Інциденти

Зіставляючи індикатори з інцидентами, ми покращуємо розслідування загроз. Інциденти створюються автоматично на основі індикаторів, що значно скорочує час сортування тривог.

Фільтрування елементів, що відображаються

Існують різні способи фільтрування.

•Натисніть селектор Теги (піктограми стрілки) і вибрати теги, щоб активувати фільтр для перелічених інцидентів. Результати підсвічуються синім кольором і показують інциденти з вибраними тегами.

•Натисніть Рівень критичності інциденту: Високий, Середній або Низький. Ви можете налаштувати комбінацію цих піктограм, вмикаючи або вимикаючи їх.

•Статус інциденту — Відкрито, Виконання, Очікування вводу або Закрито

•Натисніть Додати фільтр і виберіть типи інцидентів у розкривному меню.

oОтримувач: введіть ім’я отримувача.

oАвтор — виберіть у розкривному меню: ESET, служба ESET або ім’я користувача.

oПричина закриття — виберіть у розкривному меню: Усі, Помилкові спрацювання, Підозрілі, Непомилкові спрацювання.

oЧас створення: виберіть у розкривному меню: ≤ Сьогодні, ≤ 24 години тому, ≤ 3 дні тому, ≤ 7 днів тому, ≤ 14 днів тому, ≤ 30 днів тому, ≤ 90 днів тому або ≤ 180 днів тому.

oОстаннє оновлення: виберіть у розкривному меню: ≤ Сьогодні, ≤ 24 години тому, ≤ 3 дні тому, ≤ 7 днів тому, ≤ 14 днів тому, ≤ 30 днів тому, ≤ 90 днів тому або ≤ 180 днів тому.

oНазва: введіть назву інциденту.

oКількість комп’ютерів — введіть кількість вибраних комп’ютерів.

oКількість індикаторів — введіть кількість вибраних індикаторів.

oКількість користувачів — введіть кількість вибраних користувачів.

Налаштування фільтрів і макетів

Ви можете налаштувати поточний вигляд екрана веб-консолі.

•Керуйте бічною панеллю й основною таблицею.

•Додавайте фільтри та їхні заготовки. Ви можете використовувати теги для фільтрування відображуваних елементів.

Відомості про інцидент

Виберіть інциденти, натисніть кнопку Дії, а потім — кнопку з трьома крапками . Доступні дії:

•Переглянути деталі — щоб відобразити огляд інциденту.

Огляд — надає наступну інформацію:

oДеталі про інцидент, які відображаються в основному розділі.

oВплив на компанію — кількість уражених комп’ютерів, виконуваних файлів і процесів. Натисніть число, щоб перейти на відповідну сторінку.

oКоментарі — можна додати коментар до інциденту. Натисніть Переглянути всі коментарі, щоб відобразити всі створені коментарі. Ви можете відредагувати, закріпити або видалити коментар.

oОпис: пояснення інциденту.

oМетоди MITTRE ATT&CK®: доступні методи MITTRE ATT&CK для вибраного інциденту.

oРекомендовані кроки — кроки, які потрібно виконати, щоб розпочати процес реагування на інциденти.

Графік — перегляд структури графіка інцидентів, що складається з індикаторів, у комбінованому або ієрархічному розташуванні. На графіку розміщено панель управління, яка містить кнопки для швидкої орієнтації: повзунок збільшення/зменшення масштабу, опції За розміром екрана, Скинути перегляд і інформаційну підказку Сполучення клавіш.

Графік складається з вузлів. Щоб переглянути докладну інформацію на бічній панелі, натисніть білий вузол на графіку. Докладні дані недоступні для сірих вузлів.

Стрілка між вузлами позначає зв’язок між різними їх типами, як-от показано нижче.

oКористувач → ВХІД У СИСТЕМУ → Комп’ютер

oКористувач → ВИКОНАННЯ → Процес

oБатьківський процес → ПІДПРОЦЕС → Дочірній процес

На панелі управління часом доступна часова шкала графіка інцидентів, яка дає змогу повернутися до початкового стану графіка, перейти вперед або відтворити його вибраний період.

Ви можете вибирати групи індикаторів на основі рівня їхньої критичності. У разі натискання групи індикаторів виділяється підграфік. Він складається лише з групи індикаторів вибраного рівня критичності.

Індикатори: список індикаторів. Щоб переглянути докладні відомості, натисніть відповідний індикатор. За бажанням їх можна відобразити в новій вкладці, натиснувши  > Переглянути відомості в новій вкладці.

Ви можете подивитися дерево процесів із вузлами, які містять процеси й індикатори.

Дерево процесів дає користувачам змогу переходити між індикаторами. На ньому ви можете натиснути вузол певного процесу (округлий) або індикатора (прямокутний), щоб переглянути доступні відомості про них, зокрема наведені нижче.

Уражені комп’ютери: список комп’ютерів, які зазнали впливу інциденту.

Уражені ідентифікатори: список користувачів, які зазнали впливу інциденту.

Часова шкала інцидентів: хронологія з короткою історією інцидентів (від події, що спричинила інцидент, до закриття інциденту).

У кожному розділі (крім Графік) доступні наведені нижче елементи.

•Кнопка Inspect, що переспрямовує в ESET Inspect для розслідування інциденту на графіку.

•Кнопка , що оновлює сторінку.

Натисніть кнопку Реагування на інцидент, щоб вибрати уражені об’єкти й налаштувати дії з реагування. Доступні такі дії: Ізолювати, Виконати вихід для користувача, Перезавантажити, Сканувати й очистити. Потім натисніть Підтвердити.

oКомп’ютери > Продовжити > виберіть дію з реагування (Ізолювати, Виконати вихід для користувача, Перезавантажити, Сканувати й очистити) > Підтвердити.

oПроцеси > Продовжити > виберіть дію з реагування (Завершити процес) > Підтвердити.

oВиконувані файли > Продовжити > виберіть дію з реагування (Заблокувати, Заблокувати й очистити) > Підтвердити.

•Зміна статусу й отримувача: натисніть, щоб зробити вибір у розкривному меню.

oСтатус: виберіть поточний статус інциденту в розкривному меню Відкрито, Виконання, Очікування вводу або Закрито. Якщо ви виберете "Закритий", виберіть також причину закриття інциденту (Непомилкове спрацювання, Підозріле, Помилкове або недійсне спрацювання) і за бажанням напишіть коментар.

oОтримувач: якщо ви вибрали статус Відкритий або Розглядається, виберіть доступного користувача з розкривного меню.

Натисніть Зберегти.

•Теги: натисніть цю кнопку, щоб вибрати теги з розкривного меню, і клацніть Застосувати. Або ви можете ввести нове ключове слово й натиснути клавішу Enter, щоб створити новий тег.

˄˅