Incydenty

Incydenty pozwalają nam korelować wskaźniki z incydentami, co pomaga badać zagrożenia. Incydenty są tworzone automatycznie na podstawie wskaźników, co znacznie skraca czas klasyfikacji alertów.

Filtrowanie widoku

Widok można filtrować na kilka sposobów:

•Kliknij selektor Znaczniki (ikona strzałki) i wybierz znacznik(i), aby aktywować filtr dla wymienionych incydentów. Wyniki są wyróżnione kolorem niebieskim i pokazują incydenty z wybranymi znacznikami.

•Kliknij opcję Ważność incydentu — Wysoka, Średnia lub Niska. Z tych ikon można korzystać łącznie, włączając je i wyłączając.

•Stan incydentu — Otwarty, W toku, Oczekiwanie na dane wejściowe lub Zamknięty

•Kliknij przycisk Dodaj filtr i wybierz typy incydentów z menu rozwijanego.

oOsoba odpowiedzialna — wpisz imię i nazwisko osoby odpowiedzialnej.

oAutor — wybierz z menu rozwijanego: ESET, usługa ESET lub nazwa użytkownika.

oPowód zamknięcia — wybierz z menu rozwijanego: Wszystkie, fałszywy alarm, podejrzany, prawdziwy alarm.

oCzas utworzenia — wybierz z menu rozwijanego: ≤ Dzisiaj, ≤ 24 godziny temu, ≤ 3 dni temu, ≤ 7 dni temu, ≤ 14 dni temu, ≤ 30 dni temu, ≤ 90 dni temu lub ≤ 180 dni temu.

oOstatnia aktualizacja — wybierz z menu rozwijanego: ≤ Dzisiaj, ≤ 24 godziny temu, ≤ 3 dni temu, ≤ 7 dni temu, ≤ 14 dni temu, ≤ 30 dni temu, ≤ 90 dni temu lub ≤ 180 dni temu.

oNazwa — wpisz nazwę incydentu.

oLiczba komputerów — wpisz liczbę wybranych komputerów.

oLiczba wskaźników — wpisz liczbę wybranych wskaźników.

oLiczba użytkowników — wpisz liczbę wybranych użytkowników.

Filtry i dostosowanie układu

Można dostosować bieżący widok ekranu konsoli internetowej:

•Zarządzanie panelem bocznym i tabelą główną.

•Dodawanie filtrów i ustawień wstępnych filtra. Za pomocą tagów można filtrować wyświetlane elementy.

Szczegóły incydentu

Wybierz dowolne incydenty, kliknij przycisk Akcje, a następnie ikonę trzech kropek , aby skorzystać z następujących opcji:

•Wyświetl szczegóły — wyświetlanie przeglądu incydentu.

Przegląd — zawiera następujące informacje:

oSzczegóły incydentu wyświetlane w sekcji głównej.

oWpływ na firmę — liczba narażonych komputerów, plików wykonywalnych i procesów. Kliknij liczbę, aby przejść do powiązanej strony.

oKomentarze — możesz dodać komentarz do incydentu. Kliknij przycisk Wyświetl wszystkie komentarze, aby wyświetlić wszystkie utworzone komentarze. Możesz edytować komentarz, przypiąć komentarz lub usunąć komentarz.

oOpis — wyjaśnienie incydentu.

oTechniki MITTRE ATT&CK® — techniki MITTRE ATT&CK dostępne dla wybranego incydentu.

oZalecane kroki — kroki, które należy wykonać, aby zainicjować proces reagowania na incydent.

Wykres — wyświetlanie struktury wykresu incydentów złożonego ze wskaźników w układzie złożonym lub hierarchicznym. Wykres zawiera panel sterowania z przyciskami do szybkiej orientacji — pasek przybliżenia/oddalania, Dopasowywanie do ekranu, Resetowanie widoku oraz etykieta informacyjna ze skrótami.

