Просмотр сведений об инциденте

Развернуть все | Свернуть все

Сведения об инциденте – это страница в интерфейсе, которая содержит всю информацию, относящуюся к инциденту, включая свойства инцидента.

Чтобы просмотреть сведения об инциденте:

1. В главном окне программы перейдите в раздел Мониторинг и отчеты → Инциденты.
2. В таблице инцидентов нажмите на идентификатор требуемого инцидента.

Откроется окно со сведениями об инциденте.

Панель инструментов в верхней части информации об инциденте позволяет выполнять следующие действия:

• Назначить инцидент аналитику.
• Изменить статус инцидента.
• Связать обнаружения с инцидентом.
• Объединить инцидент с другими инцидентами.

Сведения об инциденте содержат следующие разделы:

• Сводная информация

  Этот раздел содержит следующие свойства инцидента:

  • Критичность. Возможные значения: Низкий, Средний или Критичный. Уровень важности инцидента показывает, какое влияние этот инцидент может оказать на безопасность устройства или корпоративную локальную сеть на основе опыта "Лаборатории Касперского".
  • Приоритет: Низкий, Средний, Высокий или Критичный. Приоритет инцидентов определяет порядок, в котором инциденты должны расследоваться. Инциденты с приоритетом Критический являются наиболее важными и должны быть расследованы в первую очередь. Вы можете изменить приоритет, нажав на текущее значение приоритета.
  • Имя инцидента. Имя, указанное при создании инцидента. Вы можете изменить имя инцидента.
  • Метод создания. Как был создан инцидент, вручную или автоматически.
  • Правила. Правила, которые сработали для регистрации связанных обнаружений. Вы можете нажать на значок с многоточием рядом с названием правила, чтобы открыть контекстное меню. Используйте это меню, чтобы узнать больше о правиле, найти обнаружения или инциденты, которые были зарегистрированы тем же правилом, или выполнить поиск событий, инициирующих правило, в разделе Поиск угроз за последние 24 часа.
  • Создан. Дата и время создания инцидента.
  • Обновлено. Дата и время последнего изменения в истории инцидента.
  • Первое событие. Дата и время первого события, связанного с инцидентом. Это самое раннее событие в разделе сведений об обнаружении среди всех обнаружений, связанных с инцидентом.
  • Последнее событие. Дата и время последнего события, связанного с инцидентом. Это последнее событие в разделе сведений об обнаружении среди всех обнаружений, связанных с инцидентом.
  • Технологии. Список технологий, зарегистрировавших обнаружения, связанные с инцидентом.
  • Источник обнаружения. Программа, получившая данные телеметрии.
  • Тактика MITRE. Тактика или несколько тактик, зарегистрированных в обнаружениях, связанных с инцидентом. Тактика определена в базе знаний MITRE ATT&CK.
  • Техника MITRE. Техника или несколько техник, зарегистрированных в обнаружениях, связанных с инцидентом. Методы определены в базе знаний MITRE ATT&CK.
  • Имя устройства, идентификатор. Имена и идентификаторы устройств, затронутых инцидентом. Вы можете нажать на значок с многоточием рядом с именем устройства или идентификатором устройства, чтобы открыть контекстное меню. Используйте это меню для получения дополнительных сведений об устройстве, например, для просмотра свойств устройства или поиска по имени или идентификатору устройства в разделе Поиск угроз.
  • Имя пользователя, SID. Имена и идентификаторы безопасности пользователей, чьи устройства или учетные записи были затронуты инцидентом. Вы можете нажать на значок с многоточием рядом с именем пользователя или SID-пользователя, чтобы открыть контекстное меню. Используйте это меню, чтобы узнать больше об учетной записи пользователя, например, для поиска по имени пользователя или SID в разделе Поиск угроз.
• Подобные инциденты

  В разделе Подобные инциденты вы можете просмотреть список инцидентов, которые имеют те же затронутые артефакты, что и текущий инцидент. Затронутые артефакты включают как наблюдаемые объекты, так и затронутые устройства обнаружений, связанных с инцидентом. В списке есть инциденты во всех статусах.

  С помощью вы можете оценить степень сходства текущего инцидента и других инцидентов. Сходство рассчитывается следующим образом:

  Сходство = M / T * 100

  Здесь "M" – количество артефактов, совпадающих в текущем и аналогичном инциденте, "T" – общее количество артефактов в текущем инциденте.

  Если сходство составляет 100%, в текущем инциденте нет ничего нового по сравнению с аналогичным инцидентом. Если сходство равно 0%, текущий инцидент и схожий инцидент полностью различаются. Инциденты, имеющие сходство 0%, не включаются в список.

