Детали алерта – это страница интерфейса, содержащая все сведения, связанные с алертом, включая свойства алерта.
Чтобы просмотреть детали алерта:
Отобразятся детали алерта.
Панель инструментов в верхней части раздела деталей алерта позволяет выполнять следующие действия:
В деталях алерта содержатся следующие разделы:
Раздел общей информации содержит следующие свойства алерта:
Содержимое этого раздела зависит от типа алерта.
Детали алерта IOA
Раздел Сведения деталей алерта IOA можно использовать для отслеживания событий телеметрии, связанных с алертом.
Доступные действия:
Детали алерта IOC
В деталях алерта IOC в разделе Сведения отображаются объекты, обнаруженные в результате выполнения задачи Поиск IOC.
В разделе Активы можно просмотреть активы и пользователей, затронутых при алерте или участвующих в нем.
Щелкнув по имени пользователя или устройства, можно выполнить следующие действия:
Вы также можете щелкнуть по имени устройства, чтобы перейти к свойствам устройства.
Щелкнув по идентификатору безопасности пользователя или идентификатору устройства, можно выполнить следующие действия:
Вы также можете щелкнуть по идентификатору устройства, чтобы перейти к свойствам устройства.
В разделе Наблюдаемые объекты можно просмотреть наблюдаемые объекты, связанные с алертом. Наблюдаемые объекты могут включать:
Щелкнув по ссылке в столбцах Значение или Данные, можно выполнить следующие действия:
В разделе Похожие закрытые алерты можно просмотреть список закрытых алертов, которые затрагивали те же артефакты, что и текущее алерт. Затронутые артефакты включают наблюдаемые объекты и затронутые устройства. Похожие закрытые алерты могут помочь при расследовании текущего алерта.
Их список позволит оценить степень сходства текущего алерта с другими. Сходство рассчитывается следующим образом:
Сходство = M / T * 100
Где M – это количество совпадающих артефактов в текущем и сравниваемом алерте, а T – это общее количество артефактов в текущем алерте.
Если сходство составляет 100%, текущий алерт полностью совпадает со сравниваемым алертом. Если сходство составляет 0%, текущий и сравниваемый алерт полностью различаются. Алерты со сходством, равным 0%, не включаются в список.
Рассчитанное значение округляется до ближайшего целого числа. Если сходство составляет от 0% до 1%, это значение не округляется до 0%. В этом случае отображается значение "менее 1%".
Нажмите на идентификатор алерта, чтобы просмотреть детали алерта.
Настройка списка похожих закрытых алертов
Вы можете настроить таблицу, выполнив следующие действия:
В разделе Похожие инциденты можно просмотреть список инцидентов, которые затрагивали те же артефакты, что и текущий алерт. Затронутые артефакты включают наблюдаемые объекты и затронутые устройства. Похожие инциденты могут помочь определить, связан ли текущий алерт с существующим инцидентом.
Их список позволит оценить степень сходства текущего алерта с инцидентами. Сходство рассчитывается следующим образом:
Сходство = M / T * 100
Где M – это количество совпадающих артефактов в текущем алерте и сравниваемом инциденте, а T – это общее количество артефактов в текущем алерте.
Если сходство составляет 100%, текущий алерт полностью совпадает со сравниваемым инцидентом. Если сходство составляет 0%, текущий алерт и сравниваемый инцидент полностью различаются. Инциденты со сходством, равным 0%, не включаются в список.
Рассчитанное значение округляется до ближайшего целого числа. Если сходство составляет от 0% до 1%, это значение не округляется до 0%. В этом случае отображается значение "менее 1%".
По щелчку на идентификаторе инцидента открывается информация об инциденте.
Настройка списка похожих инцидентов
Вы можете настроить таблицу, выполнив следующие действия:
В разделе Комментарии можно добавить комментарии, относящиеся к алерту. Например, вы можете добавить комментарий о результатах расследования или об изменении свойств алерта при смене ответственного за алерт или статуса алерта.
Вы можете редактировать и удалять собственные комментарии. Комментарии других пользователей изменять и удалять нельзя.
Чтобы сохранить комментарий, нажмите на клавишу Enter. Чтобы начать новую строку, нажмите комбинацию клавиш Shift + Enter. Чтобы изменить или удалить свой комментарий, используйте кнопки в правом верхнем углу.
Право Запись в функциональной области Алерты и инциденты необходимо чтобы оставлять комментарии.
В разделе История можно отслеживать следующие изменения алерта как рабочего элемента:
См. также: |