Organization Incident: Graph, Response, Status bar, Notes, History хэсгүүд хэрхэн ажилладаг вэ?

Organization Incident Graph (Байгууллагын incident-ийн граф)

Graph (Граф) нь шалгаж буй өргөтгөсөн incident-ийн динамик графикаар дүрсэлсэн зураглалыг харуулна. Энэ нь таны орчны олон endpoint болон сүлжээний төхөөрөмж дээр гарсан эсвэл одоо ч үргэлжилж буй, гадны халдагчдын үүсгэсэн, хоорондоо уялдаатай үйл явдлуудын дарааллыг үйл ажиллагааны дэлгэрэнгүй цагийн хуваарьтайгаар харуулдаг.

Incident-ийн графын хэсэг нь гурван үндсэн бүсэд хуваагдана:

1. Activity panel (Үйл ажиллагааны самбар)

Шалгаж буй өргөтгөсөн incident-д илрүүлж, хооронд нь уялдуулсан бүх alert (сэрэмжлүүлэг) энд байна.

• Самбарын өргөнийг өөрт тохирохоор тохируулж болно.
• Бусад ажилд илүү зай хэрэгтэй бол самбарыг хурааж болно.
• Хайлтын боломж нь тодорхой alert-ийг хурдан олоход тусална.
• Тодорхой хугацааны завсараар alert-уудыг шүүж, төвлөрсөн шинжилгээ хийж болно.
• Унадаг цэсээр alert-уудыг цаг, severity (ноцтой байдал), sensor, incident ID, node, alert-ийн нэр эсвэл kill chain-ийн үе шатаар бүлэглэж болно. Alert-ийн бүлэг бүрт хамаарах нөөцийн нийт тоо харагдана.

- Халдлага цаг хугацаанд хэрхэн өрнөснийг харахын тулд alert-уудыг timeline-аар бүлэглээд тус бүрийг дарааллаар нь үзнэ.
- Alert-ийн нэрээр бүлэглэвэл ижил alert-ууд үйл ажиллагааны самбарт нэг бичлэг болж нэгдэх тул incident дахь өвөрмөц илрүүлэлт бүрийг хялбар таньж болно.
- Аль alert нь бусад холбоотой incident-ийн хэсэг болохыг илүү сайн харахын тулд alert-уудыг incident ID-аар бүлэглэнэ.

• Бүлгийн нэр дээр дарахад тухайн бүлгийн alert агуулсан бүх node болон шилжилтийг (transition) тодруулна. Шилжилт бүр өөртөө агуулсан хамгийн ноцтой alert-ийн өнгөөр өнгөлөгдөнө.

Графын хөдөлгөөнт дүрслэл нь халдлага таны орчинд хэрхэн өрнөсөн, нэг объектоос нөгөөд хэрхэн хөндлөнгөөр шилжсэн (lateral movement), өгөгдөл хэрхэн гадагш зөөгдсөн зэргийг харуулна.

• Alert бүр дээр дарахад дэлгэгдэж, дараах мэдээлэл гарна: нэр, юу болсны тайлбар, мөн alert-ийн severity, илрүүлсэн sensor, цаг, kill chain дахь байр суурь, нөлөөлөгдсөн endpoint-ууд, хамаарах нөөцийн тоо, IP.

Alert-ийг сонговол тухайн alert оролцсон node болон шилжилтүүд тодрно.

- Хэрэв ижил alert олон endpoint дээр илэрсэн бол endpoint-уудын жагсаалт бүхий хажуугийн самбарыг дэлгэж цааш шалгаж болно.
- Хэрэв alert нь endpoint incident-ийн хэсэг ч байвал түүнийг хөтчийн шинэ табаар нээж цааш шалгаж болно.
- Энэ alert-ийн нэмэлт мэдээллийг харахыг хүсвэл View more details (Дэлгэрэнгүй харах) дээр дарж дэлгэрэнгүй самбарыг нээнэ.

2. Graph panel (Графын самбар)

Граф дараах элементүүдийг агуулна:

• 1. Initial access (Анхны нэвтрэлт): Халдагч таны орчинтой анх холбогдсон үе.

• 2. Exit points (Гарах цэгүүд): Өгөгдөл гадагш зөөх (exfiltration) болон command-and-control үйл явдлууд.

• 3. Incident progression (Incident-ийн өрнөл): Халдлага таны байгууллагад тархсан байдал.

