Erstellen eines Erkennungsregelsatzes

Anmerkung: Anfang 2025 wurde die Behavioral Detection Engine als neue Datenerfassungs- und Analyse-Engine eingeführt, die die Funktionen des Aurora Focus-Agenten auf den Geräten Ihres Unternehmens unterstützt und erheblich verbessert. Die Behavioral Detection Engine ersetzt die vorherige Methode der Erkennungsregelsätze, die in diesem Abschnitt beschrieben werden. Weitere Informationen und Anweisungen finden Sie unter Übergangsgeräte Aurora Focus von Erkennungsregelsätzen zur Behavioral Detection Engine. Die Behavioral Detection Engine ist hochgradig optimiert, um eine effizientere Erfahrung zu bieten, die die Genauigkeit der Erkennungen verbessert und gleichzeitig das „Warnungsrauschen“ reduziert. Daher ist dies der empfohlene Mechanismus für die Zukunft. Bevor Erkennungsregelsätze verworfen werden, wird eine Vorabmitteilung bereitgestellt.
Erstellen Sie einen Erkennungsregelsatz und wenden Sie ihn an, um die Ereignistypen zu konfigurieren, die Aurora Focus erkennen soll, und um festzulegen, wie Aurora Focus auf diese Ereignisse reagieren soll. Es ist ein Standard-Erkennungsregelsatz verfügbar, mit dem Sie die Verwendung von Erkennungsregeln testen und bewerten können. Im Standardregelsatz sind alle Erkennungsregeln aktiviert und automatisierte Reaktionen und Benutzerbenachrichtigungen deaktiviert.

Wenn Sie einen Erkennungsregelsatz erstellen, empfiehlt es sich, zunächst die gewünschten Erkennungsregeln ohne Antwortaktionen und Desktop-Benachrichtigungen zu aktivieren. Nachdem Sie die Erkennungsdaten ausgewertet haben, können Sie die entsprechenden Antwortaktionen und Benutzerbenachrichtigungen für jede Regel konfigurieren.

  • Um einen Regelsatz anzuzeigen, benötigen Sie eine Administratorrolle mit den Berechtigungen „Regelsatz anzeigen“ und „Regelsatz bearbeiten“ aus dem Abschnitt „Reaktion auf Endpunkterkennung“.
  • Weitere Informationen zu den optionalen Aurora Focus-Regeln, die Sie für die Umgebung Ihrer Organisation importieren können, finden Sie unter KB 42221115562011.
  1. Klicken Sie in der Menüleiste der Verwaltungskonsole auf Focus > Konfigurationen.
  2. Klicken Sie auf der Registerkarte Regelsätze auf Neu erstellen.
  3. Geben Sie einen Namen und eine Beschreibung ein.
  4. Wenn Sie möchten, dass der Aurora Focus-Agent eine Meldung anzeigt, wenn eine Regel auf dem Gerät ausgelöst wird, geben Sie die Meldung in das Feld Erkennungsbenachrichtigungsmeldung ein.
  5. Sehen Sie sich die verfügbaren Regeln an. Bei jeder Regel können Sie den Mauszeiger über das Informationssymbol bewegen, um eine Beschreibung anzuzeigen. Klicken Sie auf EIN, um eine ganze Regelgruppe oder eine bestimmte Regel zu aktivieren.
  6. Wenn Sie eine Desktop-Benachrichtigung anzeigen möchten, wenn eine Regel auf einem Gerät ausgelöst wird, aktivieren Sie das Kontrollkästchen Erkennungsbenachrichtigung auf Gerät anzeigen für die Regel.
  7. Wenn Sie möchten, dass der Aurora Focus-Agent eine Antwortaktion ausführt, wenn eine Regel auf einem Gerät ausgelöst wird, wählen Sie in der Dropdown-Liste Reaktion für die Regel eine oder mehrere Aktionen aus. Bei jeder Aktion können Sie den Mauszeiger über das Informationssymbol bewegen, um eine Beschreibung anzuzeigen.
  8. Klicken Sie in der Dropdown-Liste Geräterichtlinie auf eine oder mehrere Geräterichtlinien, denen Sie den Erkennungsregelsatz zuweisen möchten.
    Sie können einen Erkennungsregelsatz auch einer Geräterichtlinie zuweisen, wenn Sie eine Geräterichtlinie erstellen oder ändern.
  9. Klicken Sie auf Bestätigen. Lesen Sie die Zusammenfassung durch und klicken Sie dann erneut auf Bestätigen.
Nachdem Sie den Erkennungsregelsatz einer Geräterichtlinie zugewiesen haben, können Sie die Erkennungen anzeigen und verwalten. Sie können auch eine der folgenden optionalen Aufgaben ausführen: