Rozšířené vyhledávání

Sekce Rozšířené vyhledávání umožňuje pokročilé zkoumání Open XDR datových indikátorů a poskytuje standardní funkce, jako je vyhledávání, dotazování a zařazování.

Stránka obsahuje následující hlavní části:

Filtr dotazů

Zadejte dotaz Lucene, nebo celý text, který chcete vyhledat.

Filtr data

Pomocí filtru data můžete omezit výsledky na konkrétní časové období pro podrobnější vyšetřování.

1.Klikněte na ikonu kalendáře a v rozevírací nabídce vyberte možnost Jednorázově nebo Rozsah času:

•Jednorázově - Kliknutím na pole Zvolte datum vyberte předdefinovaný relativní rozsah(Posledních 15 minut, Posledních 30 minut, Poslední hodina, Posledních 24 hodin, Posledních 7 dní, Posledních 14 dní, Poslední měsíc) nebo definujte vlastní relativní rozsah pomocí položek Zvolte směr, Zadejte množství a Zvolte jednotku.

•Rozsah času – Kliknutím na možnosti Datum zahájení a Datum ukončení můžete data zadat jako relativní nebo absolutní (přesné datum/čas).

2.Kliknutím na tlačítko Spustit použijete filtr a aktualizujete výsledky.

Panel filtru

Můžete filtrovat podle konkrétních datových polí a hodnot Open XDR. Klikněte tlačítko Přidat filtr nebo klikněte na panel filtru, abyste vybrali pole a nastavili jeho hodnotu.

1.V seznamu vyberte datové pole Open XDR. Do pole filtru zadejte hledaný výraz nebo vyberte požadované položky v rozevírací nabídce.

2.U některých filtrů můžete vybrat operátor kliknutím na ikonu operátoru vedle názvu filtru (dostupné operátory závisí na typu filtru):

Rovná se nebo Obsahuje

Nerovná se nebo Neobsahuje

Větší nebo rovno

Méně nebo rovno

je jeden z

není jeden z

3.Stiskněte klávesu Enter. Aktivní filtr je zvýrazněn modře.

•Pomocí ikony filtru eset.severity můžete filtrovat podle závažnosti. Můžete použít kombinaci ikon – Vysoká, Střední, Nízká – jejich zapnutím nebo vypnutím. Chcete-li například zobrazit pouze události střední závažnosti, ponechte vybranou pouze žlutou ikonu (zvolené ostatních ikon je třeba zrušit). Chcete-li zobrazit úrovně závažnosti, střední závažnost a vysokou závažnost, ponechte zapnuté pouze tyto dvě ikony.

•Filtry si můžete uložit do svého uživatelského profilu pro budoucí použití. Kliknutím na ikonu Předvolby můžete spravovat uložené sady filtrů:

Výsledek

Výsledky jsou vizualizovány v histogramu, který zobrazuje počet shod v závislosti na agregovaných časových intervalech pro aktuálně filtrované události.

•Kliknutím na sloupec zobrazíte podrobnosti týkající se událostí pro daný interval. Filtr času/data se aktualizuje na počáteční a koncový čas daného sloupce a výsledky se automaticky znovu načtou.

•Kliknutím a tažením přes histogram můžete vybrat souvislý rozsah intervalů. Filtr času/data se aktualizuje na tento rozsah a výsledky se automaticky znovu načtou.

Tabulka indikátorů

V tabulce indikátorů jsou uvedeny indikátory, které odpovídají vyhledávacímu dotazu a aktivním filtrům. Kliknutím na tlačítko se třemi tečkami v řádku indikátorů můžete atribut Zahrnout do filtru, Vyloučit z filtru nebo Zkopírovat do schránky.

Kliknutím na ikonu ozubeného kola v záhlaví sloupce získáte přístup k akcím tabulky:

•Vyberte některou z akcí: Upravit sloupce – seřazení hodnot ve sloupci. Pomocí průvodce můžete přidat, odebrat nebo změnit pořadí zobrazených sloupců. Při správě sloupců můžete využít techniku drag and drop. Kliknutím na Obnovit obnovíte sloupce tabulky do výchozího stavu (výchozí dostupné sloupce ve výchozím pořadí). Automaticky přizpůsobit – automaticky upraví šířku sloupců podle obsahu, Zobrazit relativní čas/Zobrazit absolutní čas – zvolte relativní časová razítka (například před 5 minutami) nebo absolutní časová razítka.

•Řazení tabulky: Zrušit řazení – vymaže všechna použitá nastavení řazení.

•Stáhnout jako: CSV (pouze tabulka) – export až 500 nejlepších výsledků tabulových dat ve formátu CSV.

Ruční vytvoření incidentu

Pokud chcete vytvořit incident z existujícího indikátoru, postupujte takto:

1.Zaškrtnutím políček vedle indikátorů v tabulce je vyberte a klikněte na tlačítko Přidat k incidentu.

2.Vyberte Vytvořit nový incident a klikněte na Další.

3.Zadejte název, vyberte úroveň závažnosti a klikněte na Přidat.

4.Incident je vytvořen ručně. Kliknutím na Zobrazit incident v oznámení zobrazíte podrobnosti o incidentu.

Vytvořený incident je také viditelný v tabulce Incidenty.

Pokud chcete přidat indikátor k existujícímu incidentu, postupujte takto:

1.Zaškrtnutím políček vedle indikátorů v tabulce je vyberte a klikněte na tlačítko Přidat k incidentu.

2.Vyberte Přidat ke stávajícímu incidentu a klikněte na Další.

3.Vyhledejte a vyberte incident v tabulce a klikněte na Přidat.

4.Incident byl aktualizován. Kliknutím na Zobrazit incident v oznámení zobrazíte podrobnosti o incidentu. Přidané indikátory najdete v sekci Indikátory. Informace o přidaných indikátorech jsou k dispozici také v sekci Časová osa incidentu.

Boční panel indikátoru

Kliknutím na libovolný řádek zobrazíte podrobnosti týkající se vybraného indikátoru v bočním panelu. Kliknutím na tlačítko Zobrazit podrobnosti otevřete novou karta okna s přehledem podrobností o indikátoru (tato karta je přístupná také z nabídky Incidenty).

•Přehled – podrobnosti se liší podle typu indikátoru. Barva panelu odráží úroveň závažnosti: modrá – nízká závažnost, žlutá – střední závažnost a červená – vysoká závažnost.

oDo vyhledávací lišty můžete psát a filtrovat názvy polí a jejich hodnoty.

oKliknutím na tlačítko se třemi tečkami nebo kdekoli v řádku atributu můžete filtrovat, zkopírovat do schránky nebo vyloučit z filtru určitý atribut nebo přidat sloupec pro přidání vybraného pole jako sloupce tabulky.

oPodrobné vysvětlení najdete v sekci Datový formát Open XDR.

•JSON – strukturované zobrazení indikátoru ve formátu JSON. Kliknutím na tlačítko Zkopírovat do schránky zkopírujete JSON.

˄˅