Investigations: Мөрдөн шалгалт үүсгэх, нотлох баримт нэмэх, удирдах
Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.
Энэ нийтлэл нь зөвхөн Security Data Lake Security-ийн боломж, функцэд хамаарна. Security Data Lake Security нь Security Data Lake төвлөрсөн логийн удирдлагын платформын нэг хэсэг бөгөөд тусдаа лиценз шаарддаг.
Security Data Lake Security Investigations (Мөрдөн шалгалт) нь шинжээчдэд өгөгдлийг бодит цагт хурдан цуглуулж, шинжлэх боломж олгодог шийдэл бөгөөд логийг цаг наяад үздэггүйгээр аливаа асуудал, аюулын бүрэн контекстийг харах боломжтой болгоно.
Security Data Lake Investigations ашиглан та дараахыг хийж чадна:
- Цагийн хуваарь, өгөгдлийн багц, үйл явдал, сэрэмжлүүлэг дээр суурилсан мөрдөн шалгалт үүсгэх.
- Үйл явдлуудыг мөрдөн шалгалттай холбох.
- Холбогдох өгөгдлийн цэгүүдийг нэг дор бүлэглэж харах.
- Мөрдөн шалгалтыг үүсгэж, дахин ашиглан цаг хугацаа, хүчин чармайлтаа хэмнэх.
- Үр дүнг хурдан нарийсгах.
- Мөрдөн шалгалтыг хуваалцах, хариуцагч томилох, хариуцагчид мэдэгдэх замаар олон хэрэглэгчтэй хамтран ажиллах.
Хэрхэн ажилладаг вэ
Мөрдөн шалгалт гэдэг нь Security Data Lake доторх dashboard, лог, хайлт, үйл явдлаас (хамтад нь «нотлох баримт» гэнэ) бүрдэх, нэг дор бүлэглэсэн цуглуулга юм. Та шинэ мөрдөн шалгалт үүсгэх, шинэчлэх, устгах эсвэл архивлах боломжтой.
Investigations хуудсанд гурван үндсэн цэс байна:
- Open: Нээлттэй бүх мөрдөн шалгалтыг харуулна.
- Archived: Архивлагдсан бүх мөрдөн шалгалтыг харуулна.
- Config: Эрэмбэ (priority) болон төлвийн (status) тохиргоог удирдах сонголтууд.
Анхдагч эрэмбэ ба төлөв
Config табд шинэ мөрдөн шалгалтад зориулсан анхдагч эрэмбэ ба төлвийг тохируулж болно. Дурын эрэмбэ эсвэл төлвийн Edit товчны зүүн талд хулганаа аваачвал Set Default товч гарч ирнэ. Энэ товчийг дарснаар тухайн эрэмбэ эсвэл төлөв шинэ мөрдөн шалгалт үүсгэх үед анхдагч сонголт болно.
Шинэ мөрдөн шалгалт үүсгэх
Дараах зааврууд Security Data Lake-д шинэ мөрдөн шалгалтыг гараар хэрхэн үүсгэхийг тайлбарлана. Тодорхойлсон үйл явдлын сэрэмжлүүлэг дээр үндэслэн автоматаар үүсгэхийг холбогдох баримтаас үзнэ үү.
- Security Data Lake-д Security Data Lake-ийн логоны drop-down цэсийг сонгоод Security-г дарна. Ингэснээр аюулгүй байдалтай холбоотой бүх агуулга байрлах Security харагдац руу шилжинэ. Дээд түвшний цэснээс Investigations-г сонгоно.
- Investigations хуудсан дээр New Investigation товчийг дарахад шинэ мөрдөн шалгалтын мэдээллийг бөглөх цонх гарна:
- Name: Шинэ мөрдөн шалгалтад давтагдахгүй нэр өгнө.
- Assign To: Мөрдөн шалгалтыг хариуцуулах бусад хэрэглэгч эсвэл багийг сонгоно. Мөн өөрөө хариуцаж болно. (Зөвхөн Admin, Investigations Manager эсвэл Investigations Reader үүрэгтэй хэрэглэгчдийг мөрдөн шалгалтад томилох боломжтой.)
