System State
Cattura lo stato tecnico prima che le azioni successive modifichino raggiungibilità o processi.
Azioni di contenimento
Quando il tempo conta.La risposta è già stata decisa.
Per ogni livello Sentinel puoi stabilire una sequenza di azioni: raccogliere prove tecniche, limitare l’accesso alle condivisioni, isolare la rete o fermare il processo responsabile.
Soglia di risposta forte raggiuntaDrive D: · processo attribuito
Contenimento01Genera System Statecompletato
02Disconnetti unità mappatecompletato
03Blocca connessioni SMBattivo
04Termina albero processopronto
05Disconnetti retein attesa
01 Soglia02 Sequenza03 Esecuzione locale04 Esito
Risposte proporzionate
Dalla fotografia tecnica all’isolamento.
Le azioni vengono accodate al raggiungimento della soglia e applicate dal Client nell’ordine previsto. Il team sceglie quanto deve essere incisiva la risposta per ogni ambiente.
SMB e unità mappate
Disconnette share e unità mappate o blocca le porte SMB 445 e 139.
Processo responsabile
Con PAG può terminare il processo attribuito o il relativo albero.
Rete o sistema
Può disconnettere le connessioni di rete o spegnere il PC nei livelli più critici.
Una policy, non un impulso
Le azioni aggressive richiedono intenzione.
L’ordine è configurabile e le azioni supportate possono essere testate o simulate. La risposta automatica parte solo quando il livello previsto è raggiunto e il drive non è in apprendimento.
- Nessun blocco resta una scelta esplicita e valida
- Ogni soglia può avere una risposta differente
- Gli esiti accompagnano il contesto dell’allerta
- Le azioni runtime sono confermate dal Client, non anticipate dal server
01
Decidi primaAzioni e ordine per ogni livello
policy02
ValidaTest delle azioni supportate
controllo03
AttivaLa soglia Sentinel avvia la sequenza
automatico04
ConfermaStato ed errori tornano nel contesto
tracciatoImpatto operativo
Isolare la rete protegge il perimetro, ma interrompe anche l’accesso remoto.
Le azioni più forti possono fermare il lavoro dell’utente e rendere il sistema non raggiungibile. Vanno scelte considerando ruolo del dispositivo, criticità e capacità di intervento locale.
Servono privilegi e Windows configurato correttamente.Un test preventivo rende visibili vincoli e incompatibilità prima che la risposta sia necessaria.