发现系统中毒后,为了防止病毒扩散,通常先隔离,再查杀,查杀好了,再确认没病毒了,再加回网络。
隔离传统的做法是用户电脑旁拔网线,再杀毒,但这样效率比较低(如果终端机比较多,又分布在不同的楼层),用了edr后,可以使用终端隔离功能,把中毒的终端机进行隔离,该主机只能与edr服务器端通信,再通过edr服务器端下发杀毒指令对其进行杀毒操作,杀毒完成后,再次检查,确认没病毒,再将他加会到网络,这样管理员就可以远程把问题解决了。
具体操作:
1、在首页=>威胁终端下图形方式展示全网终端威胁分布情况,如果已失陷数量大于0=>点击这个数字=>会显示具体已陷主机列表=>在列表的最右列是操作=>点击【终端隔离】=>该终端就相当于脱离了内网,只能与edr服务器交互(以下图片是高可疑终端,已失陷终端的上次没截图,样子是一样的) 2、再返回刚才的列表=>点击威胁处置=>再根据需要进行杀毒操作=>处置完成后=>该终端机就会从这个列表里消失 3、要恢复被隔离终端机=>点击响应中心=>已隔离终端=>再点击要恢复网络的终端机右侧【解除隔离】即可 - |