Объединение подозрений и инцидентов

Воркспейсы могут иметь следующие виды зависимостей:

  • Последствие – инцидент ИБ или подозрение, являющиеся последствием другого инцидента. Например, "Повышение уровня привилегий" и "Успешный подбор пароля" могут являться последствиями инцидента "Попытка подбора пароля". Количество последствий не ограничено;

  • Оригинатор – родительский воркспейс, на текущий момент расследования, признанный первым известным шагом в цепочке развития атаки. Количество оригинаторов не ограничено, несмотря на это рекомендуется не использовать сложные зависимости для исключения нежелательных результатов при удалении воркспейсов, являющихся оригинаторами или последствиями для нескольких оригинаторов.

Цепочки "Оригинатор" – "Последствие" могут быть любой глубины, например, первоначально признанный оригинатором инцидент, может быть при дальнейшем расследовании признан последствием для нового инцидента-оригинатора, таким образом новая цепочка зависимостей будет "Оригинатор" – "Оригинатор (последствие)" – "Последствие".

Назначить воркспейсы оригинаторами и последствиями возможно в результате объединения воркспейсов и явным указанием в карточке воркспейса, а также с помощью функции массового изменения воркспейсов (см. раздел Зависимости воркспейсов).