Node хоорондын шилжилтүүд нь incident-д оролцсон объектуудын харилцан үйлчлэлийг илэрхийлнэ.

Граф нь GravityZone-д нэгтгэсэн бүх sensor-оос ирсэн өгөгдлийн тодорхой элементүүдийг дэмжиж, харуулдаг. XDR-ээ сайжруулахын тулд нэгтгэж болох бүх sensor-ын талаар энд дэлгэрэнгүй үзнэ үү.

• 4. Search nodes (Node хайх): Энэ мөр дараах боломжийг олгоно:

- Node-ыг нэрээр нь хайх
- Alert-ийн шошгыг нуух

• 5. Legend (Тэмдэглэгээ): Шинжилж буй өргөтгөсөн incident-д уялдсан элементүүдийн төрлийг харуулна. Хайлтын талбарт incident-ийн бүрэлдэхүүн хэсгүүдийн нэр эсвэл файлын өргөтгөлийг бичиж хайж болох бөгөөд үр дүн хажуугийн самбарт гарна.

• 6. Navigator (Чиглүүлэгч): Мини-газрын зураг болон өөр өөр түвшний харагдацыг ашиглан incident-ийн графаар хурдан хөдөлж, харагдаж буй бүх элементийг судлах боломж олгоно.

Drag (Чирэх) дүрсэн дээр дарж барьсан хэвээр чирж, хөвөгч Navigator самбарыг incident-ийн граф доторх хаана ч байрлуулж болно.

Navigator анхдагчаар хураастай байдаг. Дэлгэхэд incident-ийн бүх зураглалын жижигрүүлсэн хувилбар болон харагдацын түвшинг тохируулах товчнууд гарна.

• 7. Zoom controls (Томруулах удирдлага): EDR болон XDR графууд хулганын дугуй, touchpad, мөн Incidents > Graph табын баруун талд байх Zoom in (Томруулах) ба Zoom out (Жижигрүүлэх) товчоор томруулж, жижигрүүлэхийг дэмжинэ.

Эдгээр удирдлагын доор томруулалтын түвшний заагч, мөн томруулалтыг 1x болгон сэргээх Reset zoom (Томруулалтыг анхных руу буцаах) товч байна.

3. Node details panel (Node-ийн дэлгэрэнгүй самбар)

Incidents > Graph таб дотор графын дурын node дээр дарахад түүний дэлгэрэнгүй самбар нээгдэнэ. Энэ самбар нь Organization incident-д оролцсон сонгосон объектын талаарх нөхцөл байдлын мэдээллийг өгч, incident дэх түүний үүргийг ойлгоход тусална. Самбар нь тодорхойлох үндсэн мэдээлэл, холбогдох alert-ууд, боломжит хариу үйлдлүүд (response actions), бусад объекттой харилцсан байдлыг харуулна.

1. 1Дэлгэрэнгүй самбарын толгойд node-ийн нэр, node-ийн төрөл, мөн сонгосон node руу заасан холбоосыг clipboard руу хуулах Copy link (Холбоос хуулах) дүрс байна.

2. 2Босоо гурван цэгтэй товчийг чирж самбарын өргөнийг хэвтээ чиглэлд өөрчилж, агуулгыг илүү хялбар харж болно.

3. 3General (Ерөнхий) хэсэг нь сонгосон node-ийн үндсэн таних мэдээллийг харуулна.

Харагдах мэдээлэл node-ийн төрлөөс хамаарч өөр өөр байна.

> Чухал: XDR sensor-оос биш, Security Data Lake интеграциар үүссэн граф node-уудын хувьд Sensor талбар нь гадаад Security Data Lake өгөгдлийн эх үүсвэрийг заана.

4. 4Response actions (Хариу үйлдлүүд) хэсэг нь сонгосон node дээр аюулгүй байдлын үйлдлийг шууд эхлүүлэх боломж олгоно. Actions (Үйлдлүүд) товчийг дарахад боломжит хариу үйлдлүүдийн контекст цэс гарна.

Боломжит үйлдлийн аль нэгийг сонговол сонгосон node-д тохирох хариу үйлдлийн дарааллыг эхлүүлнэ.

> Тэмдэглэл: Хариу үйлдлүүдийн боломжит байдал node-ийн төрлөөс хамаарна.

