd. Alle detailinformatie die onder de grafiek wordt weergegeven, heeft telkens betrekking op het in de grafiek geselecteerde, blauw gemarkeerde proces. Standaard wordt de weergave van de alertgrafiek gecentreerd op het geselecteerde proces. U kunt dit gedrag aanpassen door op het tandwielpictogram te klikken (Instellingspictogram).

De grafiek heeft betrekking op de processen die bij één alert horen, niet op de processen van alle alerts die bij een incident horen!

Via de knop Zu Meldungsgraph wechseln kunt u naar de tab Meldingsgrafiek gaan. Daar vindt u vervolgens meer informatie.

De tab Meldingsgrafiek

Meldingsgrafiek volledige weergave

De alertgrafiek helpt u om de complexe structuren van betrokken processen beter te kunnen reconstrueren. Dit is een nuttige functie wanneer bijvoorbeeld een beveiligingsincident gedetailleerd moet worden geanalyseerd.

U kunt hier alle processen in detail bekijken, met betrekking tot…​

  • algemene procesdetails.

  • bestandsbewerkingen.

  • bewerkingen in het Windows-register.

  • netwerkactiviteiten.

De alertgrafiek is momenteel alleen beschikbaar voor systemen met een Windows-besturingssysteem.
Visualisatie van de processen van een melding
Alertgrafiek verloop

Dit overzicht is de eigenlijke alertgrafiek en toont de processen die bij de alert horen. In deze gevisualiseerde weergave kunt u zien welke processen andere processen hebben aangeroepen of benaderd en wat daarin vervolgens is gebeurd.
Welk proces heeft andere processen aangeroepen en welke processen precies?
Wat is daarbij in welke bestanden in het systeem gebeurd?
Zijn er wijzigingen in het Windows-register doorgevoerd en zo ja, wat is daar in detail gewijzigd?
Was er communicatie naar buiten en zo ja, waarheen?
Al deze vragen kunnen aan een grondige analyse worden onderworpen.

De grafiek kan een grote hoeveelheid afzonderlijke processen bevatten en daardoor veel ruimte innemen. U kunt in het venster met de linkermuisknop het kijkpunt verschuiven en met het muiswiel in de grafiek uit- en inzoomen. Als alternatief kunt u de daarvoor bedoelde knoppen naast de huidige weergavegrootte gebruiken (Zoomniveau).
Links naast de knoppen voor het zoomniveau bevindt zich een knop om het kijkpunt te resetten (Resetknop), naar het initiële kijkpunt en het oorspronkelijke zoomniveau.

Een proces dat is voorzien van een waarschuwingsschild vormt de kern van de detectie van de betreffende alert. De processen kunnen afzonderlijk worden geselecteerd en worden dan blauw gemarkeerd. Alle detailinformatie die onder de grafiek wordt weergegeven, heeft telkens betrekking op het in de grafiek geselecteerde, blauw gemarkeerde proces. Standaard wordt de weergave van de alertgrafiek gecentreerd op het geselecteerde proces. U kunt dit gedrag aanpassen door op het tandwielpictogram te klikken (Instellingspictogram).

De grafiek heeft betrekking op de processen die bij één alert horen, niet op de processen van alle alerts die bij een incident horen!
Detailinformatie over de processen

  • De informatie over de processen is onderverdeeld in de rubrieken Procesdetails, Bestandsbewerkingen, Registerbewerkingen en Netwerkbewerkingen.

  • Niet verdachte bewerkingen bieden contextinformatie over de processen; verdachte bewerkingen hebben directe verbanden met de detectie.

  • Met de knop "Alleen verdachte bewerkingen weergeven" worden in de rubrieken Bestandsbewerkingen en Registerbewerkingen alleen verdachte vermeldingen weergegeven.

De vermeldingen binnen de rubrieken kunnen met een linkermuisklik op de kolomnaam alfanumeriek oplopend of aflopend worden gesorteerd.

Sommige informatie wordt voor betere leesbaarheid afgekort weergegeven. De volledige informatie kan altijd via mouse-over worden bekeken en indien nodig worden gekopieerd.

Mouse-over-tooltip
Procesdetails

Hier wordt algemene informatie over het proces weergegeven.

Daarbij horen…​

  • de locatie van het bestand in het systeem.

  • de exacte aanroep, inclusief alle argumenten.

  • de grootte van het bestand.

  • het starttijdstip van het proces.

  • een indicatie of de uitvoering met administratorrechten heeft plaatsgevonden.

Procesdetails

Het punt "Verdacht?" geeft aan of het volledige proces door de Agent als verdacht is geclassificeerd.

Bestandsbewerkingen

Hier worden alle bestandsbewerkingen weergegeven die met het betreffende proces samenhangen. De weergegeven informatie is: bestandspad, tijdstip en type bewerking.

Bestandsbewerkingen

Bestandspad

Pad van het bestand in het systeem waarop de bewerking betrekking heeft.

Bewerking

Exacte aard van de bestandsbewerking. De mogelijkheden zijn…​

  • "Bestand gesloten"

  • "Bestand aangemaakt"

  • "Bestand verwijderd"

  • "Bestand uitgevoerd"

  • "Bestand geopend"

  • "Bestand gelezen"

  • "Bestand hernoemd"

  • "Bestandsinformatie gewijzigd"

  • "Bestand geschreven"

Tijdstip

Exact tijdstip waarop de bewerking is gestart.

Verdacht?

Geeft aan of het een bewerking betreft die een rol heeft gespeeld bij de detectie.
Registerbewerkingen

Er wordt informatie weergegeven over wijzigingen in het Windows-register die door het proces zijn geïnitieerd. Dit omvat alle informatie die betrekking heeft op de sleutel zelf, evenals tijdstip en type bewerking.

Registerbewerkingen

Sleutelpad

Pad van de sleutel binnen het Windows-register waarop de bewerking betrekking heeft.

Naam

Naam van de waarde binnen de sleutel in het register waarop de bewerking betrekking heeft.

Waarde

Waarde na de bewerking, indien aanwezig.

Bewerking

Type bewerking. De mogelijkheden zijn:

  • "Sleutel aangemaakt"

  • "Sleutel geopend"

  • "Sleutel verwijderd"

  • "Waarde verwijderd"

  • "Waarde ingesteld"

Tijdstip

Exact tijdstip van de bewerking.

Verdacht?

Geeft aan of het een bewerking betreft die een rol heeft gespeeld bij de detectie.
Netwerkbewerkingen

Hier worden, indien aanwezig, alle door het proces geactiveerde bewerkingen binnen het netwerk weergegeven. Dit zijn naast tijdstip en type bewerking ook alle relevante verbindingsdetails.

Netwerkbewerkingen

IP-adres

Bij de bewerking "Verbinding tot stand gebracht" het IP-adres waarmee de verbinding is opgebouwd. Als de bewerking "Voor inkomende verbindingen geopend" aanwezig is, wordt hier het eigen IP-adres weergegeven.

Poort

Poort die voor de verbinding is gebruikt.

Protocol

Protocol dat voor de verbinding is gebruikt. Mogelijkheden zijn TCP of UDP.

Bewerking

Type netwerkbewerkingen. De mogelijkheden zijn:

  • "Verbinding tot stand gebracht"

  • "Voor inkomende verbindingen geopend"

Tijdstip

Exact tijdstip van de netwerkbewerkingen.