Incidentes

Os incidentes nos permitem correlacionar indicadores em incidentes, melhorando as investigações de ameaças. Os incidentes são criados automaticamente de indicadores, o que reduz significativamente o tempo de triagem de alertas.

Filtragem de visualização

Existem formas diferentes de filtrar sua visualização:

•Clique no seletor de Tags (ícone de seta) e escolher uma ou mais tags para ativar o filtro nos incidentes listados. Os resultados são destacados em azul e mostram incidentes com as tags selecionadas.

•Clique em uma Gravidade do incidente – Alta, Média ou Baixa. Você pode combinar esses ícones ativando-os ou desativando-os.

•Status do incidente – Aberto, Em andamento, Aguardando entrada ou Fechado

•Clique em Adicionar filtro e selecione os tipos de incidentes no menu suspenso.

oDestinatário – digite o nome do destinatário.

oAutor – selecione do menu suspenso: ESET, Serviço ESET ou o nome de usuário.

oFechar motivo – selecione do menu suspenso: Tudo, Falso positivo, Suspeito, Positivo verdadeiro.

oHora da criação – selecione no menu suspenso: ≤ Hoje, ≤ 24 horas, ≤ 3 dias, ≤ 7 dias, ≤ 14 dias, ≤ 30 dias, ≤ 90 dias ou ≤ 180 dias.

oÚltima atualização – selecione no menu suspenso: ≤ Hoje, ≤ 24 horas, ≤ 3 dias, ≤ 7 dias, ≤ 14 dias, ≤ 30 dias, ≤ 90 dias ou ≤ 180 dias.

oNome – digite o nome do incidente.

oNúmero de computadores— digite o número de computadores selecionados.

oNúmero de indicadores – digite o número de indicadores selecionados.

oNúmero de usuários – digite o número de usuários selecionados.

Filtros e personalização de layout

Você pode personalizar a exibição da tela atual do console web:

•Gerenciar o painel lateral e a tabela principal.

•Adicionar filtro e predefinições de filtro. Você pode usar marcações para filtrar os itens exibidos.

Detalhes do incidente

Selecione qualquer incidente, clique no botão Ações e clique no botão de três pontos para:

•Exibir detalhes— para exibir uma visão geral do incidente.

Visão geral – fornece as seguintes informações:

oDetalhes do incidente são exibidos na seção principal.

oImpacto da empresa – o número de Computadores, Executáveis e Processos afetados. Clique no número para ir para a página específica relacionada.

oComentários— você pode Adicionar um comentário para o incidente. Clique em Exibir todos os comentários para exibir todos os comentários criados. Você pode Editar comentário, Fixar comentário ou Excluir comentário.

oDescrição – explicação do incidente.

oTécnicas MITTRE ATT&CK® – técnicas MITTRE ATT&CK disponíveis para o incidente selecionado.

oEtapas recomendadas – etapas para iniciar o processo de resposta a incidentes.

Gráfico – veja a estrutura do gráfico do incidente feita de indicadores no layout composto ou hierárquico. O gráfico oferece um painel de controle com botões para orientação rápida – barra de aumentar zoom/diminuir zoom, Ajustar na tela, Redefinir visualização e uma dica de ferramenta de informações com Atalhos.

O gráfico é composto por nós. No gráfico, você pode clicar em qualquer nó branco para visualizar informações detalhadas no painel lateral. Não é possível ver detalhes dos nós cinzas.

Uma seta entre os nós representa a relação entre diferentes tipos de nós, por exemplo:

oUsuário → LOGADO → computador

oUsuário → EXECUTA → Processo

oProcesso principal → SUBPROCESSO → processo secundário

Você pode encontrar a linha do tempo do gráfico do incidente com o painel de controle da linha do tempo para voltar ao estado do gráfico no início, avançar ou reproduzir o período de tempo selecionado do gráfico.

Você pode selecionar grupos de indicadores com base na gravidade deles. Ao clicar no grupo de indicadores, um subgráfico é destacado. O subgráfico consiste apenas no grupo selecionado de indicadores de gravidade.

Indicadores – lista de indicadores. Clique em um indicador para ver os detalhes. Opcionalmente, você pode ver os detalhes em uma nova aba, clique em > Ver detalhes em uma nova aba.

É possível visualizar uma árvore de processos com nós de processo e indicador:

A árvore de processos permite que os usuários naveguem pelo indicador. Você pode clicar em um nó de processo (um nó arredondado) ou em um nó indicador (um nó retangular) na árvore de processo para exibir detalhes com base na disponibilidade de dados:

Computadores afetados— lista de computadores afetados.

Identidades afetadas – lista de usuários afetados.

Linha do tempo do incidente– linha do tempo com um breve histórico de incidentes, desde o evento desencadeador até o fechamento do incidente.

Em todas as seções (exceto Gráfico), você pode clicar em:

•no botão Inspecionar para redirecionar para o ESET Inspect e investigar o incidente no gráfico de incidentes.

•no botão atualizar para atualizar a página.

Clique no botão Responder ao incidente para selecionar os objetos afetados e configurar as ações de resposta para eles. Selecione a ação de resposta (Isolar, Fazer logout do usuário, Reinicializar, Escanear e limpar) e clique em Confirmar.

oComputadores > Continuar > selecione a ação de resposta (Isolar, Fazer logout do usuário, Reiniciar, Escanear e Limpar) > Confirmar.

oProcessos > Continuar > selecione a ação de resposta (Encerrar processo) > Confirmar.

oExecutáveis > Continuar > selecione a ação de resposta (Bloquear, Bloquear e Limpar) > Confirmar.

•Alterar status e Cessionário – clique para selecionar no menu suspenso.

oStatus – selecione o status atual do incidente no menu suspenso: Aberto, Em andamento, Aguardando entrada ou Fechado. Ao selecionar Fechado, selecione também o motivo para fechar o incidente (Verdadeiro positivo, Suspeito, Falso positivo ou inválido) e, opcionalmente, escreva um comentário.

oDestinatário – quando você selecionar o status Aberto ou Em andamento, selecione o usuário disponível no menu suspenso.

Clique em Salvar.

•Tags—clique para selecionar tags no menu suspenso e clique em Aplicar. Ou você pode digitar uma nova palavra-chave e pressionar Enter para criar uma nova tag.

˄˅