Хариу үйлдлүүдийг дараах ангилалд хуваана:

- Collect investigation package: Аюулгүй байдлын шинжилгээний зорилгоор endpoint-ийн холбогдох өгөгдлийг цуглуулах даалгаврыг endpoint рүү илгээнэ.

Дэмжих node-ийн төрөл: endpoint болон server.

Manage Networks эрх шаардана.

- View investigation files: Collect investigation package хариу үйлдлээр endpoint-оос цуглуулсан шинжилгээний файлуудыг харах боломж олгоно.

Дэмжих node-ийн төрөл: endpoint болон server.

Manage Networks эрх шаардана.

- Remote Connection: Сонгосон endpoint-тэй алсын холболт үүсгэж, shell командаар системтэй шууд ажиллаж шалгах terminal сессийг нээнэ.

Дэмжих node-ийн төрөл: endpoint болон server.

> Тэмдэглэл: - Энэ хариу үйлдэл Remote Shell лиценз шаардахгүй.
> - Remote Connection сессийн урьдчилсан шаардлагыг Remote Connection хуудаснаас үзнэ үү.

- Remote Shell: Сонгосон endpoint-тэй аюулгүй remote shell сессийг нээж, системд шууд команд ажиллуулах, бодит цагийн шалгалтын үйлдэл хийх боломж олгоно.

Дэмжих node-ийн төрөл: endpoint болон server.

> Тэмдэглэл: Remote Shell сессийн урьдчилсан шаардлагыг Remote Shell хуудаснаас үзнэ үү.

- Isolate: Сонгосон endpoint-ийг сүлжээнээс салгаж, зөвхөн GravityZone-той холбогдохыг зөвшөөрнө.

Дэмжих node-ийн төрөл: endpoint болон server.

- Remove from isolation: Сонгосон endpoint-ийг сүлжээнд дахин холбоно.

Дэмжих node-ийн төрөл: endpoint болон server.

- Scan for IoCs: Сонгосон endpoint дээр мэдэгдэж буй Indicators of Compromise (IoC, эвдрэлийн шинж тэмдэг)-ийг хайх шаардлагатай үед ажиллуулах шалгалтыг (scan) эхлүүлнэ.

Дэмжих node-ийн төрөл: endpoint болон server.

Бодлогод Incidents Sensor-ыг идэвхжүүлсэн байх шаардлагатай.

> Тэмдэглэл: Энэ хариу үйлдлийг Network хуудаснаас ч эхлүүлж болно. Дэлгэрэнгүйг IOC scan хэсгээс үзнэ үү.

- View events in Historical Search: Endpoint-ийн IP хаяг руу хийгдсэн бүх холболт болон тухайн өдрийн эхнээс одоо хүртэлх бүх хортой үйл явдал, alert-ийг татах урьдчилан бэлдсэн query-тэйгээр Historical search-ийг хөтчийн шинэ табаар нээнэ.

Дэмжих node-ийн төрөл: endpoint.

- View processes in Live Search: Сонгосон системд ажиллаж буй бүх процессыг шууд харах боломж олгох, нөхцөл байдалд тохирсон, урьдчилан бөглөсөн query-тэйгээр Live search-ийг хөтчийн шинэ табаар нээнэ.

Дэмжих node-ийн төрөл: endpoint болон server.

Бодлогод Live Search-ийг идэвхжүүлсэн байх шаардлагатай.

- Network connections in Live Search: Incident-ийн нөхцөлд тулгуурлан урьдчилан бөглөсөн query-тэйгээр Live search-ийг нээж, нөлөөлөгдсөн систем эхлүүлсэн бүх сүлжээний холболтыг хурдан харах боломж олгоно.

Дэмжих node-ийн төрөл: endpoint болон server.

Бодлогод Live Search-ийг идэвхжүүлсэн байх шаардлагатай.

- Search IPs on VirusTotal: Сонгосон node-ийн IP хаягууд хортой үйл ажиллагаатай холбоотой эсэхийг шалгахын тулд VirusTotal руу шилжинэ.

Дэмжих node-ийн төрөл: mobile device, IP, generic user, domain, DNS, cloud storage, TOR.

- Search domains on VirusTotal: Сонгосон node-ийн домайнууд хортой үйл ажиллагаатай холбоотой эсэхийг шалгахын тулд VirusTotal руу шилжинэ.