- Priority: Анхдагчаар Low, Medium, High, Critical гэсэн дөрвөн эрэмбэ байдаг. Гэхдээ Investigations хуудасны Config табаар эрэмбийн тохиргоог өөрчилж болно. Шинэ эрэмбэ үүсгэх, эрэмбийн дарааллыг тодорхойлох, шаардлагатай бол устгах боломжтой.
- Status: Анхдагчаар Open, Investigating, Closed, False Positive гэсэн дөрвөн төлөв байдаг. Investigations хуудасны Config табаар төлвийн тохиргоог мөн өөрчилж, шинэ төлөв үүсгэх эсвэл одоо байгааг устгаж болно.
- Notes: Мөрдөн шалгалттай холбоотой санаа, бодол, тэмдэглэлээ бусадтай хуваалцахаар энд цуглуулна.
- Мэдээллээ бөглөөд Confirm-г дарж шинэ мөрдөн шалгалтыг үүсгэнэ. Шинээр үүссэн мөрдөн шалгалт Investigations хуудсанд харагдах бөгөөд та өгөгдлөө үзэх явцдаа түүнд нотлох баримт нэмж эхэлж болно.
Мөрдөн шалгалтад нотлох баримт нэмэх
Шинэ мөрдөн шалгалт үүсгэсний дараах алхам бол нотлох баримт нэмэх явдал юм. Та dashboard, лог, хадгалсан хайлт, үйл явдал (anomaly detection-оос үүссэн үйл явдлыг оролцуулан)-ыг нотлох баримтын объект болгон нэмж болно.
Энэ хэсэгт нотлох баримтыг гараар хэрхэн нэмэхийг тайлбарласан боловч тодорхойлсон үйл явдлаас үүссэн сэрэмжлүүлэг дээр үндэслэн одоо байгаа мөрдөн шалгалтад автоматаар нэмэх боломжтой. Дэлгэрэнгүйг Investigations and Alerts хэсгээс үзнэ үү.
Saved Searches
Хадгалсан хайлт-ыг нотлох баримт болгон мөрдөн шалгалтад шууд нэмж болно. Хайлтын мөрийн баруун талд байх ellipsis (⋯) дүрс дээр дараад идэвхтэй мөрдөн шалгалтад эсвэл өөр одоо байгаа мөрдөн шалгалтад нэмэхийг сонгоно.
Dashboards
Dashboards нь өгөгдлийг дүрслэн харуулж, цаг хугацааны чиг хандлагыг ойлгоход тустай бөгөөд аливаа мөрдөн шалгалтад хамаатай байж болно. Dashboards хуудсан дээрээс More drop-down үйлдлийн товчийг дараад идэвхтэй мөрдөн шалгалтад эсвэл өөр мөрдөн шалгалтад нэмэхийг сонгон dashboard-ыг нотлох баримт болгон шууд нэмж болно.
Хадгалсан хайлтын адил widget-үүдэд абсолют болон харьцангуй цагийн муж аль аль нь харагдаж болохыг анхаарна уу. Дэлгэрэнгүйг харьцангуй цагийн мужийн тухай хэсгээс үзнэ үү.
Logs
Тусдаа лог нь мөрдөн шалгалтын түлхүүр эх өгөгдөл болдог. Хайлтын үр дүн дээр дараад Investigations дэд цэснээс идэвхтэй мөрдөн шалгалтад эсвэл өөр мөрдөн шалгалтад нэмэхийг сонгосноор холбогдох аливаа логийг нотлох баримт болгон шууд нэмж болно.
Events
Сэрэмжлүүлэг ба үйл явдал нь ихэвчлэн мөрдөн шалгалтын хамгийн чухал нотлох баримт байдаг. Жишээлбэл, олон удаагийн амжилтгүй нэвтрэх оролдлогын сэрэмжлүүлэг триггерлэгдвэл Security Events > Alerts доорх Events табаас үйл явдлуудыг нотлох баримт болгон шууд нэмж, мөрдөн шалгалт руу шууд орж болно.
