Инцидент-ийн ноцтой байдлын оноо (Severity score) хэрхэн тооцогддог вэ?

Инцидент-ийн ноцтой байдлыг тооцохдоо дараах олон хүчин зүйлийг харгалзана:

• Инцидент-ийг үүсгэсэн илрүүлэлтийн ноцтой байдал (сэжигтэй / хортой үйлдэл бүр өөрийн үнэлгээтэй).
• Триггер зангилаа (trigger node) дээр GravityZone-ийн урьдчилан сэргийлэх хөдөлгүүрүүдээс тэмдэглэсэн сэрэмжлүүлгийн тоо.
• Триггер сэрэмжлүүлгийг илрүүлсэн урьдчилан сэргийлэх хөдөлгүүр.
• Триггер зангилаа ба инцидент-ийн үндэс хоорондын зай (инцидент-ийг өдөөх замд хэдэн artifact оролцсон).
• EDR-ийн корреляцийн технологийн илрүүлсэн MITRE ATT&CK техникүүд.
• Bruteforce халдлага байгаа эсэх.
• Risk Management модулийн тооцсон Company Risk Score (компанийн эрсдлийн оноо).

Дараах нөхцөл бүгд биелсэн үед EDR инцидент-ийг хамгийн өндөр ноцтой байдлын оноогоор (100) үнэлнэ:

• Инцидент-д ransomware (золиос нэхэгч хортой программ)-ийн сэрэмжлүүлэг орсон.
• Триггер зангилаа дээр GravityZone-ийн урьдчилан сэргийлэх хөдөлгүүрүүдээс тэмдэглэсэн 5-аас олон сэрэмжлүүлэг байгаа.
• Триггер сэрэмжлүүлгийг илрүүлсэн урьдчилан сэргийлэх хөдөлгүүр нь Antimalware, Advanced Threat Control, HyperDetect, Advanced Anti-Exploit эсвэл Fileless Attack Protection-ий аль нэг мөн.
• Инцидент-ийн Critical path (чухал зам) 10-аас олон зангилаа агуулсан.
• EDR-ийн корреляцийн технологийн аль нэг зангилаан дээр илрүүлсэн MITRE ATT&CK техник нь Exfiltration, Lateral Movement, Persistence, Privilege Escalation, Impact эсвэл Credential Access-ийн аль нэг мөн.
• Триггэрлэсэн инцидент-ийн хост нь сервер мөн.
• Domain зангилааны алсын IP хаяг bruteforce халдлагад өртсөн.
• Хортой халдлагыг блоклох оролдлого бүтэлгүйтсэн.
• Ноцтой байдлын оноог тооцох үед Company Risk Score 70-аас дээш байсан.

Илрүүлсэн бүх хортой үйлдлийг амжилттай блоклосон бол инцидент-ийн Severity Score (ноцтой байдлын оноо) 30%-иар буурна.

Триггэрлэсэн инцидент-ийн хост сервер байх үед:

• Severity Score аль хэдийн 15 байвал 10-аар нэмэгдэнэ.
• Severity Score 15-аас бага байвал 15 хүртэл нэмэгдэнэ.