Organization incident-ийг судлах: тойм, Overview, Alerts
Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.
Incidents хуудасны Smart views (Ухаалаг харагдац) хэсгээс сонгоход Organization incidents харагдац нээгдэнэ. Энэ харагдац таны орчинд глобал түвшинд илэрсэн, бүх сүлжээнд нөлөөлж болзошгүй цогц incident-уудыг харуулна.
Incident бүр өөрийн тусгай харагдацтай бөгөөд таны орчинд тохиолдсон, хоорондоо уялдаа холбоотой үйл явдлуудыг үзүүлж, үе шаттай халдлагыг сүлжээний хэмжээнд харах боломж олгоно.
- Incidents хуудсан дээр Smart Views товчийг дарна.
Smart views самбар нээгдэнэ.
- Organization incidents-ийг сонгоно.
Одоо Incidents хүснэгтэд зөвхөн Organization incident-ууд харагдана.
- Шинжлэх гэж буй аюулгүй байдлын үйл явдлаа олоод ID баганын доорх холбоос дээр дарна.
Мөн ямар ч incident-ийн картыг дарж хажуугийн самбарыг нээгээд incident-ийн үзүүлэлтүүдийг хурдан шинжилж болно, эсвэл View incident товчийг дарж нарийвчилсан шинжилгээгээ эхлүүлж болно.
Incident анхнаасаа Organization Incident Overview хэсэгт нээгдэнэ.
- Overview табаас incident-ийн үндсэн шалтгаан (root cause), мөн таны байгууллагад халдлага хэрхэн хийгдсэн тухай бусад мэдээллийг харна. Мөн ашигласан техникүүд болон kill chain-ий янз бүрийн шатанд оролцсон компанийн нөөцүүдийг харж болно.
Response (Хариу арга хэмжээ) widget нь хамгийн ойрын аюулыг яаралтай хязгаарлахад зориулсан зөвлөмж, үйлдлүүдийг санал болгоно.
- Идэвхтэй аюулыг арилгах эсвэл багасгахын тулд ямар үйлдэл хийх ёстойг Actions needed табаас харна.
- Аюулыг арилгах эсвэл багасгахын тулд аль хэдийн хийгдсэн үйлдлүүдийг Actions executed табаас харна.
> Тэмдэглэл: Аюулыг бууруулахын тулд хийж болох үйлдлүүдийн талаар Response хэсгээс дэлгэрэнгүй уншина уу.
- Өргөтгөсөн incident-ийн графикаар дүрслэлийг харахын тулд Graph харагдацыг (graph дүрс) нээнэ. Graph-ийн элементүүдийн талаар энд дэлгэрэнгүй уншина уу.
- Хүсвэл Activity panel-ийг ашиглан үйл явдлын дарааллыг цагаар нь эсвэл халдлагын kill chain дахь ач холбогдлоор нь харуулж болно.
- Хамгийн өндөр түвшний (severity) interaction node-уудыг сонгож, хажуугийн самбар дахь дэлгэрэнгүй мэдээллийг шинжилнэ. Үүнд:
- Interaction-ий эх үүсвэр (source) ба зорилт (target).
- Энэ процессын үеэр үүссэн alert-ууд болон холбогдох нөөцүүдийн хураангуй.
> Анхааруулга: Улаанаар тэмдэглэсэн interaction-д өндөр түвшний alert багтсан байдаг тул тэргүүн ээлжинд шинжилнэ.
1. Илүү гүнзгий судлахыг хүсвэл alert бүрийг нээж нэмэлт мэдээллийг харна. Үүнд alert-ийн үзүүлэлтүүд, холбогдсон artifact-ууд, interaction-ууд, ашигласан нөөцүүд, халдлагын техникүүд болон зөвлөмжүүд багтана.
- Node-ийн дэлгэрэнгүйг харахад хариу арга хэмжээний хэд хэдэн сонголт байдаг. Дэлгэрэнгүйг Organization Incident Graph хуудасны 3. Node details panel хэсгээс уншина уу.
- Хорлогдсон хэрэглэгчдийн хувьд хэрэглэгчийн node-ийн хажуугийн самбарыг нээж Disable user (Хэрэглэгчийг идэвхгүй болгох), Force credentials reset (Нэвтрэх мэдээллийг дахин тохируулахыг шаардах), Mark user as compromised (Хэрэглэгчийг хорлогдсон гэж тэмдэглэх) зэрэг үйлдлийг хийнэ. Дэлгэрэнгүйг Organization Incident Graph хуудасны 3. Node details panel хэсгээс уншина уу.
