S'applique À : WatchGuard Advanced EPDR
Le tableau de bord Sécurité d'Advanced EPDR offre une synthèse de l'état de sécurité du réseau au cours d'une période donnée. Différentes mosaïques indiquent les informations importantes et offrent des liens permettant d'obtenir davantage de détails.
Sélecteur de Période
Le tableau de bord affiche les informations de la période que vous sélectionnez dans la liste déroulante située en haut de la page Etat.
Vous pouvez choisir ces périodes :
- Dernières 24 heures
- 7 derniers jours
- Dernier mois
- Dernière année
Certaines mosaïques n'affichent pas les informations relatives à l'année précédente. Si les informations de l'année dernière ne sont pas disponibles pour une mosaïque spécifique, une notification apparaît.
Le tableau de bord Sécurité comprend les mosaïques suivantes :
- Etat de la Protection
- Ordinateurs Hors Ligne
- Protection Obsolète
- Eléments Détectés Autorisés par l'Administrateur
- Programmes Bloqués par l'Administrateur
- Classification de Tous les Programmes Exécutés et Analysés
- Détections par Stratégies de Sécurité Avancées
- Activité des Logiciels Malveillants, Activité des PPI et Activité des Exploitations
- Activité d'Attaque Réseau
- Programmes Actuellement Bloqués pour Classification
- Menaces Détectées par l'Antivirus
Cliquez sur une mosaïque pour afficher les informations détaillées.
Icônes d'État
Les icônes des colonnes Protection Avancée, Antivirus, Protection Mise à Jour et Base de Connaissances indiquent leur état :
-
— Installation -
— Démarré -
— Désactivé -
— Erreur -
— Aucune Licence -
— Non Disponible -
— En Attente de Redémarrage
Etat de la Protection
La mosaïque Etat de la Protection indique les éléments suivants :
- Ordinateurs sur lesquels Advanced EPDR fonctionne correctement et sur lesquels il ne fonctionne pas.
- Ordinateurs avec des erreurs d'installation ou des problèmes.
- Ordinateurs avec le mode audit activé.
Le nombre total d'ordinateurs et de périphériques au centre de la mosaïque inclut les périphériques iOS. La mosaïque ne contient aucune autre information sur les périphériques iOS. Ces périphériques ne disposent pas de protection avancée ni d'antivirus. Pour de plus amples informations, accédez à Configurer les Paramètres du Périphérique iOS.
Cliquez sur la mosaïque pour ouvrir la liste Etat de la Protection de l'Ordinateur.
Toutes les colonnes ne sont pas disponibles pour chaque type de périphérique.
Pour filtrer la liste Etat de la Protection de l'Ordinateur :
- Cliquez sur Filtres.
- Sélectionnez le Type d'Ordinateur.
- Spécifiez les paramètres de plate-forme, de connexion et de protection.
- Sélectionnez Etat de la Protection.
- Sélectionnez Etat d'Isolation.
- Cliquez sur Filtrer.
Ordinateurs Hors Ligne
La mosaïque Ordinateurs Hors Ligne indique le nombre d'ordinateurs qui ne se sont pas connectés au cloud depuis un certain nombre de jours.
Cliquez sur la mosaïque pour consulter les détails des ordinateurs sensibles aux problèmes de sécurité nécessitant une attention particulière.
Pour plus d'informations sur les icônes utilisées dans cette liste, accédez à Icônes.
Protection Obsolète
La mosaïque Protection Obsolète indique le nombre d'ordinateurs dont le fichier de signatures date de plus de trois jours par rapport au dernier fichier publié. La mosaïque indique également le nombre d'ordinateurs dont le moteur antivirus date de plus de sept jours par rapport au dernier moteur publié.
- Protection — L'ordinateur dispose d'une version du moteur antivirus plus ancienne que la dernière version publiée.
- Base de Connaissances — L'ordinateur n'a pas mis à jour son fichier de signatures depuis au moins trois jours.
- En Attente de Redémarrage — L'ordinateur nécessite un redémarrage pour terminer la mise à jour.
Cliquez sur la barre de progression de la mosaïque pour consulter la liste des ordinateurs associés à chaque état :
- Ordinateurs avec protection obsolète
- Ordinateurs avec base de connaissances obsolète
- Ordinateurs en attente de redémarrage
Eléments Détectés Autorisés par l'Administrateur
La mosaïque Eléments Détectés Autorisés par l'Administrateur indique le nombre de programmes Autorisés par l'administrateur dont Advanced EPDR a initialement bloqué l'exécution. Advanced EPDR a classifié ces programmes comme menaces (logiciel malveillant, PPI ou exploit) ou fichiers inconnus en cours de classification.
Cliquez sur la mosaïque pour afficher des informations spécifiques dans une liste.
Pour consulter tous les événements liés aux menaces et aux fichiers inconnus en cours de classification dont l'administrateur a autorisé l'exécution, cliquez sur Historique.
