Работа с базовой информацией по воркспейсу on Alertix

Общие сведения

Mon, 01 Jan 0001 00:00:00 +0000

Базовая информация по воркспейсу содержит 4 области данных:

Базовые сведения.
Собранные факты.
Полное описание.
Предпринятые действия.

Базовые сведения:

Область "Базовые сведения" содержит сведения о квалификации, способе обнаружения воркспейса, назначенном ответственном за воркспейс аналитике, таймеров временных метрик обработки воркспейса:

Обнаружен – сведения о способе обнаружения подозрения, задаются при создании воркспейса; если воркспейс создан в результате работы правил автоматизированного выявления, значение поля "Сигнал"; если создан аналитиком, отображается имя его учетной записи;
Тип – сведения о типе подозрения. До прохождения стадии "Квалифицирован" – "Подозрение", после – "Инцидент", "Атака" или "Фолс";
Назначен – имя учетной записи пользователя аналитика, на которого назначено подозрение;
Причина создания – причина регистрации подозрительного события, задается при создании воркспейса; если воркспейс создан в результате работы правил автоматизированного выявления, значение поля "Алертер: превышение порога риска"; если создан аналитиком – "анализ";
Первое событие - дата и время фиксации первого события, свидетельствующего о подозрении на инцидент. Метка времени согласно источнику события. Если воркспейс создан в результате работы правил автоматизированного выявления, поле заполняется автоматически. Значение поля используется для таймеров временных метрик обработки воркспейса;
Детектор - отображается, если воркспейс создан в результате работы правил автоматизированного выявления, содержит название сервиса Signal и название организации-разработчика сигнала;
Стадия – стадия развития атаки. Если воркспейс создан в результате работы правил автоматизированного выявления, поле заполняется автоматически. Подробнее о стадиях атаки далее в этом разделе;
Кейс – класс, к которому отнесен воркспейс. Если воркспейс создан в результате работы правил автоматизированного выявления, поле заполняется автоматически. Подробнее о кейсах далее в этом разделе;
Ущерб доступности, целостности, конфиденциальности – параметры количественной экспертной оценки величины возможного ущерба от 1 до 5 (1 – незначительный ущерб, 5 – значительный ущерб); отображаются для типа "Инцидент";
Достоверность признаков атаки, Серьезность атаки и Приоритет атакованных ресурсов – параметры важности, достоверности и приоритета; отображаются для типов "Подозрение" и "Атака" или если воркспейс создан в результате работы правил автоматизированного выявления; назначение и возможные значения описаны в разделе Изменение и добавление базовых сведений.

Изменение и добавление базовых сведений

Mon, 01 Jan 0001 00:00:00 +0000

Для изменения информации по подозрению или атаке в области базовых сведений нажмите кнопку "Редактировать".

Рисунок 1.

Для изменения информации по инциденту состав полей редактора базовой информации немного отличается:

Рисунок 2.

Введите или измените ранее заполненные значения:

Название – название произошедшего события, доступное на странице списка воркспейсов и используемое для поиска;
Дата и время первого сырого события – укажите точные дату и время фиксации первого события, свидетельствующего о подозрении на инцидент (метка времени согласно источнику события);
Предпочитать мою оценку риска - отображается для типов "Подозрение" и "Атака"; переведите переключатель в положение "Вкл.", чтобы вручную задать значения следующих полей;
Достоверность – выберите один из вариантов:
- 0 – фолс;
- 1 – маловероятно;
- 2 – вероятно;
- 3 – 50 на 50;
- 4 – очень похоже;
- 5 – точно;

Изменение и добавление описания и результатов расследования

Mon, 01 Jan 0001 00:00:00 +0000

Для изменения информации в области "Полное описание" нажмите на кнопку "Редактировать".

Введите текст, описывающий произошедшее в результате инцидента: затронутые ИТ-активы, ИС, пользователей, хронологию принятых мер и другую информацию, необходимую для целостного понимания произошедшего события:

Рисунок 1.

Нажмите на кнопку "Сохранить". Обновленные данные отобразятся в области полного описания карточки воркспейса.

Изменение и добавление собранных фактов

Mon, 01 Jan 0001 00:00:00 +0000

Для добавления информации в области "Собранные факты" нажмите на кнопку "Добавить".

В поле Ссылка введите ссылку на страницу интерфейса аналитика с информацией, свидетельствующей о произошедшем инциденте (ссылка на визуальный элемент в OpenSearch Dashboards), и добавьте Краткое описание добавляемого факта, например, "События ОС Windows" или "Вердикт АВПО":

Рисунок 1.

Нажмите на кнопку "Сохранить". Добавленный факт отобразится в списке собранных фактов карточки воркспейса.

Для изменения или удаления ранее собранных фактов воспользуйтесь кнопками в списке собранных фактов.

Изменение и добавление предпринятых действий

Mon, 01 Jan 0001 00:00:00 +0000

Для добавления действия в области "Предпринятые действия" нажмите на кнопку "Добавить". Введите краткое описание предпринятых действий в произвольной форме, например, "Произведено полное сканирование ПК АВПО" или "Выполнена сетевая изоляция хоста". Если результат действия требует дополнительного контроля, переведите переключатель "Это действие надо проконтролировать" в положение "Вкл":

Рисунок 1.

Нажмите на кнопку "Сохранить". Добавленное действие отобразится в списке предпринятых действий карточки воркспейса.

Рисунок 2.

После того, как будут предприняты эти меры, в списке предпринятых действий нажмите на элемент "Завершить" и подтвердите. Тем самым факт контроля будет зафиксирован и записана дата и время завершения в карточке воркспейса.