WSが、WS攻撃ポリシーから除外されたデバイス上のアクティビティに対してユーザをブロックするのはなぜですか。
環境
- ワークロードセキュリティ（WS）
- Cloud Insightサービス（CI）
- ランサムウェア対策の自動応答攻撃ポリシー
回答
- 自動応答攻撃ポリシーのデバイスリストは、対象に含まれているかどうかに応じて、SVMデバイス上の影響を受けるボリュームのSnapshotを作成する場合にのみ適用されます。 ソースデバイスがデバイスリストに含まれているか除外されているかに関係なく、今後の攻撃を防ぐために、とにかくユーザーブロッキングが行われます
- 例：
- たとえば、SVMデータコレクタは3つあり、WSを使用してxxx、yyy、zzzが監視されているとします
- ランサムウェア攻撃に対する自動応答ポリシーが導入されており、デバイスのドロップダウンにxxxのみが含まれ、
Take SnapshotBlock User File Accessアクションとして&の両方が選択されています - ここでは、WSがxxxからの攻撃を検出した場合、攻撃の影響を受けるボリュームのスナップショットを作成します（影響を受けるボリュームはアラートページに表示されます）。
- yyyまたはzzzから攻撃が発生した場合、どのボリュームでもSnapshotは作成されません
- ただし、ブロックユーザは、WSデータコレクタリストにある3つのデバイスすべてで実行されるため、新しいデバイス/ボリュームで攻撃を続行できません
追加情報
ユーザのブロックが特定のSVMデバイスから望ましくない場合は、WSのデータコレクタリストから削除する必要があります