Зависимости воркспейсов

Возможные типы зависимостей воркспейсов описаны в разделе Объединение подозрений и инцидентов.

Вкладка "Зависимости" карточки воркспейса служит для отображения сведений о воркспейсах, назначенных Оригинаторами или Последствиями. В соответствующих списках выводятся идентификаторы (GUID) связанных воркспейсов:

  • блок "Оригинаторы" - список guid атак или инцидентов, следствием которых является данный инцидент;

  • блок "Последствия" - список guid инцидентов, для которых этот инцидент стал причиной.

В процессе анализа фактов должно быть установлено, что является причиной инцидента. Если причиной является успешная атака, например, пользователь открыл письмо, содержащее вредоносное вложение, следует связать инцидент с уже зарегистрированной атакой или открыть процесс регистрации и анализа новой атаки.

По нажатию на кнопку pencil blue в отдельном окне браузера открывается карточка зависимого инцидента.

image
Рисунок 1.

Добавление зависимостей необходимо осуществлять путем объединения инцидентов. Для этого нажмите на кнопку "Добавить" в блоке "Оригинаторы" или в блоке "Последствия", выберите инцидент и нажмите на кнопку "Добавить". Созданная связь отобразится в соответствующем блоке.

В списке воркспейсов есть возможность массового назначения воркспейсов последствиями. Для этого отметьте нужные записи в списке и нажмите кнопку "Массовые операции". В открывшемся окне переключитесь на вкладку "Назначить как последствия". Выберите родительский воркспейс в качестве оригинатора, добавьте описание и нажмите кнопку "Обновить".

image
Рисунок 2.

Отобразится сообщение, в котором можно просмотреть список успешно обновленных воркспейсов. В карточках этих воркспейсов на вкладке "Зависимости" отразится информация об инциденте-оригинаторе. В карточке оригинатора отразится информация об инцидентах-последствиях.

Возможно удаление ранее добавленных зависимостей. Для удаления Последствия или Оригинатора нажмите кнопку trash grey в строке удаляемой зависимости и подтвердите. Это приведет к удалению из списка выбранной зависимости. В случае удаления Оригинатора инцидента, это приведет к удалению связанной записи о последствии в инциденте, указанном в качестве оригинатора.