Wykres składa się z węzłów. Na wykresie możesz kliknąć dowolny biały węzeł, aby zobaczyć szczegółowe informacje w panelu bocznym. Nie możesz zobaczyć szczegółów szarych węzłów.

Strzałka między węzłami reprezentuje relację między różnymi typami węzłów, na przykład:

oUżytkownik → ZALOGOWANY → Komputer

oUżytkownik → WYKONANIA → Proces

oProces nadrzędny → PODPROCES → Proces podrzędny

Możesz znaleźć oś czasu wykresu incydentów w panelu sterowania osi czasu, która pozwala cofnąć stan wykresu do początku, przesunąć go do przodu lub odtworzyć wybrany zakres czasu wykresu.

Możesz wybierać grupy wskaźników na podstawie ich nasilenia. Gdy klikniesz grupę wskaźników, podwykres zostanie podświetlony. Podwykres składa się wyłącznie z wybranych wskaźników nasilenia.

Wskaźniki — lista wskaźników. Kliknij wskaźnik, aby zobaczyć szczegóły. Opcjonalnie możesz zobaczyć szczegóły w nowej karcie, klikając > Pokaż szczegóły w nowej karcie.

Można wyświetlić drzewo procesów z węzłami procesu i wskaźnika:

Drzewo procesów umożliwia użytkownikom nawigację po wskaźniku. Można kliknąć węzeł procesu (węzeł zaokrąglony) lub węzeł wskaźnika (węzeł prostokątny) w drzewie procesów, aby wyświetlić szczegóły na podstawie dostępności danych:

Narażone komputery — lista narażonych komputerów.

Narażone tożsamości — lista narażonych użytkowników.

Oś czasu incydentów — oś czasu z krótką historią incydentów, od zdarzenia wyzwalającego do zamknięcia incydentu

W każdej sekcji (z wyjątkiem Wykres) możesz kliknąć:

•przycisk Sprawdź, aby przejść do ESET Inspect i zbadać incydent na wykresie incydentu.

•przycisk odświeżania , aby odświeżyć stronę.

Kliknij przycisk Odpowiedz na incydent, aby wybrać narażone obiekty i skonfigurować dla nich działania związane z odpowiedzią. Wybierz działanie w ramach odpowiedzi (Izoluj, Wyloguj użytkownika, Uruchom ponownie, Skanuj i wyczyść) i kliknij przycisk Potwierdź.

oKomputery > Kontynuuj > wybierz działanie w ramach odpowiedzi (Izoluj, Wyloguj użytkownika, Uruchom ponownie, Skanuj i wyczyść) > Potwierdź.

oProcesy > Kontynuuj > wybierz działanie w ramach odpowiedzi (Blokada procesu) > Potwierdź.

oPliki wykonywalne > Kontynuuj > wybierz działanie w ramach odpowiedzi (Blokuj, Zablokuj i wyczyść) > Potwierdź.

•Zmień stan i osobę otrzymującą przypisanie — kliknij, aby wybrać z menu rozwijanego.

oStan — wybierz bieżący stan incydentu z menu rozwijanego: Otwarty, W toku, Oczekiwanie na dane wejściowe lub Zamknięty. Po wybraniu opcji Zamknięty dodatkowo wybierz przyczynę zamknięcia incydentu (Prawdziwy alarm, Podejrzany, Fałszywy alarm lub nieprawidłowy) i opcjonalnie napisz komentarz.

oOsoba otrzymująca przypisanie — po wybraniu stanu Otwarte lub W toku wybierz dostępnego użytkownika z menu rozwijanego.

Kliknij przycisk Dalej.

•Znaczniki — kliknij, aby wybrać znaczniki z menu rozwijanego, a następnie kliknij przycisk Zastosuj. Możesz też wpisać nowe słowo kluczowe i nacisnąć klawisz Enter, aby utworzyć nowy znacznik.

˄˅