Détails de l'incident

Sélectionnez n’importe quel incident, cliquez sur le bouton Actions ou sur le bouton représentant les trois points  > Afficher les détails.

Aperçu : vue d’ensemble de l’incident, fournit les informations suivantes :

•Les détails de l'incident sont affichés dans la section principale.

oGravité : Faible, Moyenne ou Élevée

oStatut : Ouvert — l’incident est ouvert ou rouvert par un administrateur sécurité ou un autre utilisateur. En cours : l’incident est en cours et fait actuellement l’objet d’une enquête. Fermé : l’incident est clos.

oHeure de création

oAuteur

oBalises : sélectionnez et appliquez des balises à un incident à partir de la liste existante ou créez de nouvelles balises personnalisées.

•Impact sur l’entreprise : nombre d’ordinateurs, d’identités, d’exécutables et de processus affectés. Cliquez sur le numéro pour aller à la page spécifique associée.

•Commentaires : vous pouvez ajouter un commentaire pour l'incident. Cliquez sur Afficher tous les commentaires pour afficher tous les commentaires créés. Vous pouvez modifier le commentaire, épingler le commentaire ou supprimer le commentaire.

•Description : explication de l'incident.

•Techniques MITTRE ATT&CK® : techniques MITTRE ATT&CK pour l'incident sélectionné disponibles.

•Étapes recommandées : étapes recommandées par l’IA pour lancer le processus de réponse aux incidents. Vous pouvez cliquer sur une étape recommandée pour exécuter une action de correction. Les actions qui ne peuvent pas être directement corrigées peuvent être marquées comme effectuées ou marquées comme non terminées, au besoin.

Graphique : affichez la structure du graphique des incidents composée d'indicateurs dans la disposition composée ou hiérarchique. Le graphique offre un panneau de configuration avec des boutons pour une orientation rapide — barre de zoom avant/arrière, Ajuster à l'écran, Réinitialiser la vue et info-bulle avec Raccourcis.

Le graphique est constitué de nœuds. Dans le graphique, vous pouvez cliquer sur n'importe quel nœud blanc pour voir des informations détaillées dans le panneau latéral. Vous ne pouvez pas afficher les détails des nœuds gris. Les nœuds spécifiques contiennent un menu avec des actions : Voir les détails, Voir les détails dans un nouvel onglet, Analyser avec nettoyage, Isoler du réseau, Recherche avancée.

Une flèche entre les nœuds représente la relation entre différents types de nœuds, par exemple :

oUtilisateur → CONNECTÉ → Ordinateur

oUtilisateur → EXÉCUTE → Processus

oProcessus parent → SOUS-PROCESSUS → Processus enfant

Vous pouvez trouver la chronologie du graphique des incidents avec le panneau de configuration de la chronologie pour revenir au début du graphique, avancer ou lire la période sélectionnée du graphique.

Vous pouvez sélectionner des groupes d'indicateurs selon leur gravité. Lorsque vous cliquez sur le groupe d'indicateurs, un sous-graphique est mis en surbrillance. Le sous-graphique ne comprend que le groupe sélectionné des indicateurs de gravité. Lorsque vous passez la souris sur les indicateurs dans le tableau, les objets correspondants du graphique sont mis en évidence.

Indicateurs : liste des indicateurs. Cliquez sur un indicateur pour afficher les détails. Si vous le souhaitez, vous pouvez afficher les détails dans un nouvel onglet, cliquez sur > Afficher les détails dans le nouvel onglet.

Vous pouvez afficher une arborescence des processus avec des nœuds de processus et d'indicateurs :

L'arborescence des processus permet aux utilisateurs de naviguer à travers les indicateurs. Vous pouvez cliquer sur un nœud de processus (un nœud arrondi) ou un nœud d'indicateur (un nœud rectangle) dans l'arborescence des processus pour afficher les détails en fonction de la disponibilité des données :

Ordinateurs affectés : liste des ordinateurs affectés.

Identités affectées : liste des utilisateurs concernés. Vous pouvez cliquer sur le bouton des trois points pour activer/désactiver l’utilisateur, réinitialiser le mot de passe utilisateur, révoquer les sessions > déconnecter les utilisateurs des périphériques associés dans AD. Vous pouvez créer des tâches XDR qui serviront d’action de réponse en cas d’incident.

Processus : une liste de processus déclenchés par l’exécutable. Vous pouvez cliquer sur le bouton des trois points pour avoir les options suivantes.

•Afficher les détails : redirige vers l’arborescence des processus avec les détails.

•Afficher les détails dans le nouvel onglet : redirige vers l’arborescence des processus avec les détails dans un nouvel onglet.

•Mettre fin au processus : arrête le processus, s’il est encore actif dans la mémoire opérationnelle.

•Recherche avancée : redirige vers la section Recherche avancée avec related.hash filtré.

•Télécharger l’exécutable : permet de télécharger le fichier exécutable pour une enquête plus approfondie.

•Soumettre à ESET LiveGuard : soumettre manuellement un fichier pour le fichier ESET LiveGuard.

Exécutables : liste d’exécutables. Vous pouvez cliquer sur le bouton des trois points pour avoir les options suivantes.

•Afficher les détails : redirige vers les détails de l’exécutable.

•Afficher les détails dans un nouvel onglet : redirige vers les détails de l’exécutable dans un nouvel onglet.

•Bloquer l'exécutable

•Bloquer et nettoyer l’exécutable

•Recherche avancée : redirige vers la section Recherche avancée.

•Télécharger l’exécutable : permet de télécharger le fichier exécutable pour une enquête plus approfondie.

Chronologie de l’incident : une chronologie avec un bref historique des incidents, depuis l’événement déclencheur jusqu’à la clôture de l’incident Si cette option est disponible, vous pouvez :

•voir les statuts.

•cliquer sur un objet pour afficher les détails.

•cliquer sur une action de réponse (sauf pour Bloquer et Bloquer et nettoyer) pour afficher les onglets Synthèse, Exécutions, Déclencheurs et Détails de l’exécution avec les détails, s’ils sont disponibles.

Dans chaque section, vous pouvez cliquer sur le bouton d’actualisation pour rafraîchir la page.

Cliquez sur le bouton Réagir à un incident pour sélectionner les objets concernés et définir les actions de traitement pour ces derniers. Vous pouvez sélectionner l'action de réponse (Isoler, Déconnecter l'utilisateur, Redémarrer, Analyser et nettoyer) et cliquer sur Confirmer.

oOrdinateurs > Continuer > sélectionnez l'action de réponse (Isoler, Déconnecter l'utilisateur, Redémarrer, Analyser et nettoyer) > Confirmer.

oIdentités > Continuer > Sélectionner l’action de réponse

oProcessus > Continuer > sélectionnez l'action de réponse (Supprimer le processus) > Confirmez.

oExécutables > Continuer > sélectionnez l'action de réponse (Bloquer, Bloquer et nettoyer) > Confirmer.

˄˅