> Анхааруулга: Хортой эсвэл сэжигтэй interaction-д оролцсон хэрэглэгчдийг тусгай identity node-оор дүрсэлнэ. Мөн тэдний таны орчны өөр ямар нөөцийг эвдэж болзошгүйг динамик тасархай шугам харуулна.
- Мөрдөн шалгалтаа үргэлжлүүлэхийн тулд Alerts цонх руу орж, incident-ийн нэг хэсэг болж уялдсан үйл явдал бүрийг дэлгэрэнгүй харна.
Organization Incident Overview
Overview хуудас нь судалж буй өргөтгөсөн incident-ийн хураангуйг өгнө: incident-ийн түвшин (severity), таны орчинд тохиолдсон гол аюулгүй байдлын үйл явдлууд болон нөлөөлөлд өртсөн байгууллагын нөөцүүдийг харуулна.
Судалж буй incident-ийн мэдээллийг дараах ангилалд бүлэглэсэн байдаг.
Summary
Summary (Хураангуй) нь incident-д юу болсныг тоймлон харуулна: incident-ийн Root cause analysis (үндсэн шалтгааны шинжилгээ), Initial Access (анхны нэвтрэлт), ATT&CK tactic болон technique-ээр ангилсан alert-ууд, мөн incident-д өртсөн нөөцүүд.
Нэмэлт мэдээлэл бүхий хажуугийн самбарыг нээхийн тулд цэнхэр өнгөөр харагдаж буй мэдээлэл дээр дарна. Тэнд Risk Management эсвэл incident graph руу орох холбоос байх бөгөөд цааш шинжилгээ хийх боломжтой.
Incident-ийн дэлгэрэнгүй PDF тайланг татаж эхлэхийн тулд Generate report дээр дарна. Энэ тайланд хамгийн ихдээ 1,000 alert болон 300 node багтаж болно.
Дэлгэрэнгүйг харахын тулд incident-ийн тоон дээр дарна. Холбогдох бүх incident, тэдгээрийн төлөв болон incident тус бүрийн хуулж авах боломжтой холбоосыг харуулсан самбар нээгдэнэ.
Organization Impact
Organization Impact нь incident-д оролцсон бүх нөөцийг харуулна. Үүнд өртсөн сервер болон endpoint-ууд, мэдээллийн сан, хорлогдсон и-мэйл зэрэг багтана.
Suspected actors
Энэ хэсэг нь кибер аюул эсвэл халдлагын ард байгаа хувь хүмүүс, бүлэг эсвэл байгууллагыг тодорхойлоход шаардлагатай мэдээллийг өгнө.
Анхдагчаар эхний actor-ын жагсаалт нээлттэй байна. Actor бүрийн хувьд дараах мэдээллийг харуулна.
- Actor name — actor-ын нэр болон холбогдох дүрс.
- Confidence — тухайн actor тэр incident-д оролцсон гэх итгэлцлийн хувь.
- Actor description — actor-ын тодорхойлолт.
- IntelliZone руу шилжих товч — pivot товчийг дарахад тухайн IoC-д зориулж IntelliZone-ийн үндсэн хайлтаар хийсэн хайлттай шинэ таб нээгдэнэ.
> Тэмдэглэл: Энэ боломж IntelliZone console-тэй идэвхтэй интеграци байхыг шаардана.
>
> Дэлгэрэнгүйг энэ нийтлэлээс уншина уу.
- Alias — аюулгүй байдлын салбарт тухайн actor-д өгсөн бусад нэр.
- Motivation — actor-ын халдлагын ажиглагдсан зорилго (мэдээлэл хулгайлах, тагнуул хийх гэх мэт).
- Sponsor — тухайн actor-ыг хэн ивээн тэтгэж болзошгүй.
- eCrime — тэд ямар төрлийн кибер гэмт хэргээр алдартай.
- First detected on — энэ actor таны компанийг анх бай болгосон огноо.
- Targets your country — энэ actor ихэвчлэн incident гарсан компанийн улсыг бай болгодог эсэхийг заана.
- Targets your industry — энэ actor ихэвчлэн incident гарсан компанийн салбарыг бай болгодог эсэхийг заана.
- Involved in — actor оролцсон incident-ууд.
Холбоос дээр дарахад Incidents хуудас руу шилжиж, холбогдох incident-уудыг харуулахаар шүүлтүүр өмнө нь тохируулагдсан байна.
- CVEs — одоогийн incident дэх CVE ID-уудын жагсаалт.
- IoCs — одоогийн incident дэх Indicators of Compromise (хорлогдсоны үзүүлэлтүүд)-ийн жагсаалт.
Харагдаж буй IoC-ийн тоон дээр дарахад IoC details хажуугийн самбар нээгдэж, үзүүлэлтүүдийг төрлөөр нь бүлэглэн харуулна.
- MITRE techniques — actor-ын ихэвчлэн ашигладаг болон одоогийн incident-д ашигласан MITRE technique-ууд.
Харагдаж буй technique-ийн тоон дээр дарахад MITRE Techniques хажуугийн самбар нээгдэж, technique-уудын тусгай жагсаалтыг харуулна.
ATT&CK Tactics and Techniques
Энэ хэсэг нь одоогийн халдлагад ашигласан MITRE ATT&CK tactic болон technique бүрийг харуулна.
Highlights
Highlights нь судалж буй incident доторх, таны байгууллагад хамгийн их нөлөө үзүүлсэн kill chain-ий шатуудыг харуулна.
View in Graph товчийг дарж, kill chain-ээр бүлэглэсэн бүх аюулгүй байдлын үйл явдлыг Activity самбараас харна.
Response
Response хэсэг нь өргөтгөсөн incident доторх аюулыг бууруулж, таны орчинд учрах хохирлыг хурдан багасгахад хийж болох тодорхой үйлдлүүдийг санал болгоно.
- Идэвхтэй аюулыг арилгах эсвэл багасгахын тулд ямар үйлдэл хийх ёстойг Actions needed табаас харна.
- Аюулыг арилгах эсвэл багасгахын тулд аль хэдийн хийгдсэн үйлдлүүдийг Actions executed табаас харна.
Шаардлагатай бүх үйлдлийг хийх, гүйцэтгэсэн үйлдлүүдийг харах, тэдгээрийн төлвийг өөрчлөх Response таб руу очихын тулд View Details-ийг сонгоно.
Associated risks
Associated risks widget нь тухайн incident-ийн entity-тэй холбоотой эрсдэлийн хураангуйг өгнө бөгөөд дараах хэсгүүдтэй:
- The associated risks graph — тухайн incident-ийн node болон нөөцийн төрлүүдийн дунд эрсдэл хэрхэн хуваарилагдсаныг графикаар харуулна.
Графикийн аль ч хэсэг дээр эсвэл View all risks товч дээр дарахад Associated risks самбар нээгдэнэ.
- Root cause risks — энэ incident-д илэрсэн үндсэн шалтгааны бүх эрсдэлийн жагсаалт.
- Top risks from Risk Management — энэ incident-ийн node болон нөөцийн төрлүүдэд нөлөөлж буй хамгийн ноцтой 5 эрсдэлийг харуулна.
- Top risks from Cloud Security — энэ incident-ийн node болон нөөцийн төрлүүдэд нөлөөлж буй хамгийн ноцтой 5 эрсдэлийг харуулна.
Графикийн аль ч хэсэг, Root cause risks, Top risks from Risk Management эсвэл Top risks from Cloud Security хэсгийн аль ч элемент, эсвэл View all risks товч дээр дарахад Associated risks самбар нээгдэнэ.
Самбар хоёр табтай:
- Risk Management. Энэ таб нь Endpoint Risk Analytics боломжоос үүдэлтэй бүх холбогдох эрсдэлийг харуулна.
Endpoint-ийн баруун талын цэсийн товчийг дарахад дараах сонголтууд гарна:
- View resource findings — Risk management > Resources руу шилжиж, Resource name-ээр шүүлтүүр хэрэглэнэ.
- View findings — Risk management > Findings руу шилжиж, Finding name-ээр шүүлтүүр хэрэглэнэ.
- Cloud Security. Энэ таб нь Cloud Security console-оос үүдэлтэй бүх холбогдох эрсдэлийг харуулна.
Endpoint-ийн баруун талын цэсийн товчийг дарахад дараах сонголтууд гарна:
- View rule — Cloud Security > Posture Management > Rules руу шилжиж, finding name-ээр шүүлтүүр хэрэглэнэ.
- View resources — Cloud Security > Posture Management > Resources руу шилжиж, нөөцийн төрөл болон finding-ийн дэлгэрэнгүйгээр шүүлтүүр хэрэглэнэ.