Programmes Bloqués par l'Administrateur
La mosaïque Programmes Bloqués par l'Administrateur indique le nombre de programmes bloqués par l'administrateur sur les ordinateurs du réseau.
Cliquez sur la mosaïque pour afficher des informations spécifiques dans une liste.
Classification de Tous les Programmes Exécutés et Analysés
Cette mosaïque indique les processus et programmes exécutés dans votre entreprise au cours de la période sélectionnée ainsi que leur classification (par exemple les programmes de confiance ou les logiciels malveillants).
Les données de cette mosaïque correspondent à l'ensemble du réseau informatique, sans se limiter aux ordinateurs sur lesquels l'administrateur possède des permissions.
Les programmes en cours de classification s'affichent dans la mosaïque une fois qu'Advanced EPDR les classifie.
Classification des Programmes
- Programmes de Confiance — Programmes exécutés au cours de la période sélectionnée qu'Advanced EPDR a classifiés comme approuvés.
- Logiciel Malveillant — Programmes ayant tenté de s'exécuter au cours de la période sélectionnée et qu'Advanced EPDR a classifiés comme logiciel malveillant, menaces inédites ou attaques ciblées.
- Exploitations — Attaques d'exploitation ayant compromis ou tentés de compromettre des programmes de confiance sur des ordinateurs.
- PPI (Programmes Potentiellement Indésirables) — Programmes ayant tenté de s'exécuter au cours de la période sélectionnée, qu'Advanced EPDR a classifiés comme PPI.
Détections par Stratégies de Sécurité Avancées
Cette mosaïque affiche le nombre total de scripts suspects bloqués et de programmes inconnus utilisant des techniques d'infection avancées.
Cliquez sur la mosaïque pour ouvrir une liste d'éléments bloqués par les stratégies de sécurité avancées. Lorsque vous sélectionnez un élément dans la liste, la page Bloqué par Stratégie de Sécurité Avancée s'ouvre. Pour de plus amples informations, accédez à Détections par Stratégies de Sécurité Avancées — Détails de Bloquer.
Stratégies de Sécurité Avancées
- PowerShell avec Paramètres Suspects — Nombre de fois où l'interpréteur PowerShell a reçu des paramètres suspects pouvant entraîner l'exécution d'opérations dangereuses sur l'ordinateur protégé.
- PowerShell Exécuté par l'Utilisateur — Nombre de tentatives d'exécution d'un script PowerShell surveillé par un compte interactif capable d'exécuter des opérations dangereuses sur l'ordinateur protégé.
- Script Inconnu — Nombre de tentatives d'exécution d'un script qui n'a pas encore été classifié par l'équipe de renseignement de sécurité de WatchGuard.
- Programme Compilé Localement — Nombre de tentatives d'exécution d'un programme inconnu de l'équipe de renseignement de sécurité de WatchGuard car il a été compilé sur l'ordinateur de l'utilisateur.
- Document avec Macros — Nombre de tentatives d'ouverture d'un document Office avec des macros.
- Modification du Registre pour une Exécution au Démarrage de Windows — Nombre de fois qu'un programme a tenté d'ajouter une clé de registre Windows pour obtenir de la persistance sur l'ordinateur et se charger avec le système d'exploitation à chaque redémarrage du système.
- Blocage des Programmes par Valeur MD5 ou SHA-256 — Nombre de fois qu'un programme a été bloqué parce qu'il était inclus dans la liste de blocage par MD5 ou SHA-256 définie par l'administrateur.
- Blocage des Programmes par Nom — Nombre de fois qu'un programme a été bloqué parce qu'il figurait dans la liste de blocage par nom définie par l'administrateur.
Regroupement de Détections
Pour éviter de nombreuses instances de la même détection, Advanced EPDR signale la première détection séparément. Ensuite, toutes les heures après la première détection, Advanced EPDR regroupe toutes les autres détections du même type en une seule détection.
Pour déterminer si deux détections sont du même type, Advanced EPDR crée une clé pour chaque détection avec les informations suivantes :
- Identifiant de l'appareil
- Règle de stratégie de sécurité avancée qui a généré la détection
- Hachage MD5 ou SHA-256 de l'élément impliqué dans la détection pour ces règles :
- Scripts inconnus
- Programmes compilés localement
- Documents avec macros
- Modification du Registre pour une exécution au démarrage de Windows
- Bloquer des programmes
Activité des Logiciels Malveillants, Activité des PPI et Activité des Exploitations
Ces mosaïques indiquent les incidents détectés dans les processus exécutés par les stations de travail et les serveurs du réseau ainsi que dans leurs systèmes de fichiers. Les incidents sont signalés par les analyses en temps réel et les tâches d'analyse à la demande.
