Diese Anleitung gilt für Mac-Computer
Informationen zur Geräteisolierung
Mit der Geräteisolierung können Administratoren die Netzwerkverbindung eines Geräts sofort trennen und es so effektiv vom Rest der Flotte unter Quarantäne stellen. Dies ist eine entscheidende Reaktionsmöglichkeit, wenn ein Gerät im Verdacht steht, kompromittiert zu sein, oder einer aktiven Bedrohung ausgesetzt ist. Die Geräteisolierung kann für einzelne Geräte oder in großen Mengen für alle Geräte durchgeführt werden, die mit einer bestimmten Bedrohungserkennung verknüpft sind.Funktionsweise
Die Geräteisolierung bietet sofortige Netzwerkquarantäne direkt über die Seite Detections. Wenn ein Gerät isoliert wird, wird seine Netzwerkkonnektivität je nach gewähltem Isolierungstyp eingeschränkt. Administratoren können isolierte Geräte über visuelle Hinweise in der Iru Endpoint Web App überwachen und den Netzwerkzugriff wiederherstellen, sobald die Bedrohung neutralisiert wurde. Der Isolierungsstatus wird in Echtzeit auf der Seite Detections und in den Geräteeinträgen angezeigt.Isolierungstypen
Je nach Schwere der Bedrohung und dem Umfang des Zugriffs, den Sie beibehalten müssen, stehen zwei Isolierungsstufen zur Verfügung:- Partial Isolation: Das Gerät wird vom Netzwerk getrennt, aber der MDM-Agent behält eine Verbindung bei. So können Administratoren bestimmte Maßnahmen zur Behebung durchführen, z. B. das Gerät aus der Ferne löschen.
- Complete Isolation: Das Gerät wird vollständig von jeglicher Netzwerkkommunikation abgeschnitten. In diesem Zustand können auf dem Gerät keine Remote-Aktionen durchgeführt werden, außer es aus der Isolierung freizugeben.
Voraussetzungen
- Lizenzierung: Diese Funktion steht Kunden mit einem aktiven Endpoint Detection and Response (EDR)-Plan zur Verfügung.
- Berechtigungen: Stellen Sie sicher, dass Ihr Konto über die erforderlichen Berechtigungen zum Verwalten von Bedrohungen und Geräteaktionen verfügt (siehe Rollenberechtigungen für Teammitglieder).
- Geräte: Diese Funktion ist nur für Geräte verfügbar, die Bedrohungen aufweisen (offen oder geschlossen), und kann über das Seitenpanel der Erkennungen aufgerufen werden.
Ein einzelnes Gerät isolieren
Sie können Geräte direkt auf der Seite Erkennungen isolieren, indem Sie das Seitenpanel einer bestimmten Erkennung aufrufen.1
Zu Detections navigieren
Navigieren Sie zur Seite Erkennungen (wählen Sie in der linken Navigation unter Endpoint die Option Erkennungen).
2
Seitenpanel öffnen
Wählen Sie eine bestimmte Erkennung aus, um das Seitenpanel zu öffnen.
3
Gerät suchen
Suchen Sie im Seitenpanel das Gerät, das Sie unter Quarantäne stellen möchten.
4
Isolierung einleiten
Bewegen Sie den Mauszeiger über das Isolate Globe Icon neben dem Gerätenamen. Es wird ein Tooltip mit dem Text Gerät vom Netzwerk isolieren. angezeigt. Wählen Sie das Symbol aus.
5
Isolierungstyp auswählen
Wählen Sie im Pop-up-Fenster zwischen Partial Isolation und Complete Isolation.
6
Kommentar hinzufügen
Geben Sie optional einen Grund für die Isolierung zu Auditzwecken ein.
7
Isolierung bestätigen
Wählen Sie Isolate Device, um zu bestätigen.
8
Fortschritt überwachen
Während das Gerät isoliert wird, wird eine Fortschrittsanzeige eingeblendet.
Mehrere Geräte isolieren (Massenaktion)
Bei Massenisolierungsaktionen muss als Bestätigungsschritt “ISOLATE” eingegeben werden, um eine versehentliche Quarantäne mehrerer Geräte zu verhindern.
1
Zu Detections navigieren
Navigieren Sie zur Seite Erkennungen (wählen Sie in der linken Navigation unter Endpoint die Option Erkennungen).
2
Seitenpanel öffnen
Wählen Sie eine bestimmte Erkennung aus, um das Seitenpanel zu öffnen.
3
Symbol für Massenaktion suchen
Bewegen Sie den Mauszeiger über das Isolate Globe Icon, das der Erkennung selbst zugeordnet ist (oben rechts im Panel, über der Geräteliste). Es wird ein Tooltip mit dem Text Alle Geräte isolieren (nur macOS). angezeigt. Wählen Sie das Symbol aus.
4
Massenisolierung einleiten
Wählen Sie das Symbol aus, um die Isolierung für alle an dieser Erkennung beteiligten Geräte einzuleiten.
5
Isolierungstyp auswählen
Wählen Sie im Pop-up-Fenster zwischen Partial Isolation und Complete Isolation.
6
Kommentar hinzufügen
Geben Sie optional einen Grund für die Isolierung zu Auditzwecken ein.
7
Massenaktion bestätigen
Um versehentliche Massenaktionen zu verhindern, geben Sie “ISOLATE” in das Bestätigungsfeld ein.
8
Isolierung abschließen
Wählen Sie Yes, isolate these devices, um zu bestätigen.
9
Fortschritt überwachen
Während die Geräte isoliert werden, wird eine Fortschrittsanzeige eingeblendet.
Isolierte Geräte erkennen
Sobald ein Gerät isoliert ist, wird sein Status in der Iru Endpoint Web App visuell angezeigt:- Visueller Hinweis: Im Seitenpanel einer Bedrohung zeigt das Gerätesymbol ein rotes Globussymbol mit Schloss an.
- Geräteeintrag: Der Geräteeintrag zeigt den Isolation status im oberen Bereich des Eintrags an.
- Filtern: Um alle derzeit unter Quarantäne stehenden Computer anzuzeigen, rufen Sie die Liste Detections auf und filtern Sie nach Erkennungen, die Isolated Devices enthalten.
Ein Gerät aus der Isolierung freigeben
Wenn eine Bedrohung neutralisiert wurde oder ein Gerät als sicher eingestuft wird, können Sie den Netzwerkzugriff wiederherstellen.1
Isoliertes Gerät suchen
Suchen Sie das isolierte Gerät im Seitenpanel von Detections.
2
Freigabe einleiten
Bewegen Sie den Mauszeiger über das Release Globe Icon rechts neben dem Gerät, das Sie aus der Isolierung freigeben möchten. Es wird ein Tooltip mit dem Text Gerät aus der Netzwerkisolierung freigeben. angezeigt. Wählen Sie das Symbol aus.
3
Freigabe bestätigen
Es wird ein Pop-up mit der Bitte um Bestätigung angezeigt.
4
Kommentar hinzufügen
Geben Sie optional einen Grund für die Freigabe zu Auditzwecken ein.
5
Freigabe abschließen
Wählen Sie Restore Access, um die Netzwerkkonnektivität wiederherzustellen.
6
Fortschritt überwachen
Während das Gerät aus der Isolierung freigegeben wird, wird eine Fortschrittsanzeige eingeblendet.
Alle Geräte aus der Isolierung freigeben
Wenn eine Bedrohung neutralisiert wurde oder Geräte als sicher eingestuft werden, können Sie den Netzwerkzugriff für alle isolierten Geräte auf einmal wiederherstellen.1
Isoliertes Gerät suchen
Suchen Sie das isolierte Gerät im Seitenpanel von Detections.
2
Freigabe einleiten
Bewegen Sie den Mauszeiger über das Release Globe Icon, das der Erkennung selbst zugeordnet ist (oben rechts im Panel, über der Geräteliste). Es wird ein Tooltip mit dem Text Alle zutreffenden Geräte freigeben. angezeigt. Wählen Sie das Symbol aus.
