Détails de l'incident

Sélectionnez un incident, cliquez sur le bouton Actions ou sur le bouton à trois points , puis sur Afficher les détails.

Vue d'ensemble : vue d'ensemble de l'incident qui fournit les informations suivantes :

•Détails de l'incident tels qu'ils sont affichés dans la section principale.

oGravité : faible, moyenne ou élevée

oÉtat : ouvert : l'incident est ouvert ou a été rouvert par un administrateur sécurité ou un autre utilisateur. En cours : l'incident est en cours et fait l'objet d'une enquête. Fermé : l'incident est fermé.

oHeure de création

oAuteur

oBalises : dans la liste existante, sélectionnez des balises et appliquez-les à un incident ou créez de nouvelles balises personnalisées.

•Impact sur la société : nombre d'ordinateurs, d'identités, d'exécutables et de processus affectés. Cliquez sur le chiffre pour accéder à la page spécifique associée.

•Commentaires : vous pouvez ajouter un commentaire pour l'incident. Cliquez sur Afficher tous les commentaires pour afficher tous les commentaires créés. Vous pouvez modifier le commentaire, épingler le commentaire ou supprimer le commentaire.

•Description : explication de l'incident.

•Techniques MITTRE ATT&CK® : techniques MITTRE ATT&CK disponibles pour l'incident sélectionné.

•Actions recommandées : étapes recommandées, générées par l'IA, pour lancer le processus de réponse aux incidents. Vous pouvez cliquer sur une étape recommandée pour exécuter une action de correction. Les actions qui ne peuvent pas être directement corrigées peuvent être marquées comme terminées ou marquées comme non terminées, selon le cas.

Graphique : affichez la structure graphique de l'incident composée d'indicateurs dans une disposition composée ou hiérarchique. Le graphique comporte un panneau de commande avec des boutons permettant une orientation rapide : barre de zoom avant/arrière, Ajuster à l'écran, Réinitialiser la vue et info-bulle avec Raccourcis.

Le graphique est composé de nœuds. Dans le graphique, vous pouvez cliquer sur n'importe quel nœud blanc pour afficher des informations détaillées dans le panneau latéral. Vous ne pouvez pas afficher les détails des nœuds gris. Les nœuds spécifiques contiennent un menu avec des actions : Afficher les détails, Afficher les détails dans un nouvel onglet, Analyse avec nettoyage, Isoler du réseau, Recherche avancée.

Une flèche entre les nœuds représente la relation entre différents types de nœuds, par exemple :

oUtilisateur → CONNECTÉ → Ordinateur

oUtilisateur → EXÉCUTE → Processus

oProcessus parent → SOUS-PROCESSUS → Processus enfant

Vous pouvez trouver la chronologie du graphique des incidents avec le panneau de commande de la chronologie pour revenir au début du graphique, avancer ou lire la période sélectionnée du graphique.

Vous pouvez sélectionner des groupes d'indicateurs en fonction de leur gravité. Lorsque vous cliquez sur le groupe d'indicateurs, un sous-graphique est mis en surbrillance. Le sous-graphique ne comprend que le groupe d'indicateurs de gravité sélectionnés. Lorsque vous pointez sur les indicateurs du tableau, les objets correspondants dans le graphique sont mis en surbrillance.

Indicateurs : liste d'indicateurs. Cliquez sur un indicateur pour afficher les détails. Vous pouvez éventuellement afficher les détails dans un nouvel onglet, cliquer sur > Afficher les détails dans un nouvel onglet.

Vous pouvez afficher une arborescence de processus avec des nœuds de processus et d'indicateur :

L'arborescence des processus permet aux utilisateurs de naviguer dans l'indicateur. Vous pouvez cliquer sur un nœud de processus (nœud arrondi) ou un nœud d'indicateur (nœud rectangulaire) dans l'arborescence des processus pour afficher des détails en fonction de la disponibilité des données :

Ordinateurs affectés : liste des ordinateurs affectés.

Identités affectées : liste des utilisateurs affectés. Vous pouvez cliquer sur le bouton à trois points pour activer/désactiver l'utilisateur, réinitialiser le mot de passe utilisateur, révoquer les sessions > Déconnecter les utilisateurs des appareils associés dans Active Directory. Vous pouvez créer des tâches XDR en tant que mesures d'intervention face aux incidents.

Processus : liste des processus déclenchés par l'exécutable. Vous pouvez cliquer sur le bouton à trois points pour :

•Afficher les détails : redirige vers l'arborescence des processus comportant les détails.

•Afficher les détails dans un nouvel onglet : redirige vers l'arborescence des processus avec les détails dans un nouvel onglet.

•Arrêter le processus : arrête le processus s'il est toujours actif dans la mémoire de l'opération.

•Recherche avancée : redirige vers la section Recherche avancée avec related.hash filtré.

•Télécharger l'exécutable : permet de télécharger le fichier exécutable pour une enquête plus approfondie.

•Soumettre à ESET LiveGuard : permet de soumettre manuellement un fichier à ESET LiveGuard.

Exécutables : liste des exécutables. Vous pouvez cliquer sur le bouton à trois points pour :

•Afficher les détails : redirige vers les détails de l'exécutable.

•Afficher les détails dans un nouvel onglet : redirige vers les détails de l'exécutable dans un nouvel onglet.

•Bloquer l'exécutable

•Bloquer et nettoyer l'exécutable

•Recherche avancée : redirige vers la section Recherche avancée.

•Télécharger l'exécutable : permet de télécharger le fichier exécutable pour une enquête plus approfondie.

Chronologie des incidents : chronologie avec un bref historique des incidents, depuis l'événement déclencheur jusqu'à la clôture de l'incident Le cas échéant, vous pouvez :

•Afficher les états

•Cliquer sur un objet pour afficher les détails.

•Cliquer sur une mesure d'intervention (à l’exception de Bloquer et Bloquer et nettoyer) pour afficher les onglets Résumé, Exécutions, Déclencheurs et Détails de l'exécution avec des détails, le cas échéant.

Dans chaque section, vous pouvez cliquer sur le bouton Actualiser pour actualiser la page.

Cliquez sur le bouton Répondre à un incident pour sélectionner les objets concernés et définir les mesures d'intervention correspondantes. Sélectionnez la mesure d'intervention (Isoler, Déconnecter l'utilisateur, Redémarrer, Analyser et nettoyer) et cliquer sur Confirmer.

oOrdinateurs > Continuer > sélectionnez la mesure d'intervention (Isoler, Déconnecter l'utilisateur, Redémarrer, Analyser et nettoyer) > Confirmer.

oIdentités > Continuer > sélectionnez la mesure d'intervention

oProcessus > Continuer, la mesure d'intervention (Arrêter le processus) > Confirmer.

oExécutables > Continuer, sélectionnez la mesure d'intervention (Bloquer, Bloquer et nettoyer) > Confirmer.

˄˅