Дэмжих node-ийн төрөл: IP, domain.

- Search IPs in IntelliZone: Сонгосон node-ийн IP хаягийг Bitdefender-ийн аюулын тагнуулын (threat intelligence) мэдээллийн санд хайхын тулд IntelliZone руу шилжинэ.

Дэмжих node-ийн төрөл: generic user, IP, domain, TOR.

IntelliZone интеграци шаардана.

- Search domains in IntelliZone: Сонгосон node-ийн домайнуудыг Bitdefender-ийн аюулын тагнуулын мэдээллийн санд хайхын тулд IntelliZone руу шилжинэ.

Дэмжих node-ийн төрөл: IP, domain.

IntelliZone интеграци шаардана.

> Тэмдэглэл: GravityZone XDR-ийг IntelliZone-той нэгтгэх талаар Integrating with IntelliZone Portal and accessing Threat Intelligence data хуудаснаас үзнэ үү.

- Malware scan: Хортой программ илрүүлэхийн тулд сонгосон endpoint дээр malware шалгалт эхлүүлнэ.

Дэмжих node-ийн төрөл: endpoint болон server.

Antimalware бүхий лиценз шаардана.

> Тэмдэглэл: Энэ хариу үйлдлийг Network хуудаснаас ч эхлүүлж болно. Дэлгэрэнгүйг Malware scan хэсгээс үзнэ үү.

- Disable user: Хэрэглэгчийн дансыг идэвхгүй болгож, нэвтрэх эрхийг хаана.

Дэмжих node-ийн төрөл: AD user, Azure AD user, Atlassian user.

Дараах sensor-ын аль нэг шаардана:

- Office 365
- Azure AD
- Google Workspace
- Atlassian Cloud
- Active Directory

- Mark user as compromised: Дансыг Microsoft Entra ID Protection-д өндөр эрсдэлтэй гэж тэмдэглэнэ. Үүний дараах хэрэгжилт болон засч залруулалт нь Microsoft Entra администраторын тохируулсан бодлогоор тодорхойлогдоно.

Дэмжих node-ийн төрөл: Azure AD user.

Дараах sensor-ын аль нэг шаардана:

- Azure AD
- Office 365

- Force credential reset: Хэрэглэгчээс дараагийн нэвтрэлт дээр нэвтрэх мэдээллээ шинэчлүүлэхийг шаардана. Интеграцид шаардлагатай зөвшөөрлийг олгосон бол идэвхтэй хэрэглэгчийн сессүүдийг мөн хүчингүй болгоно.

Дэмжих node-ийн төрөл: AD user, Azure AD user, GCP user.

Дараах sensor-ын аль нэг шаардана:

- Office 365
- Azure AD
- Active Directory
- Google Workspace

- Deactivate AWS account: AWS хэрэглэгчийн дансыг идэвхгүй болгож, холбогдох бүх access key-г устгана.

Дэмжих node-ийн төрөл: AWS user.

AWS sensor интеграци шаардана.

- Delete email `<emailSubject>`: И-мэйлийн бүх харилцан яриаг (thread) бүрмөсөн устгана.

Дэмжих node-ийн төрөл: Google Workspace user, Azure AD user.

Дараах sensor-ын аль нэг шаардана:

- Office 365
- Google Workspace

> Чухал: Энэ үйлдэл нь и-мэйл зөвхөн нэг node дээр илэрсэн үед л node-ийн дэлгэрэнгүй самбарт харагдана. Хэрэв и-мэйлийг хоёр node хооронд солилцсон бол зөвхөн alert-ийн дэлгэрэнгүй самбарт Delete email нэрээр харагдана.

- Risk scan: Сонгосон endpoint-ийг эрсдэлийн хувьд шалгана.

Дэмжих node-ийн төрөл: endpoint болон server.

Хэрэглэгдэж буй бодлогод Risk Management-ийг идэвхжүүлсэн байх шаардлагатай.

- Patch scan: Endpoint дээрх хуучирсан эсвэл дутуу программын шинэчлэлтийг шалгана.

Дэмжих node-ийн төрөл: endpoint болон server.

Patch Management лиценз шаардлагатай бөгөөд endpoint-ийн бодлогод уг боломжийг идэвхжүүлсэн байх ёстой.

