# Painel & Relatórios
Utilizando a aplicação web da Cyber Crucible - visibilidade de agentes, atividade de processos, análises de memória e relatórios executivos.
# A Cyber Crucible pode responder silenciosamente a um ataque, mas sem me alertar/notificar?
Você pode constatar que existem cenários legítimos em que não deseja que uma aplicação faça algo (provavelmente nas suas máquinas), mas não precisa ser notificado sempre que isso ocorrer.
Esta é uma situação diferente daquela em que você precisa de algo na lista de permissões (whitelist), na qual nenhuma ação é tomada pela prevenção de extorsão de dados da Cyber Crucible.
A funcionalidade que você está procurando é a de respostas automáticas silenciosas.
# Tornando uma resposta automática existente silenciosa no futuro:
Primeiro, vá para a página Manage Incidents. Em breve, estaremos alterando o nome para Manage Responses.
Segundo, clique no botão de alto-falante/volume, conforme mostrado abaixo.
- [Análise de Memória](#bkmrk-memory-analytics)
- [Análise de Injeção de Processos](#bkmrk-process-injection-an)
- [Análise de Criação de Processos](#bkmrk-process-creation-ana)
- [Juntando tudo - uma investigação completa](#bkmrk-putting-it-altogethe)
- [Por que escolhemos mostrar este exemplo?](#bkmrk-why-did-we-choose-to)
As injeções de processo são uma capacidade de engenharia de software que pode surgir em um contexto não malicioso, ou ser usada diretamente por um atacante. Na verdade, a injeção de processo e as técnicas associadas são uma das favoritas dos atacantes, por uma variedade de razões que estão fora do escopo deste artigo (mas, se você perguntar, podemos indicar treinamentos).
A Cyber Crucible expõe eventos de injeção de processo em nível de kernel. Isso significa que você tem visibilidade completa de todos os processos e suas informações, independentemente das permissões desse processo. Algo que descobrimos é que, uma vez que atacantes ou software atingem um certo nível de permissões, muitas das fontes tradicionais de telemetria para ferramentas de segurança ficam em silêncio. Nunca perder um dado importante e nunca ficar em silêncio é uma grande parte do nosso design de produto de confiança zero.
Na página de Injeções de Processo, você verá o seguinte por evento, com filtros disponíveis para refinar suas consultas:
[CC\_Showing\_All\_Process\_Injection\_Columns.mp4](%5BATTACHMENT%3ACC_Showing_All_Process_Injection_Columns.mp4%5D)Normalmente, no decorrer de uma investigação, você constatará que há atividade adicional na página de Criação de Processo.
# O que a Página de Criações de Processos mostra?
É muito raro, possivelmente nunca, que um atacante execute um ataque inteiro a partir de dentro de um único processo.
O fato de uma ferramenta de ataque ou uma biblioteca do Windows estar utilizando múltiplos processos e programas do Windows é, por vezes, invisível para os usuários do malware (ou seja, os criminosos).
Os comportamentos de processos representam uma fonte importante de variáveis durante a tomada de decisão da Cyber Crucible, a qual envolve indicadores comportamentais provenientes de diversas fontes.
Por vezes, esses comportamentos de processos podem, em última instância, resultar na suspensão de um processo devido a roubo de dados ou criptografia por ransomware, podendo ser rastreados desde o ponto de entrada do atacante no sistema até a execução final do software de extorsão.
Em outras ocasiões, o rastreamento de processos pode identificar acesso remoto não autorizado, fraude, ameaça interna ou software inesperado, mas não extorsão de dados. Ou seja, algo que o software de prevenção de extorsão de dados da Cyber Crucible não suspenderá automaticamente, mas que ainda assim é importante conhecer.
Independentemente de os dados do processo fazerem parte de um ataque de extorsão de dados, de outro evento digno de nota, ou apenas de um comportamento normal do programa, as informações de origem e destino dos programas, incluindo os argumentos do programa, são disponibilizadas. Isso fornece um conjunto rico de dados para rastrear atacantes, inclusive aqueles que utilizam táticas de “[living off the land](https://medium.com/threat-intel/what-is-living-off-the-land-ca0c2e932931)”.
Abaixo está uma captura de tela do tipo de dados que podem ser coletados a partir das criações de processos.
[CC\_process\_creation\_demo.mp4](%5BATTACHMENT%3ACC_process_creation_demo.mp4%5D)
# O que são Resumos de Relatórios Executivos?
- [Introdução](#bkmrk-introduction)
- [Como Ativar e Desativar o Recebimento de Relatórios](#bkmrk-how-to-opt-in-and-op)
- [Exemplo de Conteúdo do Relatório](#bkmrk-sample-report-conten)
# Introdução
Os Resumos de Relatórios Executivos são relatórios enviados por e-mail aos usuários que detalham informações sobre licenças, agentes e comportamentos de máquinas dos usuários. Os relatórios contêm um resumo de todos os grupos aos quais o usuário pertence, seguido por um resumo para cada grupo individual.
Os usuários têm a opção de receber relatórios semanais e mensais, além de poderem escolher o formato do relatório enviado no e-mail (HTML, ZIP, etc.).
# Como Ativar e Desativar o Recebimento de Relatórios
Após fazer login em nosso site e navegar até a página de Configurações da Conta, os usuários verão as opções para definir suas preferências de recebimento de relatórios semanais e mensais, além de configurar o formato do relatório enviado no e-mail.
# Exemplo de Conteúdo do Relatório
Acesse a página Agents e localize a coluna Dashboard Visibility.
O filtro padrão dessa coluna faz com que os agentes ocultos não sejam exibidos.
Para exibir os agentes ocultos, abra o filtro dessa coluna e marque a caixa Hidden, desmarcando a caixa Visible, e clique em Apply.
Isso exibirá apenas os agentes ocultos. A partir daí, você pode realizar as operações normais de gerenciamento de agentes, incluindo a alteração da visibilidade.
# Como ocultar ou remover um agente?
É importante entender que remover um agente também excluiria todos os dados coletados por meio desse agente. Essa informação pode ser útil algum dia para uma investigação futura.
Em vez disso, ocultar o agente da visualização, das notificações ou dos alertas é provavelmente a ação desejada.
Há duas maneiras de fazer isso.
# Atualização em Massa de Agentes
O primeiro método é mais fácil se houver vários agentes que precisam ser ocultados do aplicativo web.
Primeiro, selecione os agentes que deseja ocultar, na página Agentes.
Normalmente, os usuários utilizam filtros com base no status de instalação, nome da máquina ou endereço IP primeiro.
Segundo, selecione o ícone “Bulk Set Agent Default Visibility” (Definir Visibilidade Padrão dos Agentes em Massa).
Aparecerá um modal onde você pode selecionar se a visibilidade padrão dos agentes selecionados será oculta ou visível. Em seguida, clique no botão “Update Selected Agents” (Atualizar Agentes Selecionados).
A configuração padrão para notificações de segurança é enviar alertas de agente offline para agentes ocultos. Saiba mais sobre notificações de segurança [aqui](/books/security-email-notifications).
# Atualizar um Único Agente
Na página Agentes, localize a Coluna de Visibilidade do Painel e alterne o controle deslizante Visível para o agente desejado a fim de alterar a visibilidade.
# Se eu ocultar um agente, ainda receberei alertas e notificações?
A configuração padrão para notificações é enviar alertas de agente offline para agentes ocultos.
Vemos abaixo a configuração padrão durante a criação de notificações:
Normalmente, os usuários criam uma categoria de notificação separada para notificações de agentes ocultos, para os casos raros em que isso é desejado. Recomendamos que essas notificações tenham aliases de e-mail de destino diferentes e, possivelmente, um intervalo de notificação diferente.
Se uma notificação existente exigir uma atualização neste campo, acesse a página de Notificações de Segurança.
Role para a direita na grade até visualizar a coluna Enviar Alertas Offline para Agentes Ocultos e, em seguida, alterne o controle deslizante conforme desejado.
A alteração terá efeito imediatamente.