Esta guía se aplica a computadoras Mac
Acerca del aislamiento de dispositivos
El aislamiento de dispositivos permite a los administradores cortar de inmediato la conexión de red de un dispositivo, lo que lo deja en cuarentena con respecto al resto de la flota. Se trata de una capacidad de respuesta fundamental cuando se sospecha que un dispositivo está comprometido o se encuentra bajo una amenaza activa. El aislamiento de dispositivos puede realizarse en dispositivos individuales o de forma masiva en todos los dispositivos asociados a una detección de amenaza específica.Cómo funciona
El aislamiento de dispositivos proporciona capacidades de cuarentena de red inmediata a las que se puede acceder directamente desde la página Detections. Cuando un dispositivo se aísla, su conectividad de red se restringe en función del tipo de aislamiento seleccionado. Los administradores pueden supervisar los dispositivos aislados mediante indicadores visuales en la Iru Endpoint Web App y restaurar el acceso a la red una vez neutralizada la amenaza. El estado de aislamiento se refleja en tiempo real en la página Detections y en los registros de los dispositivos.Tipos de aislamiento
Hay dos niveles de aislamiento disponibles, en función de la gravedad de la amenaza y del nivel de acceso que necesites mantener:- Aislamiento parcial: el dispositivo se desconecta de la red, pero el agente MDM mantiene una conexión. Esto permite a los administradores realizar acciones de corrección específicas, como borrar el dispositivo de forma remota.
- Aislamiento completo: el dispositivo queda completamente aislado de toda comunicación de red. Mientras el dispositivo está en este estado, no se puede realizar ninguna acción remota en él, salvo liberarlo del aislamiento.
Requisitos previos
- Licencias: esta función está disponible para los clientes con un plan activo de Endpoint Detection and Response (EDR).
- Permisos: asegúrate de que tu cuenta tenga los permisos necesarios para gestionar amenazas y acciones de dispositivos (consulta Permisos de los roles de los miembros del equipo).
- Dispositivos: esta función solo está disponible para los dispositivos que tienen amenazas (abiertas o cerradas) y se puede acceder a ella a través del panel lateral de detecciones.
Aislar un solo dispositivo
Puedes aislar dispositivos directamente desde la página Detecciones accediendo al panel lateral de una detección específica.1
Ir a Detections
Ve a la página Detecciones (selecciona Detecciones en Endpoint en la navegación del lado izquierdo).
2
Abrir el panel lateral
Selecciona una detección específica para abrir el panel lateral.
3
Localizar el dispositivo
En el panel lateral, localiza el dispositivo específico que deseas poner en cuarentena.
4
Iniciar el aislamiento
Pasa el cursor sobre el icono de globo Isolate junto al nombre del dispositivo; se mostrará un mensaje emergente que dice Aislar el dispositivo de la red. Selecciona el icono.
5
Seleccionar el tipo de aislamiento
En la ventana emergente, elige entre Partial Isolation y Complete Isolation.
6
Añadir un comentario
Opcionalmente, introduce un motivo para el aislamiento con fines de auditoría.
7
Confirmar el aislamiento
Selecciona Isolate Device para confirmar.
8
Supervisar el progreso
Aparece un indicador de progreso mientras se aísla el dispositivo.
Aislar varios dispositivos (acción masiva)
Las acciones de aislamiento masivo requieren escribir “ISOLATE” como paso de confirmación para evitar la cuarentena accidental de varios dispositivos.
1
Ir a Detections
Ve a la página Detecciones (selecciona Detecciones en Endpoint en la navegación del lado izquierdo).
2
Abrir el panel lateral
Selecciona una detección específica para abrir el panel lateral.
3
Localizar el icono de acción masiva
Pasa el cursor sobre el icono de globo Isolate asociado a la propia detección (en la parte superior derecha del panel, encima de la lista de dispositivos); se mostrará un mensaje emergente que dice Aislar todos los dispositivos (solo macOS). Selecciona el icono.
4
Iniciar el aislamiento masivo
Selecciona el icono para iniciar el aislamiento de todos los dispositivos implicados en esta detección.
5
Seleccionar el tipo de aislamiento
En la ventana emergente, elige entre Partial Isolation y Complete Isolation.
6
Añadir un comentario
Opcionalmente, introduce un motivo para el aislamiento con fines de auditoría.
7
Confirmar la acción masiva
Para evitar acciones masivas accidentales, escribe “ISOLATE” en el campo de confirmación.
8
Completar el aislamiento
Selecciona Yes, isolate these devices para confirmar.
9
Supervisar el progreso
Aparece un indicador de progreso mientras se aíslan los dispositivos.
Identificar los dispositivos aislados
Una vez que un dispositivo está aislado, su estado se indica visualmente en la Iru Endpoint Web App:- Indicador visual: en el panel lateral de una amenaza, el icono del dispositivo mostrará un símbolo de globo rojo con candado.
