Rubriques Connexes

# Retirer un Fichier de Quarantaine

Le Host Sensor TDR peut mettre en quarantaine un fichier lorsqu'il effectue l'action Mettre le Fichier en Quarantaine ou dans le cadre d'une action de Host Ransomware Prevention (HRP). Lorsque le Host Sensor met un fichier en quarantaine, il le chiffre puis l'enregistre localement sur l'hôte. Sur l'hôte, le Host Sensor Windows enregistre les fichiers mis en quarantaine à l'emplacement suivant :

c:\Program Files (x86)\WatchGuard\Threat Detection and Response\quarantine

Le fichier chiffré demeure dans le répertoire de quarantaine de l'hôte pendant le nombre de jours spécifié dans le paramètre Vieillissement des Fichiers Mis en Quarantaine. Pour plus d'informations, voir Configurer le Vieillissement des Fichiers Mis en Quarantaine

Si vous estimez qu'un fichier mis en quarantaine ne représente pas de menace, vous pouvez l'en extraire pendant une durée maximale de 60 jours, du moment que le fichier demeure sur l'hôte.

A l'issue des 60 jours, il est impossible d'annuler l'action de mise en quarantaine, même si le fichier mis en quarantaine demeure sur l'hôte. En effet, les incidents sont automatiquement supprimés de votre compte TDR au bout de 60 jours.

L'action de retirer un fichier de quarantaine dépend si le Host Sensor a mis en quarantaine le fichier dans le cadre d'une action Mettre le Fichier en Quarantaine ou d'une action de Host Ransomware Prevention (HRP). Vous pouvez décocher l'action pour retirer un fichier de quarantaine sur la page Indicateur ou la page Incidents.

Lorsque vous retirez un fichier de quarantaine, celui-ci est automatiquement ajouté à la liste blanche.

## Retirer un Fichier de Quarantaine depuis la Page Indicateurs

Pour rechercher l'indicateur et retirer un fichier de quarantaine :

1. Connectez-vous à TDR Web UI avec un utilisateur possédant le rôle Opérateur.
2. Sélectionnez ThreatSync > Indicateurs.
3. Sélectionnez la plage temporelle correspondant à la période durant laquelle le fichier a été mis en quarantaine.
4. Pour réinitialiser les filtres par défaut, cliquez sur .
5. Dans la colonne Action Demandée, configurez le filtre pour afficher uniquement l'action Mettre le Fichier en Quarantaine.
6. Dans l'en-tête de colonne Résultat, configurez le filtre de manière à afficher uniquement les actions Réussies.
7. Dans la zone de texte Critères de recherche, saisissez le nom de l’hôte.
8. Recherchez l'indicateur du fichier que vous souhaitez retirer de quarantaine.
9. Cochez la case située en face de l'indicateur. Vous pouvez sélectionner plusieurs indicateurs.
10. Pour retirer le fichier de quarantaine pour les indicateurs sélectionnés, sélectionnez l'action disponible dans la liste déroulante Actions. L'action à votre disposition dépend si le fichier a été mis en quarantaine suite à une action de Host Ransomware Prevention (HRP) ou une action Mettre le Fichier en Quarantaine.
    - Si le fichier a été mis en quarantaine suite à une action HRP, sélectionnez Sortir le HRP de quarantaine.
      Cette action retire de quarantaine tous les fichiers liés à cette action HRP sur l'hôte et ajoute les fichiers à la Liste Blanche.
    - Si le fichier a été mis en quarantaine suite à une action Mettre le Fichier en Quarantaine, sélectionnez Sortir le fichier de quarantaine.
      Cette action retire de quarantaine le fichier dans cet indicateur sur l'hôte et ajoute le fichier à la liste blanche.
11. Cliquez sur Exécuter l'Action.
    TDR envoie un message au Host Sensor pour retirer le fichier de quarantaine.

## Retirer un Fichier de Quarantaine depuis la Page Incidents

Pour rechercher l'indicateur et retirer un fichier de quarantaine :

1. Connectez-vous à TDR Web UI avec un utilisateur possédant le rôle Opérateur.
2. Sélectionnez ThreatSync > Incidents.
3. Sélectionnez la plage temporelle correspondant à la période durant laquelle le fichier a été mis en quarantaine.
4. Saisissez le nom d'hôte dans la zone de texte Critères de Recherche.
5. Pour afficher les incidents indépendamment de leur indice, cliquez sur .
   Le filtre d'indice par défaut est supprimé.
6. Pour développer les détails de l'incident, cliquez sur .
   La liste des indicateurs de l'hôte s'affiche.

1. Dans la liste des indicateurs de l'incident en haut de la colonne Indice, configurez le filtre de manière à afficher uniquement les incidents présentant un indice de 1. Cliquez sur Appliquer.
   Les indicateurs correspondant aux actions réussies s'affichent.
2. Recherchez l'indicateur du fichier correctement mis en quarantaine.
3. Dans la colonne Actions Manuelles, cliquez sur Sélectionner une Action.
   La boîte de dialogue Actions Manuelles s'affiche.

La boîte de dialogue Actions Manuelles de l'indicateur d'un Fichier Mis en Quarantaine

La boîte de dialogue Actions Manuelles d'un indicateur HRP.

1. La boîte de dialogue Actions Manuelles vous permet de sélectionner les actions suivantes :
   - Pour retirer un fichier de quarantaine, cochez la case Annuler correspondant au fichier.
     Cette option retire de quarantaine le fichier spécifié dans cet indicateur sur l'hôte et ajoute le fichier à la Liste Blanche.
   - Pour un indicateur Host Ransomware Prevention, pour retirer de quarantaine tous les fichiers mis en quarantaine compris dans cet indicateur, cochez la case Sortir le HRP de Quarantaine.
     Cette option retire de quarantaine tous les fichiers liés à l'action HRP et ajoute les fichiers à la Liste Blanche.
2. Pour exécuter les actions sélectionnées cliquez sur Exécuter les Actions Sélectionnées.
   TDR envoie un message au Host Sensor pour retirer le fichier de quarantaine.
3. Cliquez sur Fermer.

Après avoir exécuté l'action visant à retirer un fichier de quarantaine, la colonne Action Demandée/Résultat indique l'action Retirer un Fichier de Quarantaine et le résultat En Cours. Une fois le fichier retiré de quarantaine, le résultat passe à Réussi.

Lorsque vous exécutez une action visant à retirer un fichier de quarantaine, la valeur MD5 de ce fichier est automatiquement ajoutée à la Liste Blanche en tant que signature de remplacement. Si l'action de mise en quarantaine échoue car le fichier n'existe plus sur l'hôte, la valeur MF5 du fichier est tout de même ajoutée à la Liste Blanche. Pour de plus amples informations concernant la Liste Blanche, consultez Configurer les Signatures de Remplacement TDR.

#### Voir aussi

Gérer les Indicateurs TDR

À propos des Indices de Menace TDR

Actions de Traitement et Indices de Menace TDR

Envoyer Vos Commentaires • Obtenir de l'Aide • Documentation Complète des Produits • Recherche Technique