Просмотр обнаруженных киберугроз
На странице Обнаружения веб-интерфейса Kaspersky CyberTrace отображается информация о входящих событиях, которые привели к возникновению обнаруженных киберугроз в Kaspersky CyberTrace, в том числе источники событий и оповещения об обнаружении индикаторов компрометации. На этой странице можно выполнять поиск событий и фильтрацию событий по критериям. Для работы с этой страницей необходимо перейти в режим Управление данными.
Страница Обнаружения содержит следующие элементы:
- Панель поиска
- Таблица с информацией об обнаруженных киберугрозах
- Кнопка перехода к настройкам таблицы:
- Переключатель Искать также в оповещениях об обнаружении индикаторов компрометации
- Переключатель Автоматически обновлять таблицу
Поиск по обнаруженным киберугрозам
С помощью строки поиска можно выполнять полнотекстовый поиск по обнаруженным киберугрозам. Текстовая строка в поисковом запросе токенизируется таким образом, чтобы результаты поиска содержали как точные, так и нечеткие совпадения. Подстановочные знаки не поддерживаются.
Результаты поиска отображаются в таблице ниже.
Если включен переключатель Искать также в оповещениях об обнаружении индикаторов компрометации, Kaspersky CyberTrace будет искать текстовую строку во входящих событиях и оповещениях об обнаружении индикаторов компрометации. В противном случае поиск выполняется только по входящим событиям. По умолчанию переключатель Искать также в оповещениях об обнаружении индикаторов компрометации включен.
Таблица с информацией об обнаруженных киберугрозах содержит следующие столбцы:
- Дата обнаружения киберугрозы
Системные дата и время обнаружения киберугрозы.
- Источник
Имя источника событий.
Этот столбец может содержать имя источника, которого уже нет в Kaspersky CyberTrace. Такая ситуация может возникнуть для обнаружения ретроспективного сканирования в том случае, если источник был удален или переименован после сохранения входящего события.
- Категория
Категория обнаруженного объекта.
Записанное имя категории не меняется, даже если изменится имя источника данных об угрозах.
- Тип
Тип индикатора, на который сработало обнаружение киберугрозы.
- Значение
Значение индикатора, на который сработало обнаружение киберугрозы.
- Теги
Список тегов, присвоенных индикатору, на который сработало обнаружение киберугрозы.
- Общий вес тегов
Суммарный вес тегов в столбце Теги.
- Уровень доверия к потоку индикаторов
Уровень доверия к потоку данных или источнику данных об угрозах.
- Ретроскан
Флажки или прочерки, указывающие на наличие или отсутствие обнаружение киберугроз в результатах ретроспективного сканирования.
- Ложн
Значок
(серый флаг), указывающий на то, что обнаружение киберугрозы, вместе с соответствующим индикатором, было отмечено как ложное срабатывание.
В каждой строке таблицы содержится информация об отдельной обнаруженной киберугрозе.
Обнаруженные киберугрозы в таблице сортируются по дате и времени в порядке убывания.
Если переключатель Автоматически обновлять таблицу включен, Kaspersky CyberTrace добавляет в таблицу новую информацию об обнаруженных киберугрозах каждые 10 секунд.
Просмотр сведений об обнаружении киберугрозы
Нажатие на обнаружение киберугрозы позволяет просмотреть следующую подробную информацию:
- Исходное событие
В этом разделе содержатся подстроки, извлеченные из входящего события с помощью регулярных выражений, а также исходное событие целиком.
- Оповещение об обнаружении индикаторов компрометации
В этом разделе содержатся контекстные поля совпавшего индикатора в формате
%FieldName%=%Value%и оповещение об обнаружении индикаторов компрометации целиком.где:
%FieldName%— это имя регулярного выражения, которое использовалось для парсинга входящего события, или имя поля записи потока данных об угрозах, которое было успешно сопоставлено с обнаруженным индикатором.%Value%— это значение регулярного выражения, которое использовалось для парсинга входящего события, или значение записи потока данных об угрозах, успешно сопоставленное с обнаруженным индикатором.
Фильтрация обнаруженных киберугроз
Обнаруженные киберугрозы в таблице можно фильтровать по следующим критериям:
- Дата обнаружения киберугрозы
Укажите период времени или конкретную дату.
- Категория
Выберите одну или несколько категорий обнаруженных объектов.
- Уровень доверия к потоку индикаторов
Укажите интервал уровней доверия к потокам данных или источникам данных об угрозах.
- Ретроскан
Выберите для отображения в таблице все обнаружения, обнаружения ретроспективного сканирования или обнаружения без ретроспективного сканирования. Если фильтр не применен, отображаются все обнаружения киберугроз.
- Ложн
Выберите, какие обнаружения киберугроз требуется отображать в таблице: отмеченные как ложные срабатывания или не отмеченные как ложные срабатывания. Если фильтр не применен, отображаются все обнаружения киберугроз.
Чтобы отфильтровать таблицу по критериям, выполните следующие действия:
- Нажмите на значок
(воронка) в столбце, который требуется использовать в качестве критерия фильтрации. - Укажите условие фильтрации.
- Если в окне задания условия фильтрации есть кнопка Применить, нажмите ее.
Содержимое таблицы обновится и в нее будут включены только значения, соответствующие заданным условиям.
Можно указать несколько критериев фильтрации.
По умолчанию условия фильтрации не применяются.
Чтобы удалить фильтр, выполните следующие действия:
- Нажмите на значок (воронка) в столбце, который требуется прекратить использовать в качестве критерия фильтрации.
- Нажмите кнопку Сбросить.
Содержимое таблицы обновится и больше не будет отфильтровано по удаленному критерию фильтрации.