Чтобы задать условия поиска событий в режиме конструктора, выполните следующие действия:
В окне веб-интерфейса программы выберите раздел Поиск угроз, закладку Конструктор.
Откроется форма поиска событий.
В раскрывающемся списке выберите критерий для поиска событий в одной из следующих групп:
Общие сведения.
Свойства TAA.
Свойства файла.
Запущен процесс.
Удаленное соединение.
Изменение в реестре.
Событие в журнале Windows.
Изменено имя хоста.
Обнаружение и результат обработки.
Интерактивный ввод команд в консоли.
В раскрывающемся списке выберите один из следующих операторов сравнения:
=.
!=.
CONTAINS.
!CONTAINS.
STARTS.
!STARTS.
ENDS.
!ENDS.
>.
<.
Для каждого типа значения поля будет доступен свой релевантный набор операторов сравнения. Например, при выборе типа значения поля EventType будут доступны операторы = и !=.
В зависимости от выбранного типа значения поля выполните одно из следующих действий:
Укажите в поле один или несколько символов, по которым вы хотите выполнить поиск событий.
В раскрывающемся списке выберите вариант значения поля, по которому вы хотите выполнить поиск событий.
Например, для поиска полного совпадения по имени пользователя введите имя пользователя.
Если вы хотите добавить новое условие, используйте логический оператор AND или OR и повторите действия по добавлению условия.
Если вы хотите добавить группу условий, нажмите на кнопку Group и повторите действия по добавлению условий.
Если вы хотите удалить группу условий, нажмите на кнопку Remove group.
Если вы хотите выполнить поиск событий за определенный период, в раскрывающемся списке За все время выберите один из следующих периодов поиска событий:
За все время, если вы хотите, чтобы программа отображала в таблице события, найденные за все время.
Прошедший час, если вы хотите, чтобы программа отображала в таблице события, найденные за предыдущий час.
Прошедшие сутки, если вы хотите, чтобы программа отображала в таблице события, найденные за предыдущий день.
Пользовательский диапазон, если вы хотите, чтобы программа отображала в таблице события, найденные за указанный вами период.
Если вы выбрали период отображения найденных событий Пользовательский диапазон, выполните следующие действия:
В открывшемся календаре укажите даты начала и конца периода отображения событий.
Нажмите на кнопку Применить.
Календарь закроется.
Нажмите на кнопку Найти.
Отобразится таблица событий, соответствующих условиям поиска.