> Тэмдэглэл: Даалгаврыг Network > Tasks хуудаснаас харж, удирдаж болно. Дэлгэрэнгүйг Viewing and managing tasks хуудаснаас үзнэ үү.

- Add IP as exception: Сонгосон node-ийн IP хаягийг сонгосон бодлогуудын Network Protection хэсгийн Exclusions (Үл хамаарах жагсаалт) руу нэмэх боломж олгоно.

Дэмжих node-ийн төрөл: IP, domain, DNS.

Manage Endpoint Settings > Read and Write эрх шаардана.

- Add URL as exception: Сонгосон node-ийн URL-ийг сонгосон бодлогуудын Network Protection хэсгийн Exclusions жагсаалт руу нэмэх боломж олгоно.

Дэмжих node-ийн төрөл: IP, domain.

Manage Endpoint Settings > Read and Write эрх шаардана.

5. 5Alerts (Сэрэмжлүүлгүүд) хэсэг нь сонгосон node-той холбоотой аюулгүй байдлын бүх alert-ийг харуулж, илэрсэн аюул болон сэжигтэй үйл ажиллагааг ил гаргана.

Alert-ууд анхдагчаар severity-ээр бүлэглэгдсэн байна. Group (Бүлэглэх) сонгогчоор alert-уудыг дараах шалгуураар дахин бүлэглэж болно:

- Timeline
- Kill chain phase
- Sensor
- Severity
- Incident ID

Alert-уудыг нэрээр нь хурдан шүүх Search (Хайх) талбар бас байна.

Дурын alert дээр дарахад түүний дэлгэрэнгүй самбар нээгдэнэ.

6. 6Interactions (Харилцан үйлчлэл) хэсэг нь сонгосон node-той харилцсан, аюулгүй байдлын холбоотой үйл ажиллагаатай объектуудыг харуулна. Жагсаалтад орсон объект бүр холбогдох alert-уудын хураангуйтай бөгөөд node incident-д хэрхэн оролцсоныг илүү тодорхой болгоно.

Аливаа харилцан үйлчлэлийг сонговол түүний дэлгэрэнгүй нээгдэж, холбогдох объектыг цааш шалгах, холбоотой alert-уудыг харах, incident доторх node-уудын хоорондын холбоог ойлгох боломжтой.

Organization Incident Response (Байгууллагын incident-ийн хариу арга хэмжээ)

Response (Хариу арга хэмжээ) хуудсаар та шалгаж буй өргөтгөсөн incident-д харагдаж буй, орчиндоо илэрсэн аюулыг арилгах эсвэл багасгах шуурхай арга хэмжээг авна.

Бүх үйлдэл динамик хүснэгт хэлбэрээр байх бөгөөд үйлдлийн төрөл, төлөв, гүйцэтгэсэн хугацаа зэргээр шүүх, эрэмбэлэх олон боломжтой.

Response хуудас нь дараах үйлдлүүдэд хандах урьдчилан тохируулсан smart view-тэй:

• Яаралтай анхаарах шаардлагатай үйлдлүүд
• Аль хэдийн гүйцэтгэсэн үйлдлүүд
• Больсон (dismiss хийсэн) үйлдлүүд
• Явагдаж буй үйлдлүүд
• Бүх үйлдлүүд

1. 1Орчноо хамгаалах яаралтай үйлдлүүдийг гүйцэтгэхийн тулд Action needed (Үйлдэл шаардлагатай) харагдацыг сонгоно.

2. 2Даалгавар бүрийг тус тусад нь гүйцэтгэж болно, эсвэл хүснэгтээс бүгдийг нь сонгож бөөнөөр нь гүйцэтгэж болно:

1. Нэг даалгаврыг гүйцэтгэхийн тулд хүснэгтээс сонгоод Execute (Гүйцэтгэх) товчийг дарна, эсвэл түүний цэсийг (босоо гурван цэгтэй дүрс) нээж Execute-ийг дарна.
2. Бөөнөөр нь гүйцэтгэхийн тулд хүснэгтээс олон үйлдэл сонгоод Execute дээр дарна.

Үйлдлийг гүйцэтгэх үед түүний төлөв дараах шатуудаар дамжина: Action needed > Pending > In progress.