Advanced EPDR génère un incident dans les mosaïques Activité des Logiciels Malveillants et Activité des PPI pour chaque paire d'ordinateurs ou de menaces détectée sur le réseau. Si un incident se produit plusieurs fois en cinq minutes, Advanced EPDR n'enregistre que le premier incident. Un même incident peut être enregistré au maximum deux fois toutes les 24 heures.
- Exécuter affiche le nombre de logiciels malveillants exécutés avec succès sur le réseau.
- Ont Accédé à des Données indiquent le nombre de fois où la menace a accédé aux informations d'utilisateur sur le disque dur de l'ordinateur.
- Les Connexions Externes indiquent le nombre de connexions à d'autres ordinateurs.
-
Les menaces copiées depuis les ordinateurs du réseau affichent l'adresse IP de l'ordinateur à l'origine de l'infection, ainsi que le nombre de fois que cette adresse IP a été à l'origine d'une détection (entre parenthèses). Pour ouvrir la liste correspondante, cliquez sur l'adresse IP.
- Pour ouvrir les listes Activité des Logiciels Malveillants ou Activité des PPI afin d'afficher une liste des ordinateurs concernés et des incidents de logiciels malveillants ou de PPI, cliquez sur la mosaïque.
Lorsqu'un ordinateur est en mode Audit et que l'utilisateur autorise un incident de logiciel malveillant bloqué, l'action s'affiche dans la liste Activité des Logiciels Malveillants comme Autorisé (mode Audit). Pour autoriser un incident bloqué, cliquez sur la mosaïque Activité des Logiciels Malveillants et sélectionnez l'ordinateur concerné dans la liste. À côté de l'Action, cliquez sur 
et dans la fenêtre contextuelle qui s'ouvre, cliquez sur Ne Plus Détecter.
Activité des Exploitations
La mosaïque Activité des Exploitations indique le nombre d'attaques d'exploitation de vulnérabilité ayant ciblé les ordinateurs Windows du réseau, y compris les détections de pilotes vulnérables. Advanced EPDR signale un incident dans la mosaïque Activité des Exploitations pour chaque ordinateur ou paire d'attaques d'exploit détectée sur le réseau. Si une attaque se répète plusieurs fois, Advanced EPDR signale au maximum 10 incidents toutes les 24 heures pour chaque paire ordinateur-exploit détectée.
Cliquez sur la mosaïque pour ouvrir la liste Activité des Exploitations afin d'afficher une liste des ordinateurs concernés et des incidents d'exploitation.
Activité d'Attaque Réseau
La mosaïque Activité d'Attaque Réseau indique le nombre de tentatives d'attaque réseau contre des ordinateurs Windows sur le réseau. Advanced EPDR crée un seul incident par heure pour chaque groupe d'attaques du même type et avec la même adresse IP source.
Pour ouvrir la liste Activité d'Attaque Réseau afin d'afficher une liste des ordinateurs concernés et des incidents d'exploitation, cliquez sur la mosaïque.
Programmes Actuellement Bloqués pour Classification
La mosaïque Programmes Actuellement Bloqués pour Classification indique le nombre de programmes qu'Advanced EPDR bloque actuellement.
Les applications bloquées ont l'une de ces couleurs :
- Orange — Applications présentant une probabilité moyenne d'être des logiciels malveillants.
- Orange Foncé — Applications présentant une forte probabilité d'être des logiciels malveillants.
- Rouge — Applications présentant une très forte probabilité d'être des logiciels malveillants.
Les menaces copiées depuis les ordinateurs du réseau affichent l'adresse IP de l'ordinateur à l'origine de l'infection, ainsi que le nombre de fois que cette adresse IP a été à l'origine d'une détection (entre parenthèses). Pour ouvrir la liste correspondante, cliquez sur l'adresse IP.
Cliquez sur la mosaïque pour afficher la liste des fichiers qu'Advanced EPDR a jugé risqués avant leur classification. Pour supprimer un programme de la liste, dans le menu d'options 
d'un ordinateur, sélectionnez Supprimer de la liste.
Endpoint Security continue de considérer ces éléments supprimés comme inconnus. S'ils tentent de s'exécuter à nouveau, ils réapparaissent dans la liste Programmes Actuellement Bloqués pour Classification.
Menaces Détectées par l'Antivirus
Cette mosaïque indique toutes les tentatives d'intrusion détectées par Advanced EPDR au cours de la période sélectionnée. Les données englobent tous les vecteurs d'infection et toutes les plates-formes prises en charge. Les administrateurs peuvent obtenir les données spécifiques (volume, type, forme d'attaque) du logiciel malveillant.
Cliquez sur la mosaïque pour obtenir les informations détaillées concernant les menaces détectées.
À Propos de Mes Listes dans Watchguard Endpoint Security
Liste Ordinateurs Non Gérés Découverts
Protection contre les Attaques Réseau — Types d'Attaques Détectées (Ordinateurs Windows)