Обзор всех поступающих событий on Alertix

Просмотр поступающих событий

Mon, 01 Jan 0001 00:00:00 +0000

Страница «События» содержит базовые элементы управления и область данных .

Рисунок 1.

Базовые элементы управления включают:

графическое представление поступающих на хранение событий во времени;
строку поиска и настройки фильтров событий;
список основных текущих фильтров событий (кластер, обсервер, риск, ключи);
блок агрегаций по базовым атрибутам (доменам, ip, пользователям, файлам и др.).

Для выгрузки данных обзора с учетом примененных фильтров, нажмите кнопку . Таблица данных обзора с учетом всех фильтров конвертируется в табличный файл в формате CSV и скачивается на ПК.

Просмотр зарегистрированных процессов

Mon, 01 Jan 0001 00:00:00 +0000

Работа с фильтрами на вкладке «Процессы» осуществляется аналогично вкладке «События».

В области данных в таблице зарегистрированных процессов отображается следующая информация:

Метка – индикатор метки определенного цвета показывает степень подозрительности процесса:
- серый – метка отсутствует;
- зеленый – наблюдаемый;
- оранжевый – нежелательный;
- красный – подозрительный;
Время запуска – дата и время запуска процесса;
Хост – адрес хоста, на котором произошло событие;
Процесс – имя активно действующего процесса (у событий «Process Create» и «Create remote thread» родительский процесс); является ссылкой, при нажатии на которую открывается граф запуска процессов;
Действие – тип соединения или операции, определяющие данный процесс;
Атрибуты действия – атрибуты соединения или операции, определяющие данный процесс. У событий «Process Create» и «Create remote thread» первой строкой отображается имя текущего процесса, при нажатии на которое открывается граф цепочки запуска связанных процессов на хосте.

Просмотр графа цепочки запуска процессов и деталей о каждом процессе

Mon, 01 Jan 0001 00:00:00 +0000

При нажатии на строку процесса ниже раскроется карточка, которая содержит 6 функциональных вкладок: «Таблица», «Объекты», «JSON», «Сохранить как факт», «Документы поблизости», «Ссылка».

Во вкладке «Объекты» отображены поля related.

Рисунок 1.

Нажатие на значение откроет модуль «Обзор» в новой вкладке браузера и выполнит поиск по значению. Поиск выполняется только в индексах с событиями от источников. Временной интервал 24 часа.

В случае, когда значений больше одного, появляется кнопка искать все. Нажатие на кнопку откроет модуль «Обзор» в новой вкладке браузера и выполнит поиск по значениям с условием ИЛИ. Поиск выполняется только в индексах с событиями от источников. Временной интервал 24 часа.

Просмотр поступающих событий по пользователям

Mon, 01 Jan 0001 00:00:00 +0000

Работа с фильтрами на вкладке «Пользователи» осуществляется аналогично вкладке «События».

В области данных в таблице зарегистрированных событий отображаются основные сведения о пользователях.

Рисунок 1.

Можно ограничить список событий по типу выявленных действий – им соответствуют элементы, расположенные над таблицей: процессы, сетевые соединения, регистрация в системе. По умолчанию выбран вариант «Всё».

Аналогично вышеописанным представлениям можно фильтровать события по базовым атрибутам, сортировать список, открыть карточку события и просмотреть детальную информацию.

В таблице событий при наведении курсора на какое-либо значение появляются кнопки . Нажатие кнопки добавляет атрибут поиска по событиям. Нажатие кнопки исключает этот атрибут из поиска.

Просмотр потоков событий

Mon, 01 Jan 0001 00:00:00 +0000

Работа с фильтрами на вкладке «Потоки» осуществляется аналогично вкладке «События».

В области данных отображается список потоков событий и информация об источниках.

Рисунок 1.

Аналогично вышеописанным представлениям можно фильтровать записи по базовым атрибутам, сортировать список, открыть карточку и просмотреть детальную информацию.

В списке потоков событий при наведении курсора на какое-либо значение появляются кнопки . Нажатие кнопки добавляет атрибут поиска по событиям. Нажатие кнопки исключает этот атрибут из поиска.

Просмотр служебных индексов

Mon, 01 Jan 0001 00:00:00 +0000

Работа с фильтрами на вкладке «Служебные» осуществляется аналогично вкладке «События».

В области данных отображаются служебные индексы (отладочные, а также индекс с ИОКами и т.д.).

Рисунок 1.

Назначение процессам меток

Mon, 01 Jan 0001 00:00:00 +0000

Для назначения процессу метки о степени подозрительности выберите процесс в таблице и перейдите на вкладку «Атрибуты».

В поле Отметка процесса выберите нужную метку (Рисунок 1).

Рисунок 1.

Метка будет установлена, индикатор соответствующей степени подозрительности отобразится в строке процесса в таблице. Информация о присвоенных метках сохраняется в БД инвентаризационной информации.

Чтобы снять отметку нажмите на кнопку «Снять пометку».

Чтобы изменить отметку, назначенную ранее, необходимо сначала снять отметку, а затем выбрать новую.