Isoleer apparaat [FIX-9007]
Deze remediation isoleert een apparaat van het netwerk via de Microsoft Defender API. Het isolatietype (Full of Selective) wordt bepaald door de configuratie "Defender machine-isolatietype". Het is een containment-actie om een gecompromitteerd of verdacht apparaat van het netwerk af te snijden, terwijl het verbonden blijft met Microsoft Defender voor onderzoek en remediatie.
Isolatie is omkeerbaar. Het apparaat blijft gedurende de hele periode beheersbaar vanuit het Defender-portaal, en de connectiviteit wordt hersteld met de actie Release from isolation zodra het apparaat weer veilig online kan.
Reden
Wanneer een apparaat gecompromitteerd is, is het isoleren van het netwerk de snelste manier om te voorkomen dat een actieve aanval zich verspreidt. Network isolation verbreekt het vermogen van het apparaat om te communiceren met andere hosts en met command-and-control infrastructuur van de aanvaller, wat lateral movement, data exfiltration en ransomware-verspreiding indamt, terwijl het apparaat behouden blijft voor forensisch onderzoek in plaats van het te wissen of uit te schakelen.
Microsoft Defender ondersteunt twee isolatieniveaus. Full isolation blokkeert vrijwel al het netwerkverkeer behalve de verbinding van het apparaat met de Defender-service, en is de juiste keuze voor een actief gecompromitteerd endpoint. Selective isolation beperkt een smallere set verkeer en laat sommige applicaties (zoals Outlook en Teams) blijven werken; dit wordt gebruikt wanneer full isolation te verstorend zou zijn voor het risiconiveau. Met het geconfigureerde isolatietype kunt u de sterkte van de containment afstemmen op het incident.
Deze remediation POST naar de Defender isolate machine action API met het geconfigureerde isolatietype en een opmerking die Attic als initiator identificeert. Het vereist de Machine.Isolate permissie op de Microsoft Defender (WindowsDefenderATP) applicatie.
Fix
Een geautomatiseerde fix is beschikbaar via Attic.
Handmatige stappen:
- Navigeer naar het Microsoft Defender-portaal op https://security.microsoft.com
- Ga naar Assets > Devices
- Zoek en selecteer het betreffende apparaat
- Open de apparaatpagina en klik op Isolate device in de actiebalk
- Kies Full isolation of Selective isolation
- Vul een opmerking in waarom het apparaat wordt geïsoleerd
- Klik op Confirm en volg de voortgang op de Action center-pagina
- Wanneer het apparaat weer veilig online kan, gebruik Release from isolation op dezelfde apparaatpagina
Impact
- Het apparaat wordt van het netwerk afgesneden en kan niet meer communiceren met andere hosts of infrastructuur van de aanvaller.
- Het apparaat blijft verbonden met Microsoft Defender, zodat het beheersbaar blijft en op afstand kan worden vrijgegeven.
- Full isolation blokkeert vrijwel al het verkeer; Selective isolation laat een beperkte set applicaties blijven werken.
- De gebruiker verliest de netwerktoegang op dat apparaat totdat het wordt vrijgegeven; communiceer de containment als het apparaat van een actieve gebruiker is.
- De actie werkt alleen op apparaten die zijn onboarded in Microsoft Defender for Endpoint, en isolatie moet expliciet worden teruggedraaid met Release from isolation.
Terugdraaien
Isolatie is omkeerbaar en moet expliciet worden opgeheven. Het verloopt niet vanzelf.
- Ga naar het Microsoft Defender portaal op https://security.microsoft.com
- Ga naar Assets > Devices en selecteer het geïsoleerde apparaat
- Klik op Release from isolation in de actiebalk
- Voer een comment in waarin u vastlegt waarom het apparaat wordt vrijgegeven
- Bevestig en volg de actie op de Action center pagina
- Controleer bij de gebruiker of de netwerktoegang terug is
De connectiviteit is binnen enkele minuten hersteld zodra het apparaat de actie verwerkt. Is het apparaat offline, dan wordt de vrijgave in de wachtrij gezet en uitgevoerd zodra het weer incheckt bij Defender. Er hoeft verder niets te worden hersteld: isolatie wijzigt geen lokale configuratie.