- Хэрэв үйлдлийг систем биелүүлж чадвал төлөв нь Successful болж, гүйцэтгэсэн үйлдэл Completed харагдац руу шилжин тэнд харагдана.
- Хэрэв систем үйлдлийг биелүүлж чадахгүй бол төлөв нь Failed болж, та амжилттай гүйцэтгэх хүртэл үйлдэл Action needed харагдац дотор үлдэнэ.

3. 3Хэрэв үйлдлийг гүйцэтгэх шаардлагагүй бол Manage (Удирдах) цэс эсвэл үйлдлийн картын цэсээр удирдана.

- Өөр аргаар гүйцэтгэгдсэн зэргээс шалтгаалан шаардлагагүй болсон үйлдлүүдэд Mark action as done (Үйлдлийг дууссан гэж тэмдэглэх) сонголтыг ашиглана. Эдгээр үйлдэл Completed харагдац руу шилжинэ.
- Хэрэггүй үйлдлүүдийг арилгахдаа Dismiss action (Үйлдлийг цуцлах) сонголтыг ашиглана. Эдгээр үйлдэл Dismissed харагдац руу шилжинэ.

Цуцалсан эсвэл дууссан гэж тэмдэглэсэн аливаа үйлдлийг өмнөх төлөв рүү нь сэргээж болно.

Response actions (Хариу үйлдлүүд)

Response хуудасны Action needed харагдац дахь, орчин дахь аюулыг багасгах эсвэл арилгах үйлдлүүд дараах ангилалд хуваагдана:

Containment (Хязгаарлалт)

• Isolate: Хортой үйл ажиллагаа, тухайлбал хөндлөнгийн шилжилт (lateral movement) бусад ажлын станц руу тархахаас сэргийлэхийн тулд endpoint-ийг сүлжээнээс салгана. Endpoint тусгаарлагдсан үед зөвхөн GravityZone-той холбогдож чадна.

• Remove from isolation: Endpoint-ийг сүлжээнд дахин холбоно.

• IOC Scan: Зорилтот endpoint дээр мэдэгдэж буй Indicators of Compromise (IoC)-ийг хайх шаардлагатай үед ажиллуулах шалгалтыг эхлүүлнэ.

• Deactivate AWS account: AWS хэрэглэгчийн дансыг идэвхгүй болгож, холбогдох бүх access key-г устгана. Энэ үйлдэл AWS sensor-ыг идэвхжүүлсэн хэрэглэгчдэд боломжтой.

• Mark as compromised: Дансыг Microsoft Entra ID Protection-д өндөр эрсдэлтэй гэж тэмдэглэнэ. Үүний дараах хэрэгжилт болон засч залруулалт нь Microsoft Entra администраторын тохируулсан бодлогоор тодорхойлогдоно.

> Тэмдэглэл: Энэ үйлдэл Azure AD эсвэл Microsoft 365 хэрэглэгчдэд хамаарна.

• Disable user - O365, Disable user - AD, Disable user - Google Workspace, Disable user - Atlassian: Эдгээр нь хэрэглэгчийн дансыг идэвхгүй болгож, нэвтрэх эрхийг хаана.

• Force user credentials reset:

- O365, AD, Google: Хэрэглэгчээс дараагийн нэвтрэлт дээр нэвтрэх мэдээллээ шинэчлүүлэхийг шаардана. Интеграцид шаардлагатай зөвшөөрлийг олгосон бол идэвхтэй хэрэглэгчийн сессүүдийг мөн хүчингүй болгоно.
- Atlassian: Atlassian хэрэглэгчдэд GravityZone энэ үйлдлийг зөвлөмж хэлбэрээр харуулна. Нэвтрэх мэдээллийг шинэчлэх үйлдлийг Atlassian платформоос эхлүүлж, дуусгах ёстой.

Remediation (Засч залруулах)

• Delete email - O365, Delete email - Google Workspace: Хортой ачааллын тархалт, ажиллалтаас байгууллагыг хамгаалахын тулд и-мэйлийн бүх харилцан яриаг (thread) бүрмөсөн устгана.
• Delete similar emails - O365: Лавлах и-мэйлтэй төстэй гэж тодорсон олон и-мэйлийг хурдан устгах боломж олгоно.
• Delete file - O365: Хортой эсвэл хүсээгүй файлыг Microsoft 365 орчноос устгана.

Hardening (Бэхжүүлэлт)

• Manage asset: Байгууллагын удирдлагад ороогүй хөрөнгө (asset) дээр аюулгүй байдлын шийдэл суулгахыг зөвлөнө.