- Registro del dispositivo: el registro del dispositivo mostrará el Isolation status cerca de la parte superior del registro.
- Filtrado: para ver todas las máquinas en cuarentena en este momento, ve a la lista Detections y filtra las detecciones que contienen Isolated Devices.
Liberar un dispositivo del aislamiento
Cuando se haya neutralizado una amenaza o se considere que un dispositivo es seguro, puedes restaurar el acceso a la red.1
Localizar el dispositivo aislado
Localiza el dispositivo aislado en el panel lateral de Detections.
2
Iniciar la liberación
Pasa el cursor sobre el icono de globo Release a la derecha del dispositivo que deseas liberar del aislamiento; se mostrará un mensaje emergente que dice Liberar el dispositivo del aislamiento de red. Selecciona el icono.
3
Confirmar la liberación
Aparecerá una ventana emergente que solicita confirmación.
4
Añadir un comentario
Opcionalmente, introduce un motivo para la liberación con fines de auditoría.
5
Completar la liberación
Selecciona Restore Access para restaurar la conectividad de red.
6
Supervisar el progreso
Aparece un indicador de progreso mientras se libera el dispositivo del aislamiento.
Liberar todos los dispositivos del aislamiento
Cuando se haya neutralizado una amenaza o se considere que los dispositivos son seguros, puedes restaurar el acceso a la red de todos los dispositivos aislados a la vez.1
Localizar el dispositivo aislado
Localiza el dispositivo aislado en el panel lateral de Detections.
2
Iniciar la liberación
Pasa el cursor sobre el icono de globo Release asociado a la propia detección (en la parte superior derecha del panel, encima de la lista de dispositivos); se mostrará un mensaje emergente que dice Liberar todos los dispositivos aplicables. Selecciona el icono.
3
Confirmar la liberación
Aparecerá una ventana emergente que solicita confirmación.
4
Añadir un comentario
Opcionalmente, introduce un motivo para la liberación con fines de auditoría.
5
Completar la liberación
Selecciona Restore Access para restaurar la conectividad de red.
6
Supervisar el progreso
Aparece un indicador de progreso mientras se liberan los dispositivos del aislamiento.
Lo que ve el usuario
Cuando un dispositivo se aísla o se libera del aislamiento, el usuario ve un mensaje en su pantalla que explica el estado de su dispositivo.Cuando el dispositivo está sin conexión
El usuario ve el siguiente mensaje cuando el dispositivo ha sido aislado.
Cuando el dispositivo está en línea
El usuario ve el siguiente mensaje cuando el dispositivo ha sido liberado del aislamiento.
Errores comunes
Las acciones de aislamiento o liberación pueden fallar a veces debido al estado del dispositivo o a las condiciones de la red. Cuando esto ocurre, el panel lateral de una amenaza específica muestra un estado de error para cada dispositivo para que puedas volver a intentarlo o investigar.Error al aislar
Si falla el aislamiento de un dispositivo, el icono de globo Isolate del dispositivo tendrá un indicador rojo. Pasa el cursor sobre el icono y se mostrará un mensaje emergente que dice No se pudo aislar el dispositivo. Inténtalo de nuevo. Selecciónalo para volver a intentar el aislamiento.
Error al liberar
Si falla la liberación de un dispositivo del aislamiento, el icono de globo Release del dispositivo tendrá un indicador rojo. Pasa el cursor sobre el icono y se mostrará un mensaje emergente que dice No se pudo liberar el dispositivo. Inténtalo de nuevo. Selecciónalo para volver a intentar liberarlo del aislamiento.
Solución de problemas
Si el aislamiento o la liberación de un dispositivo falla tras varios intentos, puedes reiniciar la computadora y volver a intentarlo. También puedes comprobar las conexiones de red del dispositivo para asegurarte de que esté conectado a Wi-Fi o Ethernet. En los dispositivos aislados, es normal que la conexión de red tenga el estado “No Internet Connection…”, pero debería seguir conectada a la red. Para conocer los requisitos de red y la configuración del firewall, consulta Usar Iru en redes empresariales.Consideraciones
- Documentación: usa el campo de comentario opcional de las acciones de aislamiento y liberación para facilitar la auditoría y el cumplimiento.
- Registro de actividad: las acciones de aislamiento y liberación aparecen en Unified Activity en Detecciones.
- Respuesta a incidentes: integra el aislamiento en tus flujos de trabajo más amplios; consulta las acciones de operaciones de seguridad para conocer el estado, las etiquetas y los controles relacionados.
- Investigación: usa el aislamiento de dispositivos junto con el análisis de eventos de amenazas para contener las amenazas mientras investigas.
- Momento de la liberación: restaura el acceso a la red solo después de que se haya neutralizado la amenaza y estés listo para permitir que el dispositivo vuelva a la red.
- Coordinación: coordínate con el equipo de seguridad o de IT antes de aislar dispositivos para que los procedimientos de respuesta a incidentes estén claros.