Process Activity Guard

Non solo cosa accade.Quale processo lo sta facendo.

PAG correla processo, utente, azione e percorso. Quando un singolo processo tocca, rinomina o elimina troppi file nella finestra configurata, Argus può elevarlo da attività tecnica a evento di sicurezza.

Scopri PAG Richiedi una demo

Process Activity GuardAudit pronto

Punknown-task.exePID 4812
utente: CONTOSO\m.rossi

contratti\Q4.docxfile attribuito al processo

rinomina

progetti\schema.dwgfile attribuito al processo

modifica

archivio\report.pdffile attribuito al processo

elimina

+24

Altri file nella finestrasoglia superata

Alert

01 Processo02 Utente03 File e azione04 Soglia

Attribuzione dell’attività

Da una massa di eventi a un responsabile tecnico.

Process Activity Guard usa Windows Security Audit per aggregare gli eventi per processo e finestra temporale. Soglie separate permettono di valutare file toccati, rinomine ed eliminazioni.

Identità

Processo e utente

PID, percorso eseguibile e account aggiungono contesto all’evento sui file.

Comportamento

Tre indicatori

File toccati, rinomine ed eliminazioni vengono confrontati con soglie indipendenti.

Policy

Whitelist e blacklist

Processi conosciuti possono essere esclusi; quelli critici possono ricevere una valutazione più aggressiva.

Risposta

Livello forzato

Il superamento della soglia può aprire un’allerta e attivare il livello Sentinel previsto.

Requisiti verificabili

PAG controlla anche se Windows è pronto a controllare.

La funzione richiede audit file system sugli scope Sentinel. Argus può verificarli e configurarli; il Client e il Monitor mostrano readiness, stato audit e scope verificati.

Disponibile su unità locali fisse con scope Sentinel esplicito
Non si abilita sull’intero drive o su unità non locali
Lo stato di readiness è runtime, non una semplice impostazione
In apprendimento non esegue azioni di contenimento

VerificaAudit Windows e scope configurati

readiness

AttribuisceProcesso, utente, path e azione

audit

ContaEventi aggregati nella finestra

soglie

IntervieneAllerta o contenimento configurato

mirato

Precisione prima di tutto

Una whitelist errata può nascondere ciò che vuoi vedere.

Le esclusioni vanno mantenute strette e motivate. Le blacklist, al contrario, possono anticipare livelli e risposte: entrambe richiedono una policy consapevole.

Audit non pronto significa copertura non garantita.Argus lo segnala chiaramente, evitando di presentare come protetto uno scope che Windows non sta auditando correttamente.