【图赏+简评】UpSight Security 免费行为保护/EDR

显示全部楼层 · 发表于 2024-9-5 19:19:10

wae 发表于 2024-9-5 18:44
DefaultRemoteOffice_Agent 需要安装吗

开通后默认的default remote office组下agent会开启NGAV，所以要在目标电脑上安装agent然后设备上线后注册到这个组下即可，你可以翻看一下这个帖子https://bbs.kafan.cn/thread-2266616-6-1.html第55楼的图文教程

显示全部楼层 · 发表于 2024-10-1 11:00:34

本帖最后由 gtc 于 2024-10-1 11:02 编辑

Agu 发表于 2024-9-4 14:56
打臉文來了，8/21裝到現在9/4，工作到一半突然BSOD，不斷重啟後來看到錯誤代碼寫upfilt.sys載入失敗：

...

我是直接不能登录了，它搞了个区域限制，小众而傲娇的东西，学什么不好，非学CrowdStrike

显示全部楼层 · 发表于 2024-10-1 12:20:55

gtc 发表于 2024-10-1 11:00
我是直接不能登录了，它搞了个区域限制，小众而傲娇的东西，学什么不好，非学CrowdStrike

不如用ManageEngine，有.cn域名的中国官网和云服务器

显示全部楼层 · 发表于 2024-10-10 14:41:01

安装了，主机运行mimikatz和lazagne 没有提示，在控制台没有看见任何事件，很奇怪。

显示全部楼层 · 发表于 2024-10-10 19:08:02

cxaqhq 发表于 2024-10-10 14:41
安装了，主机运行mimikatz和lazagne 没有提示，在控制台没有看见任何事件，很奇怪。

等注意一下它安装目录装完之后它会下一些模型文件那些文件都有了任务管理器看到是三个upsight的进程的时候才开始干活

显示全部楼层 · 发表于 2024-10-12 17:49:01

神龟Turmi 发表于 2024-10-10 19:08
等注意一下它安装目录装完之后它会下一些模型文件那些文件都有了任务管理器看到是三个upsight的进程 ...

对，现在好了

显示全部楼层 · 发表于 2024-10-15 02:07:21

本帖最后由 chx818 于 2024-10-15 02:12 编辑

弄了个eicar没有任何反应，不知道有什么办法可以测试这玩意到底有没有在干活---------
在upscan里面看到了官方测试脚本，然后现在运行完也没有拦截，看说明是过一回会出现在控制台里面

显示全部楼层 · 发表于 2024-10-15 03:23:59

chx818 发表于 2024-10-15 02:07
弄了个eicar没有任何反应，不知道有什么办法可以测试这玩意到底有没有在干活---------
在upscan里面看到了 ...

检查是否存在模型文件以及是否有三个它的进程存在
eicar本来就不会有反应 EDR是基于行为而不是特征的 eicar不会产生任何行为你可以自己diy一个最简单的stealer（用非explorer进程读一下浏览器密码库文件即可） upsight是对浏览器密码库特化的读密码库一定会报
或者直接跑一下mimikatz

显示全部楼层 · 发表于 2024-10-15 10:58:37

本帖最后由 chx818 于 2024-10-15 11:30 编辑

神龟Turmi 发表于 2024-10-15 03:23
检查是否存在模型文件以及是否有三个它的进程存在
eicar本来就不会有反应 EDR是基于行为而不是特征的 e ...

模型文件在，看任务管理器有俩进程，一个service一个interface，另外就是那个官方的测试脚本跑了两遍然后到现在控制台也没有任何动静
----------------------
11:26更新
草了控制台居然现在才出来event

这都7个小时过去了

话说我倒腾了一下官网，看起来我是不是可以拿这玩意和elastic搭配起来用？

显示全部楼层 · 发表于 2024-10-15 16:49:56

chx818 发表于 2024-10-15 10:58
模型文件在，看任务管理器有俩进程，一个service一个interface，另外就是那个官方的测试脚本跑了两遍然后 ...

任何情况下不建议舰队（即使厂商出于利益的说可以兼容）
但是不反对合理搭配（比如A的EPP+B的EDR）

[分享] 【图赏+简评】UpSight Security 免费行为保护/EDR

本帖子中包含更多资源

本帖子中包含更多资源