Общие сведения

Базовая информация по воркспейсу содержит 4 области данных:

  1. Базовые сведения.

  2. Собранные факты.

  3. Полное описание.

  4. Предпринятые действия.

Базовые сведения:

Область «Базовые сведения» содержит сведения о квалификации, способе обнаружения воркспейса, назначенном ответственном за воркспейс аналитике, таймеров временных метрик обработки воркспейса:

  • Обнаружен – сведения о способе обнаружения подозрения, задаются при создании воркспейса; если воркспейс создан в результате работы правил автоматизированного выявления, значение поля «Сигнал»; если создан аналитиком, отображается имя его учетной записи;

  • Тип – сведения о типе подозрения. До прохождения стадии «Квалифицирован» – «Подозрение», после – «Инцидент», «Атака» или «Фолс»;

  • Назначен – имя учетной записи пользователя аналитика, на которого назначено подозрение;

  • Причина создания – причина регистрации подозрительного события, задается при создании воркспейса; если воркспейс создан в результате работы правил автоматизированного выявления, значение поля «Алертер: превышение порога риска»; если создан аналитиком – «анализ»;

  • Первое событие - дата и время фиксации первого события, свидетельствующего о подозрении на инцидент. Метка времени согласно источнику события. Если воркспейс создан в результате работы правил автоматизированного выявления, поле заполняется автоматически. Значение поля используется для таймеров временных метрик обработки воркспейса;

  • Детектор - отображается, если воркспейс создан в результате работы правил автоматизированного выявления, содержит название сервиса Signal и название организации-разработчика сигнала;

  • Стадия – стадия развития атаки. Если воркспейс создан в результате работы правил автоматизированного выявления, поле заполняется автоматически. Подробнее о стадиях атаки далее в этом разделе;

  • Кейс – класс, к которому отнесен воркспейс. Если воркспейс создан в результате работы правил автоматизированного выявления, поле заполняется автоматически. Подробнее о кейсах далее в этом разделе;

  • Ущерб доступности, целостности, конфиденциальности – параметры количественной экспертной оценки величины возможного ущерба от 1 до 5 (1 – незначительный ущерб, 5 – значительный ущерб); отображаются для типа «Инцидент»;

  • Достоверность признаков атаки, Серьезность атаки и Приоритет атакованных ресурсов – параметры важности, достоверности и приоритета; отображаются для типов «Подозрение» и «Атака» или если воркспейс создан в результате работы правил автоматизированного выявления; назначение и возможные значения описаны в разделе Изменение и добавление базовых сведений.

image
Рисунок 1.

Полное описание:

Область «Полное описание» содержит подробное текстовое описание воркспейса и результаты расследования. Если воркспейс создан в результате работы правил автоматизированного выявления, поле Полное описание заполняется автоматически описанием выявившего его правила и содержит ссылку на форму редактирования правила (для локальных правил) или на форму просмотра (для глобальных правил). Значение поля может быть в любой момент дополнено и изменено. Аналитик в процессе работы с воркспейсом и прохождения стадий жизненного цикла должен обновлять значения полей.

image
Рисунок 2.

Собранные факты:

Область «Собранные факты» содержит описание факта или ссылки на страницы отдельных подозрительных событий, свидетельствующих об инциденте. Аналитик в процессе работы с воркспейсом и выяснения новых фактов может добавлять новые значения в список собранных фактов двумя способами:

  • из карточки воркспейса, нажав кнопку «Добавить»;

  • из интерфейса раздела «Обзор», используя функцию «Сохранить как факт» (см. п. Просмотр поступающих событий).

image
Рисунок 3.

Предпринятые действия:

Область «Предпринятые действия» содержит сведения о предпринятых действиях в процессе работы с воркспейсом. Список пополняется автоматически по мере прохождения стадий жизненного цикла. Аналитик в процессе работы с воркспейсом и выполнения сдерживающих, локализующих, превентивных и других мер должен добавлять новые значения в список предпринятых действий.

image
Рисунок 4.