Historical search: өнгөрсөн үйл явдлыг хайх ба smart view-тэй ажиллах

Тойм

Historical search (Түүхэн хайлт) хуудас нь өнгөрсөн аюулгүй байдлын үйл явдлуудыг нарийн нөхцөлөөр хайх боломж олгоно. GravityZone ямар үйл явдлыг боловсруулахыг Configuration (Тохиргоо) > [Raw Events](/business/support/gz-244521-raw-events) хэсгээс сонгоно.

Энэ таб дараах үндсэн хэсгүүдээс бүрдэнэ:

1. 1Query editor (хайлтын засварлагч): энд санал болгосон талбарууд болон XDR query language хуудсанд бичсэн дүрмээр хайлт бүтээнэ.

2. 2Filters (Шүүлтүүр) хэсэг: харуулах үйл явдлын хугацааны завсрыг тодорхойлно.

3. 3Clear (Цэвэрлэх) товч: хайлтын засварлагчийн бүх текстийг устгана.

4. 4Run query (Хайлт ажиллуулах) товч: засварлагчид бүтээсэн хайлтыг ажиллуулна.

5. 5Тохируулж болох хүснэгт: хайлтын үр дүнг харуулна. Баганын өргөн, дарааллыг хүссэнээрээ өөрчилнө.

> Тэмдэглэл: Хүснэгт хамгийн сүүлд ашигласан smart view-г сессүүд хооронд хадгалдаг. Historical search хуудсыг дахин нээхэд өмнөх үр дүн сэргэнэ.

6. 6View options (Харагдацын сонголт) цэс: smart view-тэй ажиллах хэд хэдэн боломжийг өгнө:

- Save as (Өөрөөр хадгалах): өөрчилсөн smart view-г өөр нэрээр, хуваалцсан эсвэл хувийн харагдац болгон хадгална.
- Save (Хадгалах): таны үүсгэсэн эсвэл засах эрхтэй хуваалцсан smart view-д хийсэн өөрчлөлтийг хадгална.
- Discard changes (Өөрчлөлтийг болих): smart view-г хамгийн сүүлд хадгалсан хувилбар руу буцаана.
- Add to favorites (Дуртайд нэмэх): хадгалсан smart view-г Favorites ангилалд нэмнэ.
- Export view (Харагдац экспортлох): хайлтын үр дүнгийн хүснэгтийг CSV файл болгон экспортлоно.
- Hide filters (эсвэл Show filters): хугацааны шүүлтүүрийг нууна эсвэл харуулна.
- Open settings (Тохиргоо нээх): Settings самбарыг харуулна. Энэ самбараар харагдацад ямар багана харагдахыг тохируулж, Compact view-г идэвхжүүлэх эсвэл идэвхгүй болгоно.
- Refresh data (Өгөгдөл шинэчлэх): хайлтын үр дүнг шинэчилнэ.

7. 7Smart views самбар: хайлтын үр дүн болон тохируулсан хүснэгтийн тохиргоог хадгална. Харагдацуудыг хялбар сонгохын тулд таван ангилалд хуваасан:

- Recent (Сүүлийн): таны хамгийн сүүлд ажиллуулсан 25 хайлт

- Saved (Хадгалсан): таны хадгалсан, бусадтай хуваалцаагүй бүх тохируулсан smart view

- Favorites (Дуртай): дуртайд нэмсэн бүх хадгалсан smart view

- Defaults (Өгөгдмөл): XDR query language-ийн янз бүрийн боломжийг хэрхэн ашиглахыг харуулсан бэлэн хайлтууд

Зургаан өгөгдмөл smart view байдаг:

- All Events

- High Severity Alerts

- No Action Taken Alerts

- Remote Network Connections

- High-Risk Endpoint Behavior

- Demo Mode

> Тэмдэглэл: Demo Mode нь endpoint-уудаас өгөгдөл ирээгүй байсан ч Historical search-ийн боломжуудыг туршиж үзэх боломжтой, загварчилсан үйл явдлуудын багц санал болгоно.

- Shared (Хуваалцсан): та болон бусад хэрэглэгчийн компанийн хэмжээнд хуваалцсан, зөвхөн унших эсвэл засах эрхтэй бүх smart view

> Анхааруулга: Энэ ангилал нь компанийн хэмжээнд ядаж нэг smart view хуваалцсан тохиолдолд л харагдана.

Самбарын дээд талын хайлтын талбараар smart view-г нэрээр нь хайж болно. Smart view доторх хайлт wildcard (орлуулагч тэмдэгт) дэмждэггүй.

Хайлт ажиллуулах

Хайлт ажиллуулахдаа:

1. 1Query editor-т хайлтын мөрийг бичнэ. Бичих явцад талбарын нэр, утга, оператор санал болгогдоно.

> Зөвлөмж:
> - Талбарын нэрийн санал авахын тулд CTRL + / дарж Helper-ийг нээнэ.
> - Утгын санал авахын тулд CTRL + Space дарж Autocomplete-ийг нээнэ.
> - Ашиглаж болох талбар болон синтаксийн тусламжийг Syntax Help-ээс авна.
> - Нарийн хайлт бүтээхдээ nested queries (давхар хайлт) ашиглаж болно.

2. 2Date (Огноо) шүүлтүүрээр хугацааны завсрыг тохируулна:

1. Шүүлтүүр дээр дарна.

2. Хайх хугацааны завсрыг сонгоно:

1. Тодорхой огнооны завсар тавихын тулд Custom (Өөрөө тохируулах)-ийг сонгоод, календараас эхлэх болон дуусах огноог сонгоно. Эсвэл бэлэн завсруудын аль нэгийг сонгож болно: Last 24 hours (Сүүлийн 24 цаг), Last 7 days (Сүүлийн 7 хоног), Last 30 days (Сүүлийн 30 хоног).
2. From болон To цагийн сонгогчоор эхлэх, дуусах огнооны цаг, минутыг яг тохируулна.

> Анхааруулга: Raw events болон EDR/XDR alerts-ийн өгөгдмөл хадгалах хугацаа өөр өөр бөгөөд тус