Saltar al contenido principal
La remediación de archivos pone en cuarentena o elimina automáticamente (o manualmente) los archivos cuando están asociados a detecciones malintencionadas. Si una detección coincide con una regla de veredicto con acciones de remediación de archivos configuradas, pero la remediación automática de archivos está deshabilitada de forma global, la detección se escalará a su equipo. La remediación siempre está habilitada de forma manual al revisar un caso y seleccionar Acciones > Remediar o liberar.
La remediación automática no se realiza para detecciones de integraciones en beta. Si la detección la genera una integración en beta, Wirespeed omitirá la remediación automática y escalará el caso a su equipo. La remediación manual sigue disponible.

​
Acciones de remediación

Wirespeed puede realizar las siguientes acciones para remediar un archivo:
  • Poner archivo en cuarentena — poner el archivo en cuarentena para impedir su ejecución
  • Eliminar archivo — eliminar permanentemente el archivo del punto de conexión (irreversible)
Las acciones que aparecen en la interfaz y se ejecutan para una detección dependen de la integración EDR conectada y de las acciones seleccionadas en la regla de veredicto coincidente.
Eliminar archivo es irreversible. Úselo solo cuando esté seguro de que el archivo debe eliminarse permanentemente.

​
Acciones de liberación

Cuando una detección se resuelve como benigna, Wirespeed puede revertir automáticamente la remediación del archivo:
  • Liberar archivo — liberar el archivo de la cuarentena
Eliminar archivo no tiene ninguna acción de liberación automática. La liberación automática se ejecuta cuando una detección pasa a benigna en la ingesta, a partir de una respuesta de ChatOps o cuando un analista la marca como benigna. La ingesta y ChatOps la omiten para detecciones en modo de prueba, pruebas de ChatOps y detecciones reingestadas. La ingesta también omite las detecciones históricas que llegaron tras un retraso significativo en el origen, y ChatOps espera a que quien responde complete la MFA. Si un analista marca como benigna cualquiera de estas detecciones, se liberan igualmente los archivos que Wirespeed puso en cuarentena. En el caso de detecciones en modo de prueba, de prueba de ChatOps y reingestadas, la liberación por parte del analista no comprueba los archivos que el EDR puso en cuarentena por sí mismo.

​
Archivos que el EDR puso en cuarentena por sí mismo

Cuando SentinelOne puso un archivo en cuarentena por su cuenta, antes de que Wirespeed realizara ninguna acción, la liberación automática aún puede devolverlo. Cuando llega la detección, Wirespeed registra si SentinelOne informó de que la cuarentena del archivo se realizó correctamente y no se ha revertido desde entonces. Si es así, Wirespeed registra la cuarentena informada por el origen como evidencia apta para la liberación, y la liberación continúa como lo haría para un archivo puesto en cuarentena por Wirespeed. Esto solo se aplica cuando:
  • Liberación automática de archivos está habilitada en el equipo
  • la regla de veredicto coincidente habilita el descontenimiento de archivos
  • SentinelOne informó de la cuarentena en la detección (alertas EDR y Cloud Workload Security)
  • la detección está vinculada a un único punto de conexión gestionado por la misma integración de SentinelOne
Wirespeed se basa en el estado de cuarentena informado cuando llegó la detección y no vuelve a consultar a SentinelOne antes de liberar. Si el archivo ya se liberó en SentinelOne, la liberación de la cuarentena falla y se muestra en la cronología de la detección. Cuando Liberación automática de archivos está habilitada y SentinelOne informó de la cuarentena, un archivo que no cumple las demás condiciones se deja intacto, con una nota en la cronología de la detección. Las detecciones sin cuarentena informada no reciben ninguna nota. Si se rechaza una liberación benigna mientras un archivo sigue en cuarentena, Wirespeed añade una entrada destacada en la cronología con el motivo y escala la detección para revisión manual.

​
Verificación de ReversingLabs

La remediación y la liberación automáticas de archivos requieren el enriquecimiento de ReversingLabs para confirmar el riesgo del archivo:
  • La remediación automática requiere que ReversingLabs clasifique el archivo como malware o como herramienta de fase avanzada
  • La liberación automática requiere Liberación automática de archivos habilitada en el equipo (desactivada de forma predeterminada), descontenimiento de archivos habilitado en la regla de veredicto coincidente, una remediación previa correcta de Wirespeed (o una cuarentena de SentinelOne informada en la detección; consulte Archivos que el EDR puso en cuarentena por sí mismo), que ReversingLabs clasifique el archivo como benigno, que todos los nombres de amenaza del escáner estén vacíos y un certificado de firma válido
Los resultados de ReversingLabs más antiguos que la ventana de caché de enriquecimiento se tratan como ausentes, de modo que la liberación automática se rechaza en lugar de aplazarse. Una liberación rechazada de un archivo que sigue en cuarentena se escala para revisión manual. Para SentinelOne, la liberación automática crea primero una exclusión SHA-1, espera a que la exclusión se propague y, a continuación, libera el archivo de la cuarentena. Wirespeed vuelve a comprobar los hechos de ReversingLabs y de contención antes de ambas acciones del proveedor.
La exclusión de SentinelOne no se elimina cuando se libera el archivo. Permanece en su consola de SentinelOne hasta que la elimine allí.
La remediación manual desde el menú Acciones del caso sigue disponible cuando el enriquecimiento está pendiente.

​
Integraciones compatibles

Las acciones de remediación y liberación de archivos están disponibles a través de las integraciones EDR conectadas, entre ellas: Cada integración admite un subconjunto de las acciones anteriores. Por ejemplo, CrowdStrike admite eliminar y liberar de la cuarentena; SentinelOne, Palo Alto Cortex y Halcyon admiten poner en cuarentena y liberar de la cuarentena; Microsoft admite poner en cuarentena. El cuadro de diálogo Remediar o liberar solo muestra las acciones que puede realizar su integración conectada.