• Patch scan: Зорилтот endpoint дээрх хуучирсан эсвэл дутуу программын шинэчлэлтийг шалгана.

> Чухал: Patch Management лиценз шаардлагатай бөгөөд endpoint-ийн бодлогод уг боломжийг идэвхжүүлсэн байх ёстой.

Mitigation (Бууруулалт)

• Risk scan: Зорилтот endpoint-ийг эрсдэлийн хувьд шалгана.
• Malware scan: Хортой программ илрүүлэхийн тулд зорилтот endpoint дээр malware шалгалт эхлүүлнэ.

Status Bar (Төлөвийн мөр)

Төлөвийн мөр нь шинжилж буй өргөтгөсөн incident-ийн талаарх гол мэдээллийг илрүүлэхэд туслах аюулгүй байдлын үйл явдлын шошгуудыг өгнө.

1. 1Incident ID - шалгаж буй incident-ийн дугаар.
2. 2Status - incident-ийн төлөв.
3. 3Assignee - incident-ийг хариуцуулсан хэрэглэгч.
4. 4Priority - incident бүрийн тэргүүлэх зэрэглэл.
5. 5Notes - шинжээчийн тэмдэглэлийн жагсаалтыг харуулах товч.
6. 6History - incident-ийн түүхийг харуулах товч.

Notes clipboard (Тэмдэглэлийн самбар)

Notes clipboard нь өөрчлөлт болон incident-ийн хариуцагчийг мөшгөх зорилгоор incident-д тэмдэглэл нэмэх хялбар арга юм.

Тэмдэглэлүүдийг харах

Байгаа тэмдэглэлүүдийн жагсаалтыг харахын тулд Status bar-ын баруун талд байх Notes товчийг дарна:

Тэмдэглэл нэмэх

Тэмдэглэл нэмэхийн тулд дараах алхмыг дагана:

1. 1Самбарын зүүн доод талд байх Add note (Тэмдэглэл нэмэх) товчийг дарна.

2. 2Тэмдэглэлийн мэдээллийг бөглөнө.

> Тэмдэглэл: Тэмдэглэл бүр 50,000 хүртэлх тэмдэгт агуулж болно.

3. 3Save (Хадгалах) сонгоно.

> Тэмдэглэл: Бөөнөөр хийх үйлдлийн хувьд бүх incident-д зориулсан нэг тэмдэглэл бөөнөөр нэмэгдэнэ.

Тэмдэглэл засах

Тэмдэглэл засахын тулд дараах алхмыг дагана:

1. 1Засах гэж буй тэмдэглэлийн баруун талд байх Menu (Цэс) товчийг сонгоно.

2. 2Edit (Засах) сонгоно.

3. 3Шаардлагатай өөрчлөлтийг хийнэ:

> Тэмдэглэл: Тэмдэглэл бүр 50,000 хүртэлх тэмдэгт агуулж болно.

4. 4Save сонгоно.

Тэмдэглэл устгах

Тэмдэглэл устгахын тулд дараах алхмыг дагана:

1. 1Устгах гэж буй тэмдэглэлийн баруун талд байх Menu товчийг сонгоно.

2. 2Delete (Устгах) сонгоно.

> Тэмдэглэл: Энэ сонголт зөвхөн таны өөрийн тэмдэглэлд боломжтой.

3. 3Delete дээр дахин дарна.

History Clipboard (Түүхийн самбар)

History самбар нь incident-ийн түүхийг хялбар мөшгих боломж олгоно. Дараах үйл явдлууд бүртгэгдэнэ:

• Төлөв өөрчлөгдсөн (Status changed)
• Incident хариуцуулсан эсвэл дахин хариуцуулсан (Assigned or reassigned)
• Incident-ийн priority тогтоосон эсвэл өөрчилсөн
• Incident-ийн тэмдэглэл нэмсэн, засаж өөрчилсөн эсвэл устгасан
• Incident үүсгэсэн (Created)
• Incident шинэчилсэн (Updated)

Жагсаалт цагийн дарааллаар харагдах бөгөөд хамгийн шинэ нь доор, хамгийн эртний нь дээр байна:

Үйл явдал бүр дараах мэдээллийг агуулна:

• Үйл явдлын төрөл
• Үйл явдлын тайлбар
• Үйл явдал болсон огноо, цаг