Symantec CBX – Remediate Optionen

Die hochintegrierte Lösung Symantec CBX von Broadcom enthält eine Reihe von Technologien, die Cloud-Anwendungen und sensible Daten sichtbar machen, Netzwerkverkehr mit einem Cloud-Proxy schützen und verschiedene Sicherheitstechnologien auf dem Endpunkt selbst. Das ganze wird dabei durch agentische KI und eine Threat Hunting und Threat Intelligence Platform zusammengefasst.

In diesem Artikel soll ein kleiner Teil aus der Lösung näher betrachtet werden und zwar das „R“ in XDR (Extended Detection and Response). Mit einer Reihe von einfachen „One-Click-Operationen“ können Administratoren z. B. sehr schnell und einfach einen Hash blockieren/löschen, einen Scan starten oder den Rechner isolieren. Daneben stehen Administratoren oder Threat Huntern jedoch noch viel mächtigere Werkzeuge zur Verfügung:

  • Device Query
    • Artifact Search
    • Forensic Search
  • Live Response

Device Query

Mit Hilfe der Device Query können Admins oder Threat Hunter z. B. auf einzelnen oder mehreren Endpunkten nach „Evidence of Compromise“ suchen (Artifact Search) oder mit einer forensischen Suche (Forensic Search) z. B. ob unsichere TLS Verbindungen aktiviert sind.

Artifact Search

Durch Eingabe in den Filter werden Felder vorgeschlagen, oder Sie können unter Custom Filter aus der Liste auswählen. Die folgenden Felder sind z. Z. verfügbar:

  • Directory Path
  • File MD5
  • File Path
  • File SHA2
  • Kernel Name
  • MD5
  • Path
  • Process Loaded Modules
  • Process MD5
  • Process Path
  • Process SHA2
  • Registry Key Path
  • Registry Value Name
  • Registry Value Path
  • Service File Path
  • Service Name
  • SHA2
Forensic Search

Forensic Search ist wesentlich umfangreicher und damit auch mächtiger. Zugrunde liegt osquery, über welches Sie durch den Symantec CBX Agent alle möglichen Abfragen durchführen können. Das beste daran ist, dass es überall bereits seit Jahren schon sogenannte osquery Packs gibt, die umfangreiche Abfragen bündeln. Broadcom hat in Symantec CBX einige davon schon im Lieferumfang, Sie können aber jederzeit eigene Abfragen ergänzen. Ein Link in Symantec CBX führt Sie auch gleich zu einer Sammlung.

Live Response

Während die o. a. Werkzeuge (neben dem Event-Log, in dem sich alle Ereignisse des Endpunktes an einer zentralen Stelle befinden) Ihnen helfen nach bestimmten Informationen suchen, bietet Live Response alle Möglichkeiten mit dem Endpunkt zu interagieren. U. a. können Sie mit Live Response einen Kernel Memory Dump für die Beweissicherung erstellen und herunterladen, mit einer Remote Shell arbeiten oder Code auf dem Endpunkt ausführen.

Live Response

Symantec CBX bietet auch eine Script Library, in der Sie z. B. Powershell-Scripte vorhalten können, die Sie dann mit Live Response auf dem Endpunkt remote ausführen. Selbst der Upload von Scripten während der Arbeit mit der Live Response Remote Shell wird angeboten.

APIs

Alle o. a. Funktionen sind auch über APIs verfügbar. D. h. können Sie damit Ihr SOC in die Lage versetzen mit Symantec CBX zu arbeiten, ohne überhaupt einen Account in der Management-Konsole zu verwenden.

Audit

Alle Live Query

Protokoll der Interaktionen auf einem Endpunkt

Alle Aktionen, die über LiveResponse auf einem Endpunkt ausgeführt werden, werden protokolliert und können als Textdatei heruntergeladen werden.

Protokoll einer Live Response Sitzung herunterladen

Das Protokoll liefert alle Ein- und Ausgaben, die über die Remote Shell gelaufen sind als Textdatei. Die XX im u. a. Beispiel habe ich eingesetzt 😉

Live Response for device WIN11444

[WIN11444] C:\Program Files\Broadcom\Endpoint Security Agent\2.9.0.62\bin64> execfg ipconfig -all


Windows IP Configuration

   Host Name . . . . . . . . . . . . : WIN11444
   Primary Dns Suffix  . . . . . . . : 
   Node Type . . . . . . . . . . . . : Hybrid
   IP Routing Enabled. . . . . . . . : No
   WINS Proxy Enabled. . . . . . . . : No

Ethernet adapter Ethernet:

   Connection-specific DNS Suffix  . : 
   Description . . . . . . . . . . . : Red Hat VirtIO Ethernet Adapter
   Physical Address. . . . . . . . . : BC-XX-XX-XX-XX-2A
   DHCP Enabled. . . . . . . . . . . : Yes
   Autoconfiguration Enabled . . . . : Yes
   IPv4 Address. . . . . . . . . . . : 192.XXX.XXX.44(Preferred) 
   Subnet Mask . . . . . . . . . . . : 255.255.255.0
   Lease Obtained. . . . . . . . . . : Wednesday, 14 October 2026 06:37:35
   Lease Expires . . . . . . . . . . : Saturday, 24 October 2026 06:37:35
   IPv4 Address. . . . . . . . . . . : 192.XXX.XXX.254(Preferred) 
   Subnet Mask . . . . . . . . . . . : 255.255.255.255
   Default Gateway . . . . . . . . . : 192.XXX.XXX.1
   DHCP Server . . . . . . . . . . . : 192.XXX.XXX.1
   DNS Servers . . . . . . . . . . . : 192.XXX.XXX.5
   NetBIOS over Tcpip. . . . . . . . : Enabled

Connection closed

Weitere Informationen

Symantec Endpoint Protection 16 GUI

Symantec CBX – Endpoint Security Info-Seite …

Weitere Beiträge zum gleichen Thema: