Konsultanci CrowdStrike Falcon i specjaliści ds. EDR

Konsultanci CrowdStrike Falcon z Digiventi sprawdzają pokrycie punktów końcowych ochroną i dostosowują konfigurację do wymagań operacyjnych. Przed zaleceniem zmian oceniają obecne ustawienia, w tym wykluczenia, które mogą osłabiać ochronę.

• Falcon Prevent: Konfigurują polityki zapobiegania zagrożeniom i testują zgodność aplikacji przed szerszym wdrożeniem.
• Wdrożenie i stan sensorów: Planują instalację w środowiskach Windows i Linux oraz diagnozują błędy łączności. Identyfikują urządzenia, z których brakuje oczekiwanej telemetrii.

Zmiany polityk testują na określonych grupach hostów. Przed wdrożeniem produkcyjnym dokumentują kroki wycofania zmian.

Specjaliści EDR analizują wykrycia w Falcon Insight XDR i ustalają, które urządzenia wymagają interwencji. Badają drzewa procesów oraz polecenia, aby odróżnić rutynową administrację od podejrzanego wykonania kodu.

Podczas incydentu zbierają dowody z punktów końcowych i korzystają z Real Time Response do zatwierdzonych czynności dochodzeniowych. Izolują hosty zgodnie z obowiązującym procesem autoryzacji. Dostrajają reguły detekcji, aby ograniczyć powtarzalne fałszywe alarmy bez tłumienia istotnych zachowań napastnika. Dokumentacja analizy daje zespołowi bezpieczeństwa podstawę do eskalacji lub działań naprawczych.

Eksperci poszukiwania zagrożeń badają podejrzane zachowania wymagające analizy wykraczającej poza istniejące alerty. Zaczynają od określonej hipotezy, na przykład dostępu do poświadczeń lub utrzymywania dostępu, i szukają potwierdzających ją dowodów w dostępnej telemetrii Falcon.

Mapują ustalenia na MITRE ATT&CK i tworzą własne reguły detekcji tam, gdzie uzasadniają to dowody. Sprawdzają logikę zapytań na znanej aktywności oraz dokumentują braki w telemetrii. Zakres analizy uwzględnia funkcje dostępne w posiadanej licencji i okres przechowywania danych, tak aby wnioski wynikały z informacji faktycznie dostępnych na platformie.

Specjaliści integrują Falcon z istniejącymi procesami bezpieczeństwa przez API i diagnozują błędy przesyłania zdarzeń. Zakres może obejmować przekazywanie danych do SIEM lub tworzenie zgłoszeń. Dla każdego połączenia sprawdzają uwierzytelnianie i uprawnienia dostępu.

W ramach bieżącego wsparcia inżynierowie Falcon diagnozują usterki sensorów i aktualizują przypisania polityk wraz ze zmianami środowiska. Konfigurują przepływy Falcon Fusion SOAR dla zatwierdzonych działań reagowania, testując warunki uruchomienia oraz obsługę wyjątków przed aktywacją. Zakres automatyzacji zależy od dostępnych subskrypcji i wymagań dotyczących zatwierdzania reakcji.