Arbeiten mit Vorfällen

Ein Vorfall ist ein Eintrag über ein Ereignis bei der Ausführung des Programms, das mit einem möglichen Datenverlust in Zusammenhang steht. In folgenden Fällen wird von Kaspersky Security ein Vorfall erstellt:

• Bei einer Verletzung der Richtlinie
• Während der Datensuche auf SharePoint

Jeder Vorfall enthält detaillierte Informationen über die von ihm betroffenen Dateien sowie über den Grund seiner Erstellung. Diese Informationen werden für die Analyse und Nachverfolgung von möglichem Datenverlust benötigt.

Der Umgang mit Vorfällen wird durch die Dienstpflichten des Experten für Informationssicherheit geregelt und kann in Abhängigkeit von den im Unternehmen geltenden Regeln zur Verarbeitung von Vorfällen unterschiedlich sein.

Verwaltung von Arbeitsabläufen in Bezug auf Vorfälle

Arbeitsabläufe in Bezug auf Vorfälle können auf folgende Weise verwaltet werden:

• Mithilfe des Status von Vorfällen

  Der Status des Vorfalls gibt Informationen über den aktuellen Zustand des Vorfalls wieder. Der Status des Vorfalls kann jederzeit geändert werden. Informationen über die Änderung des Status des Vorfalls, den Autor und den Zeitpunkt der Änderung sind im Verlauf des Vorfalls gespeichert.

  Mithilfe des Programms kann der Status mehrerer Vorfälle gleichzeitig geändert werden.

• Mithilfe von Kommentaren

  Kommentare können Informationen über die Gründe für die Änderung des Status des Vorfalls sowie über die Nachverfolgung der Umstände im Zusammenhang mit dem Vorfall enthalten.

Kommentare können während der Statusänderung oder während der Anzeige des Verlaufs eines Vorfalls hinzugefügt werden.

Vorfall zur Bearbeitung auswählen

Alle erstellten Vorfälle werden vom Programm zur Liste der Vorfälle im Knoten Vorfälle hinzugefügt. Sie können die äußere Form der Liste der Vorfälle anpassen, indem Sie die in der Tabelle angezeigten Informationen über den Vorfall ändern.

Zum Zeitpunkt der Erstellung wird jedem Vorfall der Status Neu zugewiesen. Neue Vorfälle können zur Bearbeitung angezeigt werden, indem Sie die Liste der Vorfälle aktualisieren.

Zum Suchen von Vorfällen nach bestimmten Kriterien (beispielsweise zur Suche nach Vorfällen im Zusammenhang mit einem Benutzer) können Sie den Filter für Vorfälle verwenden. Zur Arbeit mit ähnlichen Vorfällen (also mit Vorfällen, die ähnliche Informationen aufweisen) steht Ihnen die Suche nach ähnlichen Vorfällen zur Verfügung.

Informationen über einen Vorfall anzeigen und bearbeiten

Zu Beginn der Bearbeitung von Vorfällen können Sie die Informationen zum Vorfall anzeigen.

Vorfällen, die sich in Bearbeitung befinden, muss der Status In Bearbeitung zugewiesen werden. Wenn im Unternehmen mehrere Experten für Informationssicherheit beschäftigt sind, kann dadurch die Koordination der Arbeitsabläufe vereinfacht werden.

Vor der Entscheidung über einen Vorfall ist der Kontext des Richtlinienverstoßes zu prüfen. Der Kontext des Richtlinienverstoßes wird im Fenster mit den Informationen zum Vorfall angezeigt. Der Kontext der Verletzung enthält alle Textfragmente mit Daten zum Vorfall. Schlüsselwörter oder Tabellendaten in jedem Fragment sind rot hervorgehoben. Wenn der Kontext des Verstoßes nicht ausreicht, um eine Entscheidung über den Vorfall zu treffen, können Sie die mit dem Vorfall in Zusammenhang stehende Datei auf SharePoint öffnen.

Zeigt der Cursor auf ein Textfragment, welches eine Verletzung darstellt, erscheint neben dem Cursor ein Tooltip mit dem Namen der Datenunterkategorie (s. Abb. unten). Unter einer Unterkategorie versteht man eine untergeordnete, eingebettete Datenkategorie, die zu einer größeren Kategorie gehört. Der Name der Unterkategorie ermöglicht die Feststellung des Kategoriebereichs, zu dem die Daten gehören.

Der Name der Unterkategorie wird im Tooltip angezeigt.

Sie können die Webadresse der Datei, die mit dem Vorfall zusammenhängt, zu den Ausnahmen hinzuzufügen. Dies kann die Anzahl von False Positives unter den Vorfällen verringern, die bei der Untersuchung von Dokumentvorlagen (beispielsweise Musterverträgen oder Protokollvorlagen) erstellt werden. Das Programm nimmt Webadressen von Dateien folgendermaßen in die Liste der Ausnahmen auf:

• Wurde aufgrund eines Verstoßes gegen eine Richtlinie ein Vorfall generiert, so wird die Webadresse den Ausnahmen für die Richtlinie hinzugefügt. Das Programm kontrolliert die Übertragung von Dateien durch Benutzer an diese Adresse dann nicht mehr.
• Wurde während der Ausführung einer Suchaufgabe ein Vorfall generiert, so wird die Webadresse den Ausnahmen der Suchaufgabe hinzugefügt. Das Programm untersucht die unter dieser Adresse befindlichen Dateien dann nicht mehr.

Wurde der Vorfall bei Ausführung einer Suchaufgabe in Kaspersky Security 9.0. generiert, so können Sie die Webadresse der Datei für die Suchaufgabe nicht den Ausnahmen hinzufügen.

Wenn es erforderlich sein sollte, Daten über Vorfälle für amtliche Auskünfte zu exportieren, können Sie die entsprechenden Informationen über den Vorfall in die Zwischenablage kopieren.

Bearbeitung von Vorfällen abschließen

Als Ergebnis der Analyse der Informationen über den Vorfall kann einer der folgenden Status zugewiesen werden:

• Geschlossen (verarbeitet), wenn die Bearbeitung des Vorfalls abgeschlossen ist.
• Geschlossen (Fehlalarm), wenn es sich bei der Verletzung der Richtlinie um ein False Positive handelte (beispielsweise wegen eines Fehlers bei der Konfiguration der Richtlinieneinstellungen).
• Geschlossen (kein Vorfall), wenn die Verletzung der Richtlinie im Rahmen einer Ausnahme zulässig war.
• Geschlossen (andere) in allen anderen Fällen.

Nach Abschluss der Bearbeitung von Vorfällen können diese mithilfe der Archivierung aus der Liste der Vorfälle entfernt werden.

Bei mehr als 100.000 Vorfällen empfiehlt sich eine Archivierung. Bei einer Erhöhung der Vorfälleanzahl bis 300 000 kann es zu Störungen bei der Ausführung von Kaspersky Security kommen.

Erneuter Zugriff auf Vorfälle

Auf archivierte Vorfälle kann mittels Vorfälle wiederherstellenzugegriffen werden. Allen wiederhergestellten Vorfällen wird automatisch der Status Archiviert zugeordnet.

Nachdem Sie Ihre Arbeit mit diesen Vorfällen beendet haben, können Sie sie wieder aus der Liste entfernen.