Индексийн ротаци ба архивлалтын тохиргооноос шалтгаалан хуучин лог, үйл явдал мөрдөн шалгалтаас устах боломжтой. Мөрдөн шалгалтад хавсаргасан нотлох баримт эх өгөгдөл устсаны дараа ч байх үүднээс бид хоёр stream үүсгэсэн:
- All Investigation events: Бүх мөрдөн шалгалтын бүх үйл явдлыг агуулсан stream.
- All Investigation messages: Бүх мөрдөн шалгалтын бүх мессежийг агуулсан stream.
Нэмсэн лог болон үйл явдлын нотлох баримт бүр хадгалагдахын тулд эдгээр stream-д хуулбарлагдана.
Хөрөнгийг мөрдөн шалгалттай холбох
Тусдаа мөрдөн шалгалтыг татах үед холбогдсон хөрөнгүүд (assets) нь лог болон үйл явдлын нотлох баримтаас авагдана. Эдгээр хөрөнгө мөрдөн шалгалтын хамт associated_assets талбарт буцаагдана.
Мөрдөн шалгалтыг цагийн хуваарьт харах
Мөрдөн шалгалтын цагийн хуваарь (timeline) нь мөрдөн шалгалтын нэг хэсэг болох гол үйл явдал, мессежүүдийг гаргаж харуулдаг. Энэ нь ахиц, илрүүлсэн зүйлсийг хянах цаг хугацааны дарааллаар бичигдсэн бүртгэл болно. Мөрдөн шалгалтын дэлгэрэнгүйг цагийн хуваарьт харахын тулд мөрдөн шалгалт бүрийн хуудсан дээрх Timeline харагдац руу шилжинэ.
Энэ харагдац нь сэрэмжлүүлгийн орчныг дүрслэн ойлгоход тусална. Жишээлбэл, үргэлжилж буй мөрдөн шалгалтыг ойлгохын тулд өнгөрсөн долоо хоногт болсон үйл явдлуудыг сонгон харж болно. Харах хугацааны мужийг өргөтгөх эсвэл тодорхой хугацаанд төвлөрөхийн тулд багасгаж болно. Цагийн хуваарь дээрх дурын нотлох баримтад ойртохын тулд курсороо дараад чирж хугацааг тэмдэглэнэ. Цагийн хуваарийн мужийг баруун дээд буланд байх Reset range товчоор анхны төлөвт нь буцааж болно.
Мөрдөн шалгалттай холбоотой бүх мессеж, үйл явдал цагийн хуваарьт харагдана. Цэг бүр нэг нотлох баримтын картыг төлөөлнө. Цэг дээр дарахад холбогдох карт тодорно. Цагийн хуваарьт харагдах нотлох баримтыг мессеж, үйл явдал эсвэл хоёуланг нь харуулахаар шүүж болно. Тухайн хугацаанд нэгээс олон нотлох баримт хамаарч байвал цэгүүд илүү бараан өнгөтэй байна. Тодруулсан цэг нь Event card is in view гэсэн утгатай.
Цагийн хуваарийн доор байх нотлох баримтын картууд нь мөрдөн шалгалтад нотлох баримт болгон нэмсэн лог мессеж, үйл явдалтай холбоотой дэлгэрэнгүйг агуулна. Сонгосон өгөгдлийн дэлгэрэнгүйг харахын тулд карт бүрийн баруун дээд буланд байх drop-down сумыг дарна. Мессеж эсвэл үйл явдлын талбарын утга зэрэг дэлгэрэнгүй эдгээр картанд харагдана.
Нотлох баримтын картууд нь үйл явдлуудад Replay Search функцийг санал болгодог бөгөөд энэ нь хайлттай холбоотой бүх мессежийг харуулна. Мессежийн нотлох баримтын картууд дээр Permalink-ийг дарж мессежийн дэлгэрэнгүй харагдацыг гаргаж болно.
Төстэй талбартай мессеж, үйл явдлыг харуулахын тулд Show Similar-ийг дарна. Энэ шүүлтүүрийг цагийн хуваарийн widget-ийн баруун дээд буланд байх Reset товчоор цэвэрлэж болно.