3
Freigabe bestätigen
Es wird ein Pop-up mit der Bitte um Bestätigung angezeigt.
4
Kommentar hinzufügen
Geben Sie optional einen Grund für die Freigabe zu Auditzwecken ein.
5
Freigabe abschließen
Wählen Sie Restore Access, um die Netzwerkkonnektivität wiederherzustellen.
6
Fortschritt überwachen
Während die Geräte aus der Isolierung freigegeben werden, wird eine Fortschrittsanzeige eingeblendet.
Was der Benutzer sieht
Wenn ein Gerät isoliert oder aus der Isolierung freigegeben wird, sieht der Benutzer auf seinem Bildschirm eine Meldung, die den Status seines Geräts erklärt.Wenn das Gerät offline ist
Der Benutzer sieht die folgende Meldung, wenn das Gerät isoliert wurde.
Wenn das Gerät online ist
Der Benutzer sieht die folgende Meldung, wenn das Gerät aus der Isolierung freigegeben wurde.
Häufige Fehler
Isolierungs- oder Freigabeaktionen können aufgrund des Gerätezustands oder der Netzwerkbedingungen manchmal fehlschlagen. In diesem Fall zeigt das Seitenpanel einer bestimmten Bedrohung für jedes Gerät einen Fehlerstatus an, damit Sie den Vorgang wiederholen oder untersuchen können.Isolierung fehlgeschlagen
Wenn die Isolierung eines Geräts fehlschlägt, weist das Isolate Globe Icon des Geräts einen roten Hinweis auf. Bewegen Sie den Mauszeiger über das Symbol, und es wird ein Tooltip mit dem Text Die Isolierung des Geräts ist fehlgeschlagen. Versuchen Sie es erneut. angezeigt. Wählen Sie es aus, um die Isolierung zu wiederholen.
Freigabe fehlgeschlagen
Wenn die Freigabe eines Geräts aus der Isolierung fehlschlägt, weist das Release Globe Icon des Geräts einen roten Hinweis auf. Bewegen Sie den Mauszeiger über das Symbol, und es wird ein Tooltip mit dem Text Die Freigabe des Geräts ist fehlgeschlagen. Versuchen Sie es erneut. angezeigt. Wählen Sie es aus, um die Freigabe aus der Isolierung zu wiederholen.
Fehlerbehebung
Wenn das Isolieren oder Freigeben eines Geräts nach mehreren Versuchen fehlschlägt, können Sie den Computer neu starten und es erneut versuchen. Sie können auch die Netzwerkverbindungen des Geräts überprüfen, um sicherzustellen, dass es mit WLAN oder Ethernet verbunden ist. Bei isolierten Geräten ist es normal, dass die Netzwerkverbindung den Status “No Internet Connection…” aufweist, das Gerät sollte aber weiterhin mit dem Netzwerk verbunden sein. Informationen zu Netzwerkanforderungen und zur Firewall-Konfiguration finden Sie unter Iru in Unternehmensnetzwerken verwenden.Überlegungen
- Dokumentation: Verwenden Sie das optionale Kommentarfeld für Isolierungs- und Freigabeaktionen, um Audit und Compliance zu unterstützen.
- Aktivitätsprotokollierung: Isolierungs- und Freigabeaktionen werden in der Unified Activity unter Erkennungen angezeigt.
- Incident Response: Integrieren Sie die Isolierung in Ihre übergeordneten Workflows; siehe Security-Operations-Aktionen für Status, Tags und zugehörige Steuerelemente.
- Untersuchung: Verwenden Sie die Geräteisolierung zusammen mit der Analyse von Bedrohungsereignissen, um Bedrohungen während der Untersuchung einzudämmen.
- Zeitpunkt der Freigabe: Stellen Sie den Netzwerkzugriff erst wieder her, nachdem die Bedrohung neutralisiert wurde und Sie bereit sind, das Gerät wieder ins Netzwerk zu lassen.
- Abstimmung: Stimmen Sie sich vor dem Isolieren von Geräten mit dem Sicherheits- oder IT-Team ab, damit die Verfahren zur Incident Response klar sind.