Работа с базовой информацией по воркспейсу on Alertix

Общие сведения

Mon, 01 Jan 0001 00:00:00 +0000

Базовая информация по воркспейсу содержит 4 области данных:

Базовые сведения.
Собранные факты.
Полное описание.
Предпринятые действия.

Базовые сведения:

Область «Базовые сведения» содержит сведения о квалификации, способе обнаружения воркспейса, назначенном ответственном за воркспейс аналитике, таймеров временных метрик обработки воркспейса:

Обнаружен – сведения о способе обнаружения подозрения, задаются при создании воркспейса; если воркспейс создан в результате работы правил автоматизированного выявления, значение поля «Сигнал»; если создан аналитиком, отображается имя его учетной записи;
Тип – сведения о типе подозрения. До прохождения стадии «Квалифицирован» – «Подозрение», после – «Инцидент», «Атака» или «Фолс»;
Назначен – имя учетной записи пользователя аналитика, на которого назначено подозрение;
Причина создания – причина регистрации подозрительного события, задается при создании воркспейса; если воркспейс создан в результате работы правил автоматизированного выявления, значение поля «Алертер: превышение порога риска»; если создан аналитиком – «анализ»;
Первое событие - дата и время фиксации первого события, свидетельствующего о подозрении на инцидент. Метка времени согласно источнику события. Если воркспейс создан в результате работы правил автоматизированного выявления, поле заполняется автоматически. Значение поля используется для таймеров временных метрик обработки воркспейса;
Детектор - отображается, если воркспейс создан в результате работы правил автоматизированного выявления, содержит название сервиса Signal и название организации-разработчика сигнала;
Стадия – стадия развития атаки. Если воркспейс создан в результате работы правил автоматизированного выявления, поле заполняется автоматически. Подробнее о стадиях атаки далее в этом разделе;
Кейс – класс, к которому отнесен воркспейс. Если воркспейс создан в результате работы правил автоматизированного выявления, поле заполняется автоматически. Подробнее о кейсах далее в этом разделе;
Ущерб доступности, целостности, конфиденциальности – параметры количественной экспертной оценки величины возможного ущерба от 1 до 5 (1 – незначительный ущерб, 5 – значительный ущерб); отображаются для типа «Инцидент»;
Достоверность признаков атаки, Серьезность атаки и Приоритет атакованных ресурсов – параметры важности, достоверности и приоритета; отображаются для типов «Подозрение» и «Атака» или если воркспейс создан в результате работы правил автоматизированного выявления; назначение и возможные значения описаны в разделе Изменение и добавление базовых сведений.

Изменение и добавление базовых сведений

Mon, 01 Jan 0001 00:00:00 +0000

Для изменения информации по подозрению или атаке в области базовых сведений нажмите кнопку «Редактировать».

Рисунок 1.

Для изменения информации по инциденту состав полей редактора базовой информации немного отличается:

Рисунок 2.

Введите или измените ранее заполненные значения:

Название – название произошедшего события, доступное на странице списка воркспейсов и используемое для поиска;
Дата и время первого сырого события – укажите точные дату и время фиксации первого события, свидетельствующего о подозрении на инцидент (метка времени согласно источнику события);
Предпочитать мою оценку риска - отображается для типов «Подозрение» и «Атака»; переведите переключатель в положение «Вкл.», чтобы вручную задать значения следующих полей;
Достоверность – выберите один из вариантов:
- 0 – фолс;
- 1 – маловероятно;
- 2 – вероятно;
- 3 – 50 на 50;
- 4 – очень похоже;
- 5 – точно;

Изменение и добавление описания и результатов расследования

Mon, 01 Jan 0001 00:00:00 +0000

Для изменения информации в области «Полное описание» нажмите на кнопку «Редактировать».

Введите текст, описывающий произошедшее в результате инцидента: затронутые ИТ-активы, ИС, пользователей, хронологию принятых мер и другую информацию, необходимую для целостного понимания произошедшего события:

Рисунок 1.

Нажмите на кнопку «Сохранить». Обновленные данные отобразятся в области полного описания карточки воркспейса.

Изменение и добавление собранных фактов

Mon, 01 Jan 0001 00:00:00 +0000

Для добавления информации в области «Собранные факты» нажмите на кнопку «Добавить».

В поле Ссылка введите ссылку на страницу интерфейса аналитика с информацией, свидетельствующей о произошедшем инциденте (ссылка на визуальный элемент в OpenSearch Dashboards), и добавьте Краткое описание добавляемого факта, например, «События ОС Windows» или «Вердикт АВПО»:

Рисунок 1.

Нажмите на кнопку «Сохранить». Добавленный факт отобразится в списке собранных фактов карточки воркспейса.

Для изменения или удаления ранее собранных фактов воспользуйтесь кнопками в списке собранных фактов.

Изменение и добавление предпринятых действий

Mon, 01 Jan 0001 00:00:00 +0000

Для добавления действия в области «Предпринятые действия» нажмите на кнопку «Добавить». Введите краткое описание предпринятых действий в произвольной форме, например, «Произведено полное сканирование ПК АВПО» или «Выполнена сетевая изоляция хоста». Если результат действия требует дополнительного контроля, переведите переключатель «Это действие надо проконтролировать» в положение «Вкл»:

Рисунок 1.

Нажмите на кнопку «Сохранить». Добавленное действие отобразится в списке предпринятых действий карточки воркспейса.

Рисунок 2.

После того, как будут предприняты эти меры, в списке предпринятых действий нажмите на элемент «Завершить» и подтвердите. Тем самым факт контроля будет зафиксирован и записана дата и время завершения в карточке воркспейса.