Dettagli incidente

Selezionare uno o più incidenti, fare clic sul pulsante Azioni o sul pulsante con tre punti > Visualizza dettagli.

Panoramica: panoramica dell’incidente, fornisce le informazioni riportate di seguito.

•I dettagli dell’incidente sono visualizzati nella sezione principale.

oGravità: bassa, media o alta

oStato: aperto, vale a dire l’incidente viene aperto o riaperto da un Security Administrator o da un altro utente. In corso: l’incidente è in corso e attualmente oggetto di indagine. Chiuso: l’incidente è chiuso.

oOra di creazione

oAutore

oTag: selezionare e applicare tag a un incidente dall’elenco esistente o creare nuovi tag personalizzati.

•Impatto sull’azienda: numero di Computer, Identità, Eseguibili e Processi interessati. Fare clic sul numero per andare alla pagina specifica correlata.

•Commenti: è possibile utilizzare la funzione Aggiungi un commento per l'incidente. Fare clic su Visualizza tutti i commenti per visualizzare tutti i commenti creati. È possibile eseguire le seguenti azioni: Modifica commento, Fissa commento o Rimuovi commento.

•Descrizione: spiegazione dell’incidente.

•Tecniche MITTRE ATT&CK®: tecniche MITTRE ATT&CK disponibili per l’incidente selezionato.

•Azioni consigliate: passaggi consigliati guidati dall’IA per avviare il processo di risposta agli incidenti. È possibile fare clic su un passaggio consigliato per eseguire un’azione correttiva. Le azioni che non possono essere corrette direttamente possono essere Contrassegnate come eseguite o Contrassegnate come non eseguite, in base alle esigenze.

Grafico: consente di visualizzare la struttura del grafico degli incidenti formata dagli indicatori nel layout composto o gerarchico. Questo grafico offre un pannello di controllo con pulsanti per un orientamento rapido: barra di ingrandimento/rimpicciolimento, Adatta allo schermo, Reimposta vista e descrizione dei comandi informativa con Collegamenti.

Il grafico è costituito da nodi. Nel grafico è possibile fare clic su un qualsiasi nodo bianco per visualizzare informazioni dettagliate nel pannello laterale. Non è possibile visualizzare i dettagli dei nodi grigi. Nodi specifici contengono un menu con le seguenti azioni: Visualizza dettagli, Visualizza dettagli in una nuova scheda, Controllo con pulizia, Isola dalla rete, Ricerca avanzata.

Una freccia tra i nodi rappresenta la relazione tra diversi tipi di nodi, ad esempio:

oUtente → AUTENTICATO → Computer

oUtente → ESEGUE → Processo

oProcesso principale → SOTTOPROCESSO → Processo secondario

È possibile trovare la sequenza temporale del grafico degli incidenti con il pannello di controllo della sequenza temporale per tornare allo stato iniziale del grafico, andare avanti o riprodurre il periodo di tempo selezionato del grafico.

È possibile selezionare gruppi di indicatori in base alla loro gravità. Facendo clic sul gruppo degli indicatori, viene messo in evidenza un grafico secondario. Il grafico secondario consiste solo nel gruppo di indicatori di gravità selezionato. Quando si passa il mouse sopra gli indicatori nella tabella, vengono evidenziati gli oggetti corrispondenti nel grafico.

Indicatori: elenco degli indicatori. Fare clic su un indicatore per visualizzare i dettagli. Facoltativamente, è possibile visualizzare i dettagli in una nuova scheda, facendo clic su > Visualizza dettagli nella nuova scheda.

È possibile visualizzare una struttura ad albero dei nodi dei processi e degli indicatori:

La struttura ad albero dei processi consente agli utenti di spostarsi tra i vari indicatori. È possibile fare clic su un nodo di processo (di forma rotonda) o su un nodo di indicatore (di forma rettangolare) nella struttura ad albero dei processi per visualizzare i dettagli in base alla disponibilità dei dati:

Computer interessati: elenco dei computer interessati.

Identità interessate: elenco degli utenti interessati. È possibile fare clic sul pulsante con i tre puntini per Abilitare/Disabilitare l’utente, Reimpostare la password dell’utente, Revocare le sessioni > Disconnettere gli utenti dai dispositivi associati in AD. È possibile creare attività XDR come azione di risposta agli incidenti.

Processi: elenco dei processi attivati dall’eseguibile. Fare clic sul pulsante dei tre puntini per selezionare le seguenti opzioni:

•Visualizza dettagli: reindirizza alla struttura ad albero dei processi con i dettagli.

•Visualizza dettagli in una nuova scheda: reindirizza alla struttura ad albero dei processi con i dettagli in una nuova scheda.

•Termina processo: termina il processo, se è ancora attivo nella memoria operativa.

•Ricerca avanzata: reindirizza alla sezione Ricerca avanzata con related.hash filtrato.

•Scarica eseguibile: scarica il file eseguibile per ulteriori indagini.

•Invia a ESET LiveGuard: invia manualmente il file per il file ESET LiveGuard.

Eseguibili: elenco di eseguibili. Fare clic sul pulsante dei tre puntini per selezionare le seguenti opzioni:

•Visualizza dettagli: reindirizza ai dettagli dell’eseguibile.

•Visualizza dettagli in una nuova scheda: reindirizza ai dettagli dell’eseguibile in una nuova scheda.

•Blocca eseguibile

•Blocca e pulisci eseguibile

•Ricerca avanzata: reindirizza alla sezione Ricerca avanzata.

•Scarica eseguibile: scarica il file eseguibile per ulteriori indagini.

Sequenza temporale degli incidenti: sequenza temporale con una breve cronologia degli incidenti, dall'evento scatenante fino alla chiusura Se disponibile, è possibile:

•visualizzare gli stati.

•fare clic su un oggetto per visualizzarne i dettagli.

•fare clic su un’azione di risposta (ad eccezione di Blocca e Blocca e pulisci) per visualizzare le schede Riepilogo, Esecuzioni, Attivazioni e Dettagli esecuzione con i dettagli, se disponibili.

In ogni sezione è possibile fare clic sul pulsante di aggiornamento per aggiornare la pagina.

Fare clic sul pulsante Rispondi all’incidente per selezionare gli oggetti interessati e definire le relative azioni di risposta. Selezionare l'azione di risposta (Isola, Disconnetti utente, Riavvia, Controlla e pulisci) e fare clic su Conferma.

oComputer > Continua > selezionare l'azione di risposta (Isola, Disconnetti utente, Riavvia, Controlla e pulisci) > Conferma.

oIdentità > Continua > Selezionare l’azione di risposta

oProcessi > Continua > selezionare l'azione di risposta (Termina processo) > Conferma.

oEseguibili > Continua > selezionare l'azione di risposta (Blocca, Blocca e pulisci) > Conferma.

˄˅