Просмотр сведений об обнаружении
Сведения о обнаружении – это страница в интерфейсе, которая содержит всю информацию, относящуюся к обнаружению, включая свойства обнаружения.
Чтобы просмотреть сведения об обнаружении:
- В главном окне программы перейдите в раздел Мониторинг и отчеты → Обнаружения.
- Если в Kaspersky Security Center Cloud Console интегрированы и Kaspersky EDR Optimum, и Kaspersky Single Management Platform, то раздел Обнаружения разделен на две вкладки. Перейдите на вкладку Expert. В противном случае пропустите этот шаг.
- В таблице обнаружений нажмите на идентификатор требуемого обнаружения.
Отображаются сведения об обнаружении.
Панель инструментов в верхней части сведений об обнаружении позволяет выполнять следующие действия:
- Назначить обнаружение аналитику
- Изменить статус обнаружения
- Связать обнаружение с инцидентом
- Отменить связь обнаружения с инцидентом
Информация об обнаружении состоит из следующих разделов:
- Сводная информация.
Раздел сводной информации содержит следующие свойства обнаружения:
- Критичность. Возможные значения: Низкий, Средний или Критичный. Уровень важности обнаружения показывает, какое влияние это обнаружение может оказать на безопасность устройства или корпоративную локальную сеть на основе опыта "Лаборатории Касперского".
- Правила. Правила, которые сработали для регистрации обнаружения. Вы можете нажать на значок с многоточием рядом с названием правила, чтобы открыть контекстное меню. Используйте это меню, чтобы узнать больше о правиле, найти обнаружения или инциденты, которые были зарегистрированы тем же правилом, или выполнить поиск событий, инициирующих правило, в разделе Поиск угроз за последние 24 часа.
- Зарегистрировано. Дата и время, когда обнаружение было добавлено в таблицу обнаружений.
- Первое событие. Дата и время первого события, связанного с обнаружением.
- Последнее событие. Дата и время последнего события, связанного с обнаружением.
- Технологии. Технология, зарегистрировавшая обнаружение.
- Источник обнаружения. Программа, получившая данные телеметрии.
- Тактика MITRE. Тактика или несколько тактик, зарегистрированных в обнаружении. Тактика определена в базе знаний MITRE ATT&CK.
- Техника MITRE. Техника или несколько техник, зарегистрированных в обнаружении. Методы определены в базе знаний MITRE ATT&CK.
- Имя устройства, идентификатор. Имена и идентификаторы устройств, затронутых обнаружением. Вы можете нажать на значок с многоточием рядом с именем устройства или идентификатором устройства, чтобы открыть контекстное меню. Используйте это меню для получения дополнительных сведений об устройстве, например, для просмотра свойств устройства или поиска по имени или идентификатору устройства в разделе Поиск угроз за последние 24 часа.
- Имя пользователя, SID. Имена и идентификаторы безопасности пользователей, чьи устройства или учетные записи были затронуты обнаружением. Вы можете нажать на значок с многоточием рядом с именем пользователя или SID-пользователя, чтобы открыть контекстное меню. Используйте это меню, чтобы узнать больше об учетной записи пользователя, например, для поиска по имени пользователя или SID в разделе Поиск угроз за последние 24 часа.
- Подробная информация.
В разделе Подробнее вы можете отслеживать события телеметрии, связанные с обнаружением.
Из этого раздела вы можете перейти в раздел Поиск угроз, где вы можете определить условия поиска, например, чтобы найти все события, в которых было задействовано устройство.
- Активы
В разделе Активы можно просмотреть устройства и пользователей, затронутых обнаружением или участвующих в нем.
Нажав на имя пользователя или устройства, вы можете:
- Выполнить поиск по имени пользователя или идентификатору устройства в разделе Поиск угроз за последние 24 часа.
- Выполнить поиск по имени пользователя или идентификатору устройства в других обнаружениях.
- Выполнить поиск по имени пользователя или идентификатору устройства в других инцидентах.
- Скопировать имя пользователя или имя устройства в буфер обмена.
Вы также можете нажать на имя устройства, чтобы открыть свойства устройства.
Нажав на идентификатор пользователя или идентификатор устройства, вы можете:
- Выполнить поиск по идентификатору пользователя или идентификатору устройства в разделе Поиск угроз за последние 24 часа.
- Выполнить поиск по идентификатору пользователя или идентификатору устройства в других обнаружениях.
- Выполнить поиск по идентификатору пользователя или идентификатору устройства в других инцидентах.
- Скопировать идентификатор пользователя или идентификатор устройства в буфер обмена.
Вы также можете нажать на идентификатор устройства, чтобы открыть его свойства.
- Свойства события
В разделе Свойства события вы можете просмотреть свойства события, связанные с обнаружением. Наблюдаемые объекты могут включать:
- MD5-хеш.
- IP-адрес.
- URL.
- Имя домена.
- SHA256.
- UserName.
- HostName.
Нажав на ссылку в столбцах Значение или Данные, вы можете:
- Найти значение свойства события в разделе Поиск угроз за последние 24 часа.
- Выполнить поиск по значению свойства события или данным в других обнаружениях.
