Função Rollback – Ponto Central da Estratégia com o SentinelOne

A função Rollback deve ou não ser automatizada? Isso toca no ponto central da sua estratégia de segurança com o SentinelOne.

Lembre-se, o processo pode ser realizado apenas em computadores com Windows.

Como funciona a automação?

A automação do Rollback faz parte da política de proteção geral do SentinelOne:

Na sua política de segurança, para o motor de Detecção Comportamental (Behavioral AI), você define o modo de resposta para ameaças: Detect (Apenas Detectar) e Protect  (Proteger).

Ao selecionar a política Protect   para ameaças como ransomware, você está dizendo ao SentinelOne: “Se você tiver certeza de que isso é um ransomware, não me pergunte. Aja imediatamente.”

 A ação de Protect nesse cenário inclui:

• Kill: matar o processo malicioso instantaneamente.
• Quarantine: colocar o arquivo malicioso em quarentena.
• Remediate: limpar outras alterações feitas pelo malware (entradas de registro, arquivos agendados, etc.).
• Rollback: reverter os arquivos do usuário que foram modificados ou criptografados para a versão anterior ao ataque, usando as cópias de sombra (VSS) do Windows.

Portanto, ativar o Rollback automático é, na prática, configurar a política de proteção para agir de forma autônoma contra ransomware.

Agora a estratégia entra em jogo, e a recomendação de uso do Modo Protect com a função Rollback, pode variar conforme o tipo de atividade:

Conclusão: a capacidade de remediação e Rollback automáticos dentro do modo Protect é um dos maiores trunfos do SentinelOne. A recomendação geral é ativá-la sempre que possível. Apenas em servidores muito específicos e sensíveis a interrupções, uma abordagem mais cautelosa pode ser mais prudente no uso do Modo Protect.