Detection chain-ийн үйл явдлыг мөрдөн шалгалтад нэмэх
Security Data Lake-ийн нэгдсэн аюул мөрдөн шалгах боломжийн нэг хэсэг болгон та detection chain-ээс үйл явдлыг шууд идэвхтэй мөрдөн шалгалтад нэмж болно. Ингэснээр холбоотой илрүүлэлтүүдийг уялдуулж, чухал контекстийг хадгалж, ангилал болон хариу арга хэмжээг түргэсгэхэд хялбар болно.
Detection chain доторх триггерлэгдсэн дүрмүүдтэй холбоотой үйл явдлуудыг сонгосноор lateral movement, командын мөрөөр гүйцэтгэл, эрхийн өсгөлт зэрэг сэжигтэй үйл ажиллагааны бүрэн дарааллыг илэрхийлэх нотлох баримтын багцыг бүрдүүлж болно.
Detection chain-ээс үйл явдлыг мөрдөн шалгалтад нотлох баримт болгон нэмэхийн тулд:
- Detection chain-тэй холбоотой (detection chain tag-аар тэмдэглэгдсэн) үйл явдлыг сонгоно.
- Detection chain-ийн гарчиг дээр дарна.
- Add events to an investigation (баруун талд байх цэнхэр товч)-ийг дарна.
- Гарч ирсэн modal цонхноос одоо байгаа мөрдөн шалгалтыг сонгох эсвэл шинийг үүсгэнэ.
Нэмсний дараа эдгээр үйл явдал холбогдох мөрдөн шалгалтын цагийн хуваарьт харагдана. Дараа нь тэдгээрийг event procedure эсвэл холбосон хөрөнгө зэрэг бусад артефактуудтай уялдуулж болно.
Мөрдөн шалгалтад хариуцагч томилох
Мөрдөн шалгалтад нотлох баримт нэмсний дараа түүнийг бусад хэрэглэгч эсвэл багт хариуцуулж болно. Мөрдөн шалгалтыг шинээр үүсгэх үед эсвэл дараа нь одоо байгааг засварлан хариуцагч томилж болно. Мөн Assign to drop-down цэсээр өөрийгөө томилж болно.
Мөрдөн шалгалтыг хариуцуулсан тухай и-мэйл мэдэгдлийг идэвхжүүлэх
Мөрдөн шалгалтад и-мэйл сэрэмжлүүлэг тохируулж болно. Энэ функц одоо байгаа суулгалтуудад анхдагчаар идэвхтэй байдаг. Энэ тохиргоог идэвхгүй болгохын тулд:
- Investigations хуудасны Config таб руу очно.
- Enable Investigation assignment email notifications капсул товчийг олж, идэвхгүй болгоно.
Идэвхтэй үед и-мэйл сэрэмжлүүлэг нь мөрдөн шалгалтад оролцсон хэрэглэгч болон хариуцсан багт илгээгдэнэ. Эдгээр сэрэмжлүүлэг хариуцагч томилогдсон даруйд триггерлэгдэнэ.
transport_email_server тохиргооны параметр (server.conf) зөв тохируулагдсан байхыг шаарддаг. Эдгээр параметр буруу тохируулагдсан бол и-мэйл илгээгдэхгүй.Мөрдөн шалгалтын төлвийг шинэчлэх
Та мөрдөн шалгалтаа дуусгаж, хаахад бэлэн боллоо гэж үзье. Investigations хуудаснаас:
- Хүссэн мөрдөн шалгалтын баруун талд байх ellipsis дээр дарна.
- Edit-ийг дарна.
- Мөрдөн шалгалтын гарчгийн баруун талд байх ellipsis дээр дарна.
- Edit-ийг дарна.
- Modal цонхонд Closed-г сонгож төлвийг шинэчилнэ.
Ингэснээр нээлттэй мөрдөн шалгалт дуусна. Гэхдээ хаагдсан мөрдөн шалгалтыг засварлах болон хэрэглэгч, багт хариуцуулах боломжтой хэвээр байна.
Мөрдөн шалгалтыг бүрэн хааж, хандах боломжгүй болгохын тулд түүнийг архивлах ёстой:
- Сонгосон мөрдөн шалгалтын баруун талд байх босоо ellipsis дээр дарна.
