Introducción a los veredictos

Después de que Wirespeed recibe una detección de una de sus integraciones, se categoriza y pasa por el proceso de emisión de veredicto. Los veredictos son una serie de enriquecimientos y comprobaciones que realizamos sobre las detecciones y los datos relacionados de su entorno para determinar qué acciones se deben realizar. A continuación se muestran algunos ejemplos de los veredictos de detección de Punto de conexión > Ejecución: Cada regla indica cuándo se ejecuta (por ejemplo Inmediato), la condición que debe ser verdadera (si) y las acciones que toma Wirespeed (entonces). Cuando las acciones de remediación están habilitadas, el resultado enumera las acciones específicas entre paréntesis; por ejemplo, Remediar punto de conexión (Aislar punto de conexión, Bloquear dispositivo). Los veredictos se procesan de arriba abajo. Si el primer veredicto no es verdadero, se continúa hasta alcanzar un veredicto verdadero o el veredicto predeterminado. Puede personalizar estos veredictos para adaptar Wirespeed a su entorno.

​

Personalización de veredictos

Al editar una regla de veredicto, puede configurar las acciones de remediación, las opciones de respuesta, el veredicto y la gravedad.

​

Remediación

Las acciones de remediación remedian o liberan automáticamente a los usuarios, puntos de conexión y archivos asociados a una detección, y pueden eliminar la regla del buzón notificada por una detección. Para cada tipo de activo, puede elegir qué acciones específicas realizar.

​

Remediar usuario

Bloquee a los usuarios asociados a esta detección. Acciones disponibles:

• Desactivar cuenta — impedir que el usuario inicie sesión
• Exigir nuevo registro MFA — eliminar los métodos MFA registrados y exigir un nuevo registro (destructivo y de una sola vez)
• Restablecer contraseña — forzar un cambio de contraseña en el siguiente inicio de sesión
• Revocar sesiones — terminar todas las sesiones de inicio de sesión activas

​

Remediar punto de conexión

Aísle los puntos de conexión asociados a esta detección. Acciones disponibles:

• Aislar punto de conexión — desconectar el punto de conexión de la red
• Bloquear dispositivo — bloquear de forma remota la pantalla del dispositivo

​

Remediar archivo

Ponga en cuarentena o elimine los archivos asociados a esta detección. Acciones disponibles:

• Poner archivo en cuarentena — poner el archivo en cuarentena para impedir su ejecución
• Eliminar archivo — eliminar de forma permanente el archivo del punto de conexión (irreversible)

​

Eliminar regla del buzón

Elimine de forma permanente la regla del buzón malintencionada notificada por esta detección (irreversible). Esta opción solo aparece en las reglas de veredicto Malintencionado de la categoría Regla del buzón. Consulte Remediación de reglas del buzón para conocer los requisitos y los límites.

​

Liberar usuario

Revierta la remediación del usuario cuando una detección se resuelva como benigna:

• Activar cuenta — volver a habilitar la cuenta del usuario para el inicio de sesión

​

Liberar punto de conexión

Revierta la remediación del punto de conexión cuando una detección se resuelva como benigna:

• Desaislar punto de conexión — volver a conectar el punto de conexión a la red
• Desbloquear dispositivo — desbloquear la pantalla del dispositivo

​

Liberar archivo

Revierta la remediación del archivo cuando una detección se resuelva como benigna:

• Liberar archivo — sacar el archivo de la cuarentena

​

Respuesta

​

Escalar

Notifique a su equipo sobre la detección para una investigación manual.

​

Correlacionar y resolver

Resuelva la detección y permita que se use como indicador de amenaza para otros casos.

​

Omitir

Ignore este veredicto y continúe. No puede omitir la regla predeterminada.

​

Chat Ops

Chat Ops es un complemento que solo está disponible con Escalar. Las reglas Correlacionar y resolver, Omitir y Ejecutar monitores no pueden usarlo. La contención puede ejecutarse en la misma regla. Wirespeed aplica primero el veredicto: se ejecuta cualquier contención de la regla y, a continuación, se escala la detección. Wirespeed envía después un mensaje a los usuarios afectados por esta detección y les pregunta si realizaron la actividad. No espera una respuesta antes de escalar.

• Sí, he sido yo — la detección se cierra como Benigna y se libera la remediación reversible.
• No, no he sido yo — Wirespeed añade una entrada a la cronología, mantiene la detección escalada y ejecuta todas las acciones de contención no destructivas sobre el usuario, el punto de conexión y los archivos, aunque la regla no tenga ninguna. Una respuesta desde una dirección IP vinculada a la detección cuenta como Sí, he sido yo.
• No estoy seguro — Wirespeed añade una entrada a la cronología y la detección permanece escalada.
• Sin respuesta dentro de la ventana de respuesta definida en Configuración > Chat Ops — el mensaje se marca como sin respuesta y el resultado se mantiene. Una respuesta que llega más tarde se registra en la cronología para su equipo de seguridad, pero no cambia el resultado.

Hay opciones adicionales disponibles:

• MFA de Chat Ops — exigir MFA por SMS cuando un usuario afirma que realizó la actividad (requiere el segundo factor de Chat Ops en la configuración del equipo)
• Chat Ops VIP — permitir Chat Ops para usuarios VIP en esta regla