インシデント

インシデントを使用すると、インジケーターをインシデントに相関付けることができ、脅威の調査が改善されます。インシデントはインジケーターから自動的に作成されるため、アラートのトリアージ時間が大幅に短縮されます。

ビューのフィルタリング

ビューをフィルタリングするには複数の方法があります。

•タグセレクター(矢印アイコン)をクリックし、タグを選択すると、一覧のインシデントのフィルターをアクティブにすることができます。結果は青色でハイライト表示され、選択したタグが付いたインシデントが表示されます。

•インシデントの重大度—高、中、または低をクリックします。オンまたはオフにして、アイコンを組み合わせて使用することができます。

•インシデントステータス - オープン、進行中、入力待ち、またはクローズ

•フィルターの追加をクリックし、ドロップダウンメニューからインシデントのタイプを選択します。

o担当者—担当者の名前を入力します。

o作成者 - ドロップダウンメニューから選択します。ESET、ESETサービス、またはユーザー名。

oクローズの理由 - ドロップダウンメニューから選択します。すべて、誤検知、不審、真陽性。

o作成時間 - ドロップダウンメニューから選択します: ≤ 今日、≤ 24時間前、≤ 3 日前、≤ 7日前、≤ 14日前、≤ 30日前、≤ 90日前、≤ 180日前

o前回の更新 - ドロップダウンメニューから選択します: ≤ 今日、≤ 24時間前、≤ 3 日前、≤ 7日前、≤ 14日前、≤ 30日前、≤ 90日前、≤ 180日前

o名前—インシデント名を入力します。

oコンピューターの数 - 選択したコンピューターの数を入力します。

oインジケーターの数 - 選択したインジケーターの数を入力します。

oユーザー数 - 選択したユーザーの数を入力します。

フィルターとレイアウトのカスタマイズ

現在のWebコンソール画面ビューをカスタマイズできます。

•サイドパネルとメインテーブルを管理します。

•フィルターとフィルタープリセットを追加します。 タグを使用して、表示される項目をフィルタリングできます。

インシデントの詳細

インシデントを選択し、アクションボタンをクリックし、3つのドットのボタンをクリックして、次の操作を行います。

•詳細を表示 - インシデントの概要を表示します。

概要—次の情報が表示されます。

oメインセクションに表示されるインシデントの詳細。

o会社への影響 - 影響を受けたコンピューター、実行ファイル、プロセスの数。数字をクリックすると、関連する特定のページに移動します。

oコメント - インシデントのコメントを追加できます。すべてのコメントを表示をクリックして、作成されたすべてのコメントを表示します。コメントの編集、コメントのピン留め、コメントの削除を行うことができます。

o説明—インシデントの説明。

oMITTRE ATT&CK®手法 - 選択したインシデントで使用可能なMITTRE ATT&CK手法。

o推奨される手順 - インシデント対応プロセスを開始するための手順。

グラフ - 複合レイアウトまたは階層的レイアウトでインジケーターで構成されたインシデントグラフ構造を表示できます。グラフには、ズームイン/ズームアウトバー、画面に合わせる、ビューのリセット、ショートカット付きの情報ツールチップなど、簡単な説明を提供するボタンを備えたコントロールパネルがあります。

グラフはノードで構成されています。グラフ内の任意の白いノードをクリックすると、サイドパネルに詳細情報が表示されます。グレーノードの詳細は閲覧できません。

ノード間の矢印は異なる種類のノード間の関係を表します。例:

oユーザー → ログイン → コンピューター

oユーザー→ 実行 → プロセス

o親プロセス → サブプロセス → 子プロセス

タイムラインコントロールパネルでインシデントグラフのタイムラインを確認でき、グラフを最初の状態に戻したり、先に進めたり、選択した期間を再生したりできます。

重大度に基づいてインジケーターのグループを選択できます。インジケーターのグループをクリックすると、サブグラフが強調表示されます。サブグラフは選択した重大度のインジケーターグループのみで構成されています。

インジケーター - インジケーターのリスト。詳細を見るにはインジケーターをクリックします。オプションとして、新しいタブで詳細を閲覧することも可能です。 > 新しいタブで詳細を見るをクリックしてください。

プロセスノードとインジケーターノードを含むプロセスツリーを表示できます。

プロセスツリーで、ユーザーはインジケーターを移動できます。プロセスツリー内のプロセスノード(丸いノード)またはインジケーターノード(長方形のノード)をクリックすると、データの可用性に基づいて詳細が表示されます。

影響を受けるコンピューター - 影響を受けるコンピューターの一覧。

影響を受けるアイデンティティ - 影響を受けるユーザーの一覧。

インシデントタイムライン - トリガーイベントからインシデントの終了まで、インシデントの簡潔な履歴を含むタイムライン

すべてのセクション(グラフを除く)で、以下をクリックできます。

•Inspectボタンをクリックして、ESET Inspectにリダイレクトし、インシデントグラフでインシデントを調べます。

•更新ボタンをクリックして、ページを更新します。

インシデントに対応ボタンをクリックして、影響を受けるオブジェクトを選択し、それらの対応アクションを定義します。対応アクション(分離、ユーザーのログアウト、再起動、検査と駆除)を選択し、確認をクリックできます。

oコンピューター > 続行 > 対応アクション(分離、ユーザーのログアウト、再起動、検査と駆除) > 確認を選択します。

oプロセス > 続行 > 対応アクション(プロセスの強制終了) > 確認を選択します。

o実行ファイル > 続行 > 対応アクション(ブロック、ブロックと駆除) > 確認を選択します。

•ステータスと担当者の変更 - ドロップダウンメニューからクリックして選択します。

oステータス - ドロップダウンメニューからインシデントの現在のステータスを選択します。オープン、進行中、入力待ち、またはクローズ。[クローズ]を選択した場合、インシデントを閉じる理由(真陽性、疑わしい、誤検知、または無効)を追加で選択し、必要に応じてコメントを書きます。

o担当者 - オープンまたは進行中ステータスを選択した場合は、ドロップダウンメニューから使用可能なユーザーを選択します。

[保存]をクリックします。

•タグ - ドロップダウンメニューからタグをクリックして選択し、適用をクリックします。または、新しいキーワードを入力し、Enterキーを押して新しいタグを作成することもできます。

˄˅