Просмотр зарегистрированных процессов

Работа с фильтрами на вкладке «Процессы» осуществляется аналогично вкладке «События».

В области данных в таблице зарегистрированных процессов отображается следующая информация:

  • Метка – индикатор метки определенного цвета показывает степень подозрительности процесса:

    • серый – метка отсутствует;

    • зеленый – наблюдаемый;

    • оранжевый – нежелательный;

    • красный – подозрительный;

  • Время запуска – дата и время запуска процесса;

  • Хост – адрес хоста, на котором произошло событие;

  • Процесс – имя активно действующего процесса (у событий «Process Create» и «Create remote thread» родительский процесс); является ссылкой, при нажатии на которую открывается граф запуска процессов;

  • Действие – тип соединения или операции, определяющие данный процесс;

  • Атрибуты действия – атрибуты соединения или операции, определяющие данный процесс. У событий «Process Create» и «Create remote thread» первой строкой отображается имя текущего процесса, при нажатии на которое открывается граф цепочки запуска связанных процессов на хосте.

image
Рисунок 1.

Аналитику доступна сортировка списка процессов. По умолчанию список сортируется по времени запуска (сначала более ранние). Для осуществления сортировки нажмите на заголовок столбца таблицы, который необходимо отсортировать.

Можно ограничить список процессов по типу выявленных действий – им соответствуют элементы, расположенные над таблицей: процессы, сетевые соединения, соединения pipe, операции с реестром, операции с файлами. По умолчанию выбран вариант «Всё».

В таблице событий при наведении курсора на какое-либо значение появляются кнопки 3 8 0 plusInCircle blue 3 8 0 minusInCircle blue. Нажатие кнопки 3 8 0 plusInCircle blue добавляет атрибут поиска по событиям. Нажатие кнопки 3 8 0 minusInCircle blue исключает этот атрибут из поиска.