Общие сведения

Базовая информация по воркспейсу содержит 4 области данных:

  1. Базовые сведения.

  2. Собранные факты.

  3. Полное описание.

  4. Предпринятые действия.

Базовые сведения:

Область "Базовые сведения" содержит сведения о квалификации, способе обнаружения воркспейса, назначенном ответственном за воркспейс аналитике, таймеров временных метрик обработки воркспейса:

  • Обнаружен – сведения о способе обнаружения подозрения, задаются при создании воркспейса; если воркспейс создан в результате работы правил автоматизированного выявления, значение поля "Сигнал"; если создан аналитиком, отображается имя его учетной записи;

  • Тип – сведения о типе подозрения. До прохождения стадии "Квалифицирован" – "Подозрение", после – "Инцидент", "Атака" или "Фолс";

  • Назначен – имя учетной записи пользователя аналитика, на которого назначено подозрение;

  • Причина создания – причина регистрации подозрительного события, задается при создании воркспейса; если воркспейс создан в результате работы правил автоматизированного выявления, значение поля "Алертер: превышение порога риска"; если создан аналитиком – "анализ";

  • Первое событие - дата и время фиксации первого события, свидетельствующего о подозрении на инцидент. Метка времени согласно источнику события. Если воркспейс создан в результате работы правил автоматизированного выявления, поле заполняется автоматически. Значение поля используется для таймеров временных метрик обработки воркспейса;

  • Детектор - отображается, если воркспейс создан в результате работы правил автоматизированного выявления, содержит название сервиса Signal и название организации-разработчика сигнала;

  • Стадия – стадия развития атаки. Если воркспейс создан в результате работы правил автоматизированного выявления, поле заполняется автоматически. Подробнее о стадиях атаки далее в этом разделе;

  • Кейс – класс, к которому отнесен воркспейс. Если воркспейс создан в результате работы правил автоматизированного выявления, поле заполняется автоматически. Подробнее о кейсах далее в этом разделе;

  • Ущерб доступности, целостности, конфиденциальности – параметры количественной экспертной оценки величины возможного ущерба от 1 до 5 (1 – незначительный ущерб, 5 – значительный ущерб); отображаются для типа "Инцидент";

  • Достоверность признаков атаки, Серьезность атаки и Приоритет атакованных ресурсов – параметры важности, достоверности и приоритета; отображаются для типов "Подозрение" и "Атака" или если воркспейс создан в результате работы правил автоматизированного выявления; назначение и возможные значения описаны в разделе Изменение и добавление базовых сведений.

image
Рисунок 1.

Полное описание:

Область "Полное описание" содержит подробное текстовое описание воркспейса и результаты расследования. Если воркспейс создан в результате работы правил автоматизированного выявления, поле Полное описание заполняется автоматически описанием выявившего его правила и содержит ссылку на форму редактирования правила (для локальных правил) или на форму просмотра (для глобальных правил). Значение поля может быть в любой момент дополнено и изменено. Аналитик в процессе работы с воркспейсом и прохождения стадий жизненного цикла должен обновлять значения полей.

image
Рисунок 2.

Собранные факты:

Область "Собранные факты" содержит описание факта или ссылки на страницы отдельных подозрительных событий, свидетельствующих об инциденте. Аналитик в процессе работы с воркспейсом и выяснения новых фактов может добавлять новые значения в список собранных фактов двумя способами:

  • из карточки воркспейса, нажав кнопку "Добавить";

  • из интерфейса раздела "Обзор", используя функцию "Сохранить как факт" (см. п. Просмотр поступающих событий).

image
Рисунок 3.

Предпринятые действия:

Область "Предпринятые действия" содержит сведения о предпринятых действиях в процессе работы с воркспейсом. Список пополняется автоматически по мере прохождения стадий жизненного цикла. Аналитик в процессе работы с воркспейсом и выполнения сдерживающих, локализующих, превентивных и других мер должен добавлять новые значения в список предпринятых действий.

image
Рисунок 4.