  Расчетное значение округляется до ближайшего целого числа. Если сходство равно значению от 0% до 1%, программа не округляет это значение до 0%. В этом случае значение отображается меньше 1%.

  При нажатии на идентификатор инцидента открывается подробная информация об инциденте.

  Настройка списка похожих инцидентов

  Вы можете настроить таблицу, используя следующие параметры:

  • Отфильтруйте инциденты, выбрав период, за который были обновлены инциденты. По умолчанию список содержит инциденты, которые обновлялись за последние 30 дней.
  • Нажмите на значок Параметры столбцов () и выберите, какие столбцы отображать и в каком порядке.
  • Нажмите на значок Фильтр (), выберите и настройте фильтры, которые хотите применить. Если вы выбрали несколько фильтров, они применяются одновременно с помощью логического оператора И.
  • Нажмите на заголовок столбца и выберите параметры сортировки. Вы можете отсортировать инциденты в порядке возрастания или убывания.
• Обнаружения

  В разделе Обнаружения вы можете просмотреть список обнаружений, связанных с текущим инцидентом.

  Нажав на идентификатор обнаружения, вы можете открыть сведения об обнаружении. Вы также можете использовать кнопки в панели инструментов, чтобы удалить связь обнаружения с инцидентом или назначить обнаружения себе.

• Активы

  В разделе Активы вы можете просмотреть устройства и пользователей, затронутых или вовлеченных в инцидент.

  Нажав на имя пользователя или устройства, вы можете:

  • Выполнить поиск по имени пользователя или идентификатору устройства в разделе Поиск угроз за последние 24 часа.
  • Выполнить поиск по имени пользователя или идентификатору устройства в других обнаружениях.
  • Выполнить поиск по имени пользователя или идентификатору устройства в других инцидентах.
  • Скопировать имя пользователя или имя устройства в буфер обмена.

  Вы также можете нажать на имя устройства, чтобы открыть свойства устройства.

  Нажав на идентификатор пользователя или идентификатор устройства, вы можете:

  • Выполнить поиск по идентификатору пользователя или идентификатору устройства в разделе Поиск угроз за последние 24 часа.
  • Выполнить поиск по идентификатору пользователя или идентификатору устройства в других обнаружениях.
  • Выполнить поиск по идентификатору пользователя или идентификатору устройства в других инцидентах.
  • Скопировать идентификатор пользователя или идентификатор устройства в буфер обмена.

  Вы также можете нажать на идентификатор устройства, чтобы открыть его свойства.

• Свойства события

  В разделе Наблюдаемые объекты вы можете просмотреть наблюдаемые объекты, которые относятся к обнаружениям, связанными с текущим инцидентом. Наблюдаемые объекты могут включать:

  • MD5-хеш.
  • IP-адрес.
  • URL.
  • Имя домена.
  • SHA256.
  • UserName.
  • HostName.

  Нажав на ссылку в столбцах Значение или Данные, вы можете:

  • Выполнить поиск по значению свойства события или данным в разделе Поиск угроз за последние 24 часа.
  • Выполнить поиск по значению свойства события в Kaspersky Threat Intelligence Portal (открывается в новой вкладке браузера).
  • Выполнить поиск по значению свойства события или данным в других обнаружениях.
  • Выполнить поиск по значению свойства события или данным в других инцидентах.
  • Скопировать значение свойства события или данные в буфер обмена.

  Панель инструментов этого раздела содержит следующие кнопки:

  • Запросить статусы Kaspersky TIP. Используйте эту кнопку, чтобы получить подробную информацию о выбранном наблюдаемом объекте в Kaspersky Threat Intelligence Portal (Kaspersky TIP). В результате информация обновляется в столбце Статус обновления.
  • Обогатить данные Kaspersky TIP. Используйте эту кнопку, чтобы получить подробную информацию обо всех перечисленных наблюдаемых объектах из Kaspersky TIP. В результате информация обновляется в столбце Обогащение. Используйте ссылку в столбце Обогащение, чтобы открыть полученные сведения об обогащении наблюдаемого объекта.
• История

  В разделе История вы можете отслеживать изменения, внесенные в инцидент как в объект:

  • Изменение статуса инцидента.
  • Изменение исполнителя инцидента.
  • Связь обнаружения с инцидентом.
  • Удаление связи обнаружения с инцидентом.
  • Объединение инцидента с другими инцидентами.

См. также: Об инцидентах Назначение инцидентов аналитикам Изменение статуса инцидента Изменение приоритета инцидента Объединение инцидентов

В начало