› ›

隔离主机

隔离主机编辑

主机隔离允许您将主机与网络隔离，阻止它们与网络上的其他主机通信，直到您释放该主机。隔离主机对于响应恶意活动或防止潜在攻击非常有用，因为它可以阻止跨其他主机的横向移动。

但是，隔离的主机仍然可以将数据发送到 Elasticsearch 和 Kibana。您还可以为隔离的主机仍然允许通信的特定 IP 地址创建主机隔离异常，即使它们被阻止与网络上的其他主机通信。

您可以从检测警报的详细信息弹出窗口、端点页面或（使用企业版订阅）从端点响应控制台隔离主机。成功隔离主机后，将在Agent 状态字段旁边显示隔离状态，您可以在警报详细信息弹出窗口或端点列表表格中查看此状态。

如果请求失败，请在重试之前验证 Elastic Agent 和您的端点是否都联机。

对主机执行的所有操作都会在主机的响应操作历史记录中进行跟踪，您可以从端点页面访问该历史记录。有关更多信息，请参阅查看主机隔离历史记录。

从检测警报隔离主机

从端点隔离主机

转到管理 → 端点，然后执行以下任一操作
- 在端点列中选择相应的端点，然后在端点详细信息弹出窗口中点击采取操作 → 隔离主机.
- 点击相应端点的操作菜单 (…)，然后选择隔离主机.
输入一个描述您隔离主机的理由的注释（可选）。
点击确认.

从响应控制台隔离主机

响应控制台是企业版订阅的功能。

使用规则的端点响应操作自动隔离主机

主机隔离端点响应操作是企业版订阅的功能。

请注意，自动主机隔离可能会导致意外后果，例如中断合法用户活动或阻止关键业务流程。

将端点响应操作添加到新的或现有的自定义查询规则。只要满足规则条件，就会执行端点响应操作
- 新规则：在自定义查询规则创建的最后一步中，转到响应操作部分，然后选择Elastic Defend.
- 现有规则：编辑规则设置，然后转到操作选项卡。在选项卡中，在响应操作部分下选择Elastic Defend.
在响应操作字段中，选择隔离.
输入一个描述您隔离主机的理由的注释（可选）。
要完成添加响应操作，请点击创建并启用规则（对于新规则）或保存更改（对于现有规则）。