Зависимости воркспейсов

Возможные типы зависимостей воркспейсов описаны в разделе Объединение подозрений и инцидентов.

Вкладка «Зависимости» карточки воркспейса служит для отображения сведений о воркспейсах, назначенных Оригинаторами или Последствиями. В соответствующих списках выводятся идентификаторы (GUID) связанных воркспейсов:

  • блок «Оригинаторы» - список guid атак или инцидентов, следствием которых является данный инцидент;

  • блок «Последствия» - список guid инцидентов, для которых этот инцидент стал причиной.

В процессе анализа фактов должно быть установлено, что является причиной инцидента. Если причиной является успешная атака, например, пользователь открыл письмо, содержащее вредоносное вложение, следует связать инцидент с уже зарегистрированной атакой или открыть процесс регистрации и анализа новой атаки.

По нажатию на кнопку pencil blue в отдельном окне браузера открывается карточка зависимого инцидента.

image
Рисунок 1.

Добавление зависимостей необходимо осуществлять путем объединения инцидентов. Для этого нажмите на кнопку «Добавить» в блоке «Оригинаторы» или в блоке «Последствия», выберите инцидент и нажмите на кнопку «Добавить». Созданная связь отобразится в соответствующем блоке.

В списке воркспейсов есть возможность массового назначения воркспейсов последствиями. Для этого отметьте нужные записи в списке и нажмите кнопку «Массовые операции». В открывшемся окне переключитесь на вкладку «Назначить как последствия». Выберите родительский воркспейс в качестве оригинатора, добавьте описание и нажмите кнопку «Обновить».

image
Рисунок 2.

Отобразится сообщение, в котором можно просмотреть список успешно обновленных воркспейсов. В карточках этих воркспейсов на вкладке «Зависимости» отразится информация об инциденте-оригинаторе. В карточке оригинатора отразится информация об инцидентах-последствиях.

Возможно удаление ранее добавленных зависимостей. Для удаления Последствия или Оригинатора нажмите кнопку trash grey в строке удаляемой зависимости и подтвердите. Это приведет к удалению из списка выбранной зависимости. В случае удаления Оригинатора инцидента, это приведет к удалению связанной записи о последствии в инциденте, указанном в качестве оригинатора.