Organization Incident Alerts
Судалж буй incident-ийг үүсгэсэн үйл явдлууд хэрхэн дараалан өрнөснийг харахын тулд Alerts табыг ашиглана. Энэ хуудас нь EDR, Network Attack Defense, Anomaly Detection, Advanced Anti-Exploit, Windows Antimalware Scan Interface (AMSI) зэрэг GravityZone-ийн технологиор илрүүлсэн, хоорондоо уялдаатай системийн үйл явдал болон alert-уудыг харуулна.
Цогц үйл явдал бүр нь юу илэрсэн, тухайн artifact-ыг хортой зорилгоор ашиглавал юу болж болохыг MITRE-ийн хамгийн сүүлийн technique, tactic-т нийцүүлэн тайлбарласан дэлгэрэнгүй тодорхойлолттой.
Жагсаалтад орсон alert бүр дараахыг агуулна:
- Ашигласан ATT&CK technique
- Alert-ийн kill chain дахь байрлал
- Таны байгууллагад хэрхэн нөлөөлж буй байдал
Эдгээр alert-уудыг дараах сонголтоор шүүж болно:
- All sensors жагсаалтыг ашиглан бүх sensor-ийн эсвэл зөвхөн нэг sensor-ийн alert-ыг харуулна.
- All Kill Chain Phases жагсаалтыг ашиглан kill chain-ий тодорхой шатны эсвэл бүх шатны alert-ыг харуулна.
- Search for alert name талбараар alert-ыг нэр эсвэл файлын өргөтгөлөөр хайна.
Alert дээр дарахад холбогдох дэлгэрэнгүй самбар нээгдэнэ.
Alert details panel
Дэлгэрэнгүй самбар нь тухайн alert-ийн талаар нарийвчилсан мэдээлэл өгнө.
Самбар дараах хэсгүүдтэй:
- Header: Alert-ийн чухал байдал, гарал үүслийг хурдан үнэлэхэд туслах ерөнхий мэдээллийг харуулна. Үүнд:
- Alert-ийн нэр
- Түвшин (severity)
- Alert-ийг үүсгэсэн sensor
> Анхааруулга: Security Data Lake интеграциар хүлээн авсан alert-уудын хувьд Sensor талбар нь Security Data Lake-ийн гадаад өгөгдлийн эх сурвалжийг (жишээлбэл Palo Alto эсвэл Fortigate) заана.
- Alert илэрсэн огноо, цаг
- Холбогдох kill chain-ий шат
- Alert details: Илэрсэн аюулгүй байдлын үйл явдлын товч, ойлгомжтой тодорхойлолт.
- Artifacts involved: Alert-тэй шууд холбогдсон entity-үүд, тухайлбал хэрэглэгч эсвэл бүртгэлүүдийг жагсааж, илэрсэн үйл ажиллагаанд хэн эсвэл юу өртсөнийг тодорхойлоход тусална.
- Interactions: Alert-д оролцсон entity-үүдийн хоорондын харилцан хамаарлыг харуулна.
- Resources: Alert-тэй холбоотой и-мэйл, хуваалцсан холбоос, аппликейшн, файл, URL зэрэг объектуудыг харуулж, тус бүрийн дэлгэрэнгүй мэдээллийг өгнө.
Add as XDR Exclusion сонголт нь илэрсэн үйлдлийг хууль ёсных гэж тэмдэглэж, цаашдын XDR илрүүлэлтээс хасах боломж олгоно. Нэмсний дараа тэр үйлдлийг сэжигтэй эсвэл хортой гэж үзэхгүй бөгөөд ижил үйл ажиллагаанаас үүдсэн alert эсвэл incident Incidents хуудсанд цаашид үүсэхгүй.
И-мэйл нөөцийн хувьд дараах хариу үйлдлүүд байж болно:
- Delete email: Сэжигтэй и-мэйлийг устгана.
- Delete similar emails: Alert-ийн дэлгэрэнгүй самбар дахь жишиг и-мэйлтэй төстэй хэд хэдэн Microsoft 365 и-мэйлийг хурдан устгах боломж олгоно.
Delete similar emails үйлдлийн дэлгэрэнгүйг Төстэй и-мэйлийг устгах хэсгээс уншина уу.
Файл төрлийн нөөцийн хувьд Delete file сонголт байдаг. Файл Trash фолдер руу шилжих бөгөөд энэ боломж зөвхөн Microsoft 365-д дэмжигдэнэ.