- Гарч ирсэн drop-down цэсээс Archive-г сонгоно.
Энэ үйлдэл мөрдөн шалгалтыг Open табаас Archived таб руу зөөнө. Энэ үед архивлагдсан мөрдөн шалгалтыг засварлах боломжгүй.
Мөрдөн шалгалтыг андуурч архивласан бол:
- Archived табд мөрдөн шалгалтын баруун талд байх ellipsis дээр дарна.
- Restore-г сонгоно.
Мөн Archived табаас архивлагдсан мөрдөн шалгалтуудын чагтыг тэмдэглээд Bulk Actions товчийн drop-down цэснээс Restore-г сонгон олноор нь сэргээж болно. Ингэснээр архивлагдсан мөрдөн шалгалтууд Open таб руу буцна.
Олноор үйлдэл хийх
Investigations цэсэнд олноор архивлах, хариуцагч томилох, устгах үйлдлийг хийж болно.
Олноор үйлдэл хийхийн тулд Investigations хуудсанд очиж, чагтаар мөрдөн шалгалтуудыг сонгоод, Bulk Actions drop-down-оос олон мөрдөн шалгалтыг хариуцуулах, архивлах эсвэл устгахыг сонгоно.
AI-аар мөрдөн шалгалтын тайлан үүсгэх
Investigations нь илгээсэн үйл явдал, логийг шинжлэн гол дүгнэлт, санал болгож буй хамгаалалтын арга хэмжээг агуулсан дэлгэрэнгүй тайлан үүсгэдэг AI-д суурилсан тайлангийн боломжтой. AI тайлан үүсэхийн тулд мөрдөн шалгалт дор хаяж гурван лог агуулсан байх ёстой бөгөөд таны Security Data Lake орчин нийтийн интернетэд хандах эрхтэй байх ёстой.
Шинэ AI тайлан үүсгэхийн тулд:
- Security Data Lake Security интерфэйс рүү орж Investigations табыг сонгоно.
- Хураангуйлах мөрдөн шалгалтаа олоод AI Report-г дарна. (Мөрдөн шалгалтад хамгийн багадаа гурван лог хавсаргасан байх шаардлага хангагдсан тохиолдолд л энэ товч идэвхтэй болохыг анхаараарай.) Хэрэв энэ таны анхны тайлан бол энэ боломжийн Terms and Conditions-ийг (Үйлчилгээний нөхцөл) хянахыг танаас хүснэ.
- Энэ анхааруулгыг сайтар уншиж, заасан ёсоор боломжийг ашиглах эсэхээ шийднэ.
- Үргэлжлүүлсний дараа мөрдөн шалгалтын тайлан гарч ирэх цонхонд таны хянахаар гарна. Тайлангийн текстийг Copy Report-оор хуулж эсвэл Download Report-оор текст файл болгон татаж авч болно.
Үүрэг (Roles)
Security Data Lake нь хэрэглэгчийн эрхийн хүрээнд мөрдөн шалгалттай холбоотой хоёр үүрэг-ийг агуулдаг (Permission Management):
- Investigations Manager: Энэ үүрэгтэй бол мөрдөн шалгалтыг бүрэн удирдах эрхтэй.
- Investigations Reader: Энэ үүрэгтэй бол мөрдөн шалгалтыг зөвхөн унших эрхтэй.
Харьцангуй эсвэл абсолют цагийн мужийг тодорхойлох
Хайлтыг ихэвчлэн «сүүлийн нэг цагийн бүх зүйл» гэх мэт харьцангуй цагаар хийдэг. Иймээс хадгалсан хайлтыг мөрдөн шалгалтад нотлох баримт болгон оруулахаар шийдэх үед Security Data Lake бүртгэсэн цагийг абсолют цаг болгон хөрвүүлэх эсвэл харьцангуй хайлтаа хэвээр хадгалахыг танаас асууна. Харьцангуй цаг болгон хөрвүүлэхийг сонговол систем хадгалсан хайлтыг хуулбарлан, абсолют цагийн параметрүүдийг хадгалж, тухайн хадгалсан хайлтыг Absolute Time гэж тэмдэглэнэ. Ингэснээр шаардлагатай хайлтаа аль алийг нь ашиглах боломжтой.
Мөрдөн шалгалтын тэмдэглэлд Markdown ашиглах
Мөрдөн шалгалтын тэмдэглэл нь тусгай markdown editor-той. Энэ editor нь гарчиг, bullet жагсаалт, хүснэгт, дугаарласан жагсаалт, кодын хэсэг, гипер холбоос зэрэг боломжоор тэмдэглэлээ бүтэцлэж, форматлах замаар тэмдэглэл хөтлөлтийг эрс сайжруулдаг.
Markdown editor-ийн preview боломж нь эцсийн үр дүнг харах боломж олгож, хадгалахаас өмнө алдаа, зөрүүг засах боломжтой болгоно.
Investigations ба сэрэмжлүүлэг
Event definition-д хавсаргасан сэрэмжлүүлгийг Security Data Lake-ийн Investigations модультай холбож, сэрэмжлүүлгээс шинэ мөрдөн шалгалт үүсгэх эсвэл сэрэмжлүүлэг триггерлэгдэхэд нотлох баримтыг одоо байгаа мөрдөн шалгалтад нэмэх боломжтой. Энэ ажлын урсгалыг Event Definitions цэсээр тохируулна. Үйл явдал болон event definition тодорхойлох талаар дэлгэрэнгүйг үйл явдал ба event definition-ий баримтаас үзнэ үү.
Сэрэмжлүүлгийн мэдэгдлээс шинэ мөрдөн шалгалт үүсгэх
Үйл явдал триггерлэгдэх бүрд шинэ мөрдөн шалгалт үүсгэхийн тулд event definition үүсгэх шаардлагатай. Event definition нь биелэгдэхэд сэрэмжлүүлэг триггерлэх нөхцөлүүдээс бүрдэнэ. Дараа нь хэрэглэгчдэд энэ сэрэмжлүүлгийн талаар Slack, MS Teams, Email болон Security Data Lake-ийн дэмждэг бусад сэрэмжлүүлгийн төрлөөр мэдэгдэж болно.
- Security Data Lake дахь Alerts таб руу очно.
- Event Definitions дэд цэсийн табыг дарна.
- Гарч ирсэн хуудасны баруун буланд Create event definition товчийг дарна.
- Одоо шаардлагынхаа дагуу шинэ event definition-ийг үүсгэж болно.
- Notifications цонхонд Add Notification товчийг дараад гарч ирэх drop-down сонголтуудаас Create New Notification-ийг сонгоно. Security Data Lake-ийн мэдэгдлийн талаар дэлгэрэнгүйг холбогдох баримтаас үзнэ үү.
- Мэдэгдлийн гарчиг, тайлбарыг оруулж, Notification Type drop-down сонголтуудаас Create Investigation Notification-г сонгоно.
- «Create a New Investigation for Every Alert» чагтыг тэмдэглэнэ.
- Чагтыг тэмдэглэхэд мессеж гарч ирнэ. Үүнийг уншаад үргэлжлүүлэхээр баталгаажуулна.
> Анхааруулга: Триггерлэгдсэн сэрэмжлүүлэг бүрт мөрдөн шалгалт үүсгэх нь хэт олон мөрдөн шалгалтын жагсаалт үүсгэж болзошгүй. Болгоомжтой үргэлжлүүлнэ үү.
Автоматаар үүсэх мөрдөн шалгалтуудыг удирдахын тулд event conditions цонхонд хайлт болон гүйцэтгэлийн хугацааг тодорхойлж болно. Жишээлбэл, «Search within the last» болон «Execute search every» талбаруудад 30 минут, 1 цаг зэрэг интервал тохируулж болно. Ингэснээр сэрэмжлүүлэг триггерлэгдэх бүрд автоматаар үүсэх мөрдөн шалгалтын тоо хязгаарлагдана. Мөн үйл явдлын хязгаарыг өөрийн хүсэлтээр өөрчилж болно.
Түүнчлэн event definition-ийг автоматаар ажиллуулахыг идэвхгүй болгож, шаардлагатай үедээ Events Definitions хуудаснаас гараар идэвхжүүлэх боломжтой.
- Дараах талбаруудыг бөглөж процессыг гүйцээнэ:
- Assign Investigation To: Шинэ мөрдөн шалгалт бүрийн хариуцагч.
- Investigation Priority: Шинэ мөрдөн шалгалтын эрэмбэ (Critical, High, Medium эсвэл Low).
- Investigation Status: Drop-down цэсний боломжит сонголтоос шинэ мөрдөн шалгалтад төлөв оноож өгнө.
- Execute Test Notification товчийг дарж мэдэгдлийг шалгаад Done эсвэл Next-ийг сонгон summary цонх руу шилжиж болно.
- Summary цонх нь оруулсан бүх тохиргооны хураангуйг харуулна. Хуудасны баруун доод буланд байх Create event definition товчийг дарна. Ингэснээр энэ event definition-оор триггерлэгдсэн сэрэмжлүүлэг бүрт шинэ мөрдөн шалгалт үүсгэх процесс дуусна.
Одоо event definition-д тохируулсан нөхцөл биелэх бүрд сэрэмжлүүлэг триггерлэгдэж, шинэ мөрдөн шалгалт автоматаар үүснэ.
Таны үүсгэсэн event definition одоо мөн идэвхтэй болсон бөгөөд сэрэмжлүүлгээс үүссэн мөрдөн шалгалт бүр таны мөрдөн шалгалтын жагсаалтад нэмэгдэхтэй адил Event Definitions хуудаснаас цаашид удирдах боломжтой.
Сэрэмжлүүлэг бүрийг одоо байгаа мөрдөн шалгалтад нэмэх
Мөн тухайн үйл явдлын сэрэмжлүүлэг триггерлэгдэх бүрд Security Data Lake-ийг үйл явдлыг нотлох баримт болгон одоо байгаа мөрдөн шалгалтад нэмэхээр тохируулж болно. Ингэснээр сэрэмжлүүлэг бүрт тусдаа мөрдөн шалгалт үүсгэлгүйгээр үйл явдлуудыг үргэлжилж буй мөрдөн шалгалтууддаа саадгүй нэгтгэх боломжтой.
- Security Data Lake дахь Alerts таб руу очно.
- Event Definitions дэд цэсийн табыг дарна.
- Гарч ирсэн хуудасны баруун буланд Create event definition товчийг дарна.
- Одоо шаардлагынхаа дагуу шинэ event definition-ийг үүсгэж болно.
- Notifications цонхонд Add Notification товчийг дараад гарч ирэх drop-down сонголтуудаас Create New Notification-ийг сонгоно. Security Data Lake-ийн мэдэгдлийн талаар дэлгэрэнгүйг холбогдох баримтаас үзнэ үү.
- Create a New Investigation for Every Alert чагтыг СОНГОХГҮЙ.
- Мэдэгдлийн гарчиг, тайлбарыг оруулж, Notification Type drop-down сонголтуудаас Create Investigation Notification-г сонгоно. Дараах мөрдөн шалгалтын тохиргооны сонголтууд гарч ирнэ.
- Investigation: Нотлох баримтыг нэмэх мөрдөн шалгалтыг сонгоно.
- Assign Investigation To: Шинэ мөрдөн шалгалт бүрийн хариуцагч.
- Investigation Priority: Шинэ мөрдөн шалгалтын эрэмбэ (Critical, High, Medium эсвэл Low).
- Investigation Status: Drop-down цэсний боломжит сонголтоос шинэ мөрдөн шалгалтад төлөв оноож өгнө.
- Execute Test Notification товчийг дарж мэдэгдлийг шалгаад Done эсвэл Next-ийг сонгон summary цонх руу шилжиж болно.
- Summary цонх нь оруулсан бүх тохиргооны хураангуйг харуулна. Хуудасны баруун доод буланд байх Create event definition товчийг дарснаар үйл явдлыг одоо байгаа мөрдөн шалгалтад нотлох баримт болгон нэмэх процесс дуусна.
Энэ хуудсанд гарсан нэр томъёо
- Reports
- Тайлан; хугацаагаар илгээх боломжтой