Rubriques Connexes

# À propos de Host Ransomware Prevention TDR

Les Host Sensors Threat Detection and Response comprennent Host Ransomware Prevention (HRP), une fonction permettant d'identifier, mettre en quarantaine les fichiers et terminer les processus dont le comportement est caractéristique des rançongiciels.

## Modes HRP

Vous pouvez activer Host Ransomware Prevention selon l'un des deux modes suivants :

- Détecter — Les Host Sensors recherchent les fichiers présentant les caractéristiques d'un rançongiciel et envoient des rapports à ce sujet à votre compte Threat Detection and Response en vue d'une intervention manuelle.
- Prévenir — Les Host Sensors détectent et terminent automatiquement les processus, et placent les fichiers présentant les caractéristiques d'un rançongiciel en quarantaine avant qu'ils ne commencent à chiffrer les fichiers. Les Host Sensors envoient des rapports à propos de ces activités à votre compte Threat Detection and Response en classant cet indicateur comme déjà traité. Si le Host Sensor ne parvient pas à exécuter entièrement l'action Prévenir de HRP, ces interventions sont également envoyées à votre compte TDR en vue d'une intervention manuelle.

Un utilisateur possédant le rôle Administrateur peut configurer le mode Host Ransomware Prevention dans les paramètres Host Sensor globaux. Un utilisateur possédant le rôle Opérateur peut configurer le mode Host Ransomware Prevention dans les Paramètres Host Sensor d'un groupe.

Lorsque vous activez HRP en mode Détecter ou Prévenir, le Host Sensor crée des dossiers et des fichiers fictifs masqués sur le point de terminaison. Si l'utilisateur supprime les fichiers masqués, le Host Sensor les recrée automatiquement lors du démarrage suivant.

## Actions et Indices de menace HRP

Lorsque HRP est configuré en mode Prévenir, le Host Sensor tente immédiatement d'entreprendre une action pour terminer et mettre en quarantaine le rançongiciel avant qu'il ne s'exécute et chiffre les fichiers. Cette action a lieu immédiatement, même si le Host Sensor ne peut pas se connecter à votre compte TDR ou à Internet.

Lors de la connexion suivante du Host Sensor à votre compte TDR, il envoie un rapport concernant l'évènement HRP ainsi que des informations concernant les éventuelles actions entreprises. ThreatSync crée un indicateur pour l'évènement HRP et lui assigne un Indice de Menace.

En mode Prévenir :

- Si l'action de traitement du Host Sensor réussit, l'incident HRP se voit assigner un Indice de Menace de 1 (Traité)
- Si l'action de traitement du Host Sensor échoue, l'incident HRP se voit assigner un Indice de Menace de 10 (Critique)

En mode Détecter, tous les incidents HRP se voient assigner un Indice de Menace de 7 (Elevé).

## Indicateurs HRP

Etant donné que les rançongiciels peuvent créer plusieurs processus, un indicateur HRP peut comprendre différentes actions visant à terminer ou mettre en quarantaine plusieurs processus ou fichiers liés à la menace détectée.

Pour filtrer la liste des indicateurs en affichant uniquement les indicateurs HRP :

1. Sélectionnez ThreatSync > Indicateurs.
2. Cliquez sur pour supprimer tous les filtres.
3. En haut de la colonne Indicateur, sélectionnez Host Ransomware Prevention.

Pour afficher la liste détaillée des actions et des fichiers liés à un indicateur HRP :

1. Cliquez sur Informations Supplémentaires dans la colonne Indicateur d'un indicateur HRP.
   La boîte de dialogue Informations Host Ransomware Prevention Supplémentaires s'affiche.

1. Dans la section Host Ransomware Prevention des détails de la menace, cliquez sur Détails.
   La boîte de dialogue Résumé du Comportement s'affiche et présente la liste des actions entreprises sur les fichiers liés à l'indicateur.

1. Pour afficher la liste complète des actions de l'indicateur, cliquez sur le lien en bas de la liste.
   Le Journal des Actions pour cet indicateur s'affiche.

Pour de plus amples informations concernant la page des Indicateurs, consultez Gérer les Indicateurs TDR.

## Actions HRP et Fichiers Mis en Quarantaine

Le Host Sensor peut mettre en quarantaine un ou plusieurs fichiers dans le cadre d'une action HRP. Vous pouvez afficher les actions Mise en quarantaine de Fichier dans les détails de l'indicateur HRP, comme indiqué à la section précédente.

Pour retirer de quarantaine les fichiers liés à un indicateur HRP, exécutez l'action Sortir le HRP de Quarantaine de l'indicateur. Pour plus d'informations, voir Retirer un Fichier de Quarantaine

## Actions et Liste Blanche HRP

Pour prévenir les rançongiciels, le Host Sensor agit immédiatement pour terminer le processus avant même d'envoyer son MD5 à TDR à des fins d'analyse. Par conséquent, si vous ajoutez le MD5 d'un fichier à la Liste Blanche, le Host Sensor peut toujours terminer le processus s'il détecte qu'il s'agit d'un rançongiciel.

Si vous souhaitez que le Host Sensor ignore un fichier même s'il présente les caractéristiques d'un rançongiciel, vous pouvez ajouter une Exclusion pour l'emplacement de son répertoire. Le Host Sensor obtient la liste des exclusions lorsqu'il démarre et lorsque la liste des exclusions est mise à jour. Pour plus d'informations, voir Configurer les Exclusions TDR.

#### Voir aussi

À propos des Indices de Menace TDR

Configurer les Paramètres de Host Sensor TDR

Gérer les Groupes TDR

Envoyer Vos Commentaires • Obtenir de l'Aide • Documentation Complète des Produits • Recherche Technique