- ATT&CK techniques: Alert-тэй холбоотой MITRE ATT&CK technique-уудыг холбогдох kill chain-ий шатуудтай харгалзуулан харуулж, илэрсэн үйл ажиллагаанд ямар tactic, арга хэрэглэснийг тодорхойлоход тусална.
- Recommendations: Илэрсэн аюулыг арилгах, цаашид үүнтэй төстэй incident гарах эрсдэлийг бууруулахад туслах үйлдлүүдийн зөвлөмжийг өгнө.
Төстэй и-мэйлийг устгах (Deleting similar emails)
Alert-ийн дэлгэрэнгүй самбараас нөөц и-мэйлтэй төстэй и-мэйлүүдийг устгахдаа дараах алхмуудыг дагана.
- Alert-ийн дэлгэрэнгүй самбарт орсны дараа Resources хэсгээс Delete similar emails дээр дарна.
Таныг Select emails to delete хуудас руу шилжүүлнэ. Энэ хуудас нь жишиг и-мэйлтэй төстэй, similarity hash-ээр тодорхойлсон и-мэйлүүдийн жагсаалтыг харуулна.
> Зөвлөгөө: Олон хүлээн авагчтай и-мэйлийн хувьд хүлээн авагч баганын холбоос дээр дарж, хүлээн авагчдын и-мэйл хаягийн жагсаалттай хажуугийн самбарыг нээнэ.
- Бөөнөөр устгах и-мэйлүүдээ сонгоно. Сонгосон и-мэйлүүд Outlook-ийн Recycle Bin руу шилжинэ.
> Анхааруулга:
> - Энэ үйлдлийг GravityZone-оос буцаах боломжгүй.
> - Нэг үйлдэлд хамгийн ихдээ 1,000 и-мэйл устгаж болно.
- Delete emails дээр дарж, дахин Delete emails дээр дарж баталгаажуулна.
- Үйлдэл амжилттай болсон эсэхийг шалгаж, үр дүнг харахын тулд Incidents > Response руу орно:
- Үйлдэл амжилттай дууссан бол Completed дор Successful төлөвтэй харагдана.
> Зөвлөгөө: Хэрэв олдсон төстэй и-мэйлүүдийн бүгдийг устгаагүй бөгөөд дараа нь бусдыг нь устгахыг хүсвэл alert-ийн дэлгэрэнгүй самбар руу буцаж, Delete similar emails дээр дахин дарж процессыг давтана.
- Сонгосон и-мэйлүүдийн зарим нь амжилттай устаж, бусад нь байнгын шалтгаанаар (жишээлбэл и-мэйл байхгүй болсон) устаагүй бол үйлдэл Completed дор Successful төлөвтэй харагдах бөгөөд дахин оролдох боломжгүй.
- Үйлдэл бүтэлгүйтсэн, өөрөөр хэлбэл ямар ч и-мэйл устаагүй эсвэл сонгосон и-мэйлүүдийн зарим нь эрх хүрэлцээгүй, authorization key буруу зэрэг шалтгаанаар устаагүй бол Action needed дор Failed төлөвтэй харагдана.
> Зөвлөгөө: Бүтэлгүйтсэн үйлдлийг Response > Action needed табаас эсвэл alert-ийн дэлгэрэнгүй самбараас үйлдлийг дахин эхлүүлж дахин оролдож болно.
> Зөвлөгөө: Үр дүнгийн дэлгэрэнгүй анхдагчаар харагдахгүй. Харахын тулд:
>
> 1. Settings самбарыг нээнэ.
> 2. Details-ийг сонгоно.
> 3. Apply дээр дарна.
Мөн Delete similar emails арилгах (remediation) үйлдлийг incident-ийн Response > Action needed табаас хийж болно.
Энэ хуудсанд гарсан нэр томъёо
- Endpoint
- Хамгаалж буй компьютер, сервер, виртуал машин
- Network
- Таны байгууллагын бүх төхөөрөмжийн жагсаалт (Inventory)
- Reports
- Тайлан; хугацаагаар илгээх боломжтой
- Incidents
- Илэрсэн халдлага, түүний алхмуудын бүртгэл (EDR/XDR)
- Exclusions
- Шалгалтаас хасах файл, хавтас, процесс
- Risk Management
- Тохиргооны сул тал, эрсдэлийг үнэлэх модуль