Dove osservare
Intero drive o percorsi selezionati, con inclusioni ed esclusioni per cartelle ed estensioni.
Argus Sentinel
Riconoscere l’anomalia.Prima che diventi un danno esteso.
Sentinel osserva creazioni, modifiche, eliminazioni e rinomine nei percorsi protetti. Aggrega gli eventi, li pesa nel tempo e trasforma un’attività file fuori norma in un segnale operativo comprensibile.
SENTINEL
creazione · 18 file
rinomina · 7 file
eliminazione · 12 file
OsservazioneWarningAlertIsolamento
01 Eventi file02 Pesi e finestre03 Quattro soglie04 Risposta configurata
Una sensibilità governabile
Non ogni modifica è una minaccia. È il comportamento complessivo che conta.
Ogni tipo di evento può avere un peso. Sentinel deduplica le attività sullo stesso file, le aggrega in finestre temporali e confronta il punteggio con le soglie definite per il drive.
Come valutare
Pesi, debounce e finestre temporali distinguono un’operazione ordinaria da una sequenza anomala.
Quando reagire
Warning, Alert, risposta forte e isolamento rendono progressiva la severità della risposta.
Prima comprendere
La fase di apprendimento aiuta a tarare le soglie e non esegue azioni di contenimento.
Dal Client al Monitor
Protezione locale. Governo centrale.
Il Client osserva e applica le risposte sul sistema. Il Monitor mantiene separati configurazione e stato runtime, consentendo al team IT di verificare drive, scope, apprendimento e risultati da una vista unica.
- Configurazione per drive, con soglie e scope indipendenti
- Allerte Sentinel disponibili anche nella Timeline
- Canary Files aggiunge segnali ad alta sensibilità
- Process Activity Guard attribuisce l’attività a un processo
01
OsservaEventi nei percorsi e nelle estensioni in scope
continuo02
AggregaFile unici, pesi e finestre temporali
contestuale03
ClassificaIl punteggio determina il livello Sentinel
progressivo04
RispondeAllerta, notifica o contenimento configurato
governatoInterpretazione corretta
Sentinel non attribuisce da solo l’attività al processo responsabile.
Il canale file rileva ciò che accade nei percorsi protetti. Quando serve correlare processo, utente, azione e path, entra in gioco Process Activity Guard.
Rapidità e rumore vanno bilanciati.Soglie più basse anticipano la rilevazione, ma possono aumentare i falsi positivi. Scope mirati e apprendimento aiutano a trovare il punto corretto.