- Выполнить поиск по значению свойства события или данным в других инцидентах.
- Скопировать значение свойства события или данные в буфер обмена.
Панель инструментов этого раздела содержит следующие кнопки:
- Запросить статусы Kaspersky TIP. Используйте эту кнопку, чтобы получить подробную информацию о выбранном наблюдаемом объекте в Kaspersky Threat Intelligence Portal (Kaspersky TIP). В результате информация обновляется в столбце Статус обновления.
- Обогатить данные Kaspersky TIP. Используйте эту кнопку, чтобы получить подробную информацию обо всех перечисленных наблюдаемых объектах из Kaspersky TIP. В результате информация обновляется в столбце Обогащение. Используйте ссылку в столбце Обогащение, чтобы открыть полученные сведения об обогащении наблюдаемого объекта.
- Похожие закрытые обнаружения
В разделе Похожие закрытые обнаружения вы можете просмотреть список закрытых обнаружений, которые имеют те же затронутые артефакты, что и текущее обнаружение. Затронутые артефакты включают наблюдаемые объекты и затронутые устройства. Похожие закрытые обнаружения могут помочь вам изучить текущее обнаружение.
С помощью списка вы можете оценить степень сходства текущего обнаружения и других обнаружений. Сходство рассчитывается следующим образом:
Сходство = M / T * 100
Здесь "M" – количество артефактов, совпадающих в текущем и аналогичном обнаружении, "T" – общее количество артефактов в текущем обнаружении.
Если сходство составляет 100%, в текущем обнаружении нет ничего нового по сравнению с аналогичным обнаружением. Если сходство равно 0%, текущее и аналогичное обнаружение полностью различаются. Обнаружения, имеющие сходство 0%, не включаются в список.
Расчетное значение округляется до ближайшего целого числа. Если сходство равно значению от 0% до 1%, программа не округляет это значение до 0%. В этом случае значение отображается меньше 1%.
При нажатии на идентификатор обнаружения открывается подробная информация об обнаружении.
Настройка списка похожих закрытых обнаружений
Вы можете настроить таблицу, используя следующие параметры:
- Отфильтруйте обнаружения, выбрав период, за который были обновлены обнаружения. По умолчанию список содержит обнаружения, которые обновлялись за последние 30 дней.
- Нажмите на значок Параметры столбцов (
) и выберите, какие столбцы отображать и в каком порядке. - Нажмите на значок Фильтр (
), выберите и настройте фильтры, которые хотите применить. Если вы выбрали несколько фильтров, они применяются одновременно с помощью логического оператора И. - Нажмите на заголовок столбца и выберите параметры сортировки. Вы можете отсортировать обнаружения в порядке возрастания или убывания.
- Подобные инциденты
В разделе Подобные инциденты вы можете просмотреть список инцидентов, которые имеют те же затронутые артефакты, что и текущее обнаружение. Затронутые артефакты включают наблюдаемые объекты и затронутые устройства. Подобные инциденты могут помочь вам решить, может ли текущее обнаружение быть связано с существующим инцидентом.
С помощью списка вы можете оценить степень сходства текущего обнаружения и инцидентов. Сходство рассчитывается следующим образом:
Сходство = M / T * 100
Здесь "M" – количество артефактов, совпадающих в текущем и аналогичном инциденте, "T" – общее количество артефактов в текущем обнаружении.
Если сходство составляет 100%, в текущем обнаружении нет ничего нового по сравнению с аналогичным инцидентом. Если сходство равно 0%, текущее обнаружение и схожий инцидент полностью различаются. Инциденты, имеющие сходство 0%, не включаются в список.
Расчетное значение округляется до ближайшего целого числа. Если сходство равно значению от 0% до 1%, программа не округляет это значение до 0%. В этом случае значение отображается меньше 1%.
При нажатии на идентификатор инцидента открывается подробная информация об инциденте.
Настройка списка похожих инцидентов
Вы можете настроить таблицу, используя следующие параметры:
- Отфильтруйте инциденты, выбрав период, за который были обновлены инциденты. По умолчанию список содержит инциденты, которые обновлялись за последние 30 дней.
- Нажмите на значок Параметры столбцов () и выберите, какие столбцы отображать и в каком порядке.
- Нажмите на значок Фильтр (), выберите и настройте фильтры, которые хотите применить. Если вы выбрали несколько фильтров, они применяются одновременно с помощью логического оператора И.
- Нажмите на заголовок столбца и выберите параметры сортировки. Вы можете отсортировать инциденты в порядке возрастания или убывания.
- Комментарии
В разделе Комментарии вы можете оставлять комментарии, связанные с обнаружением. Например, вы можете написать комментарий о результатах расследования или при изменении свойств обнаружения, таких как исполнитель или статус обнаружения.
Вы можете изменять или удалять свои комментарии. Комментарии других пользователей невозможно изменить или удалить.
- История
В разделе История вы можете отслеживать изменения, внесенные в обнаружения как в объект:
- Изменение статуса обнаружения.
- Изменение исполнителя обнаружения.
- Связь обнаружения с инцидентом.
- Удаление связи между обнаружением и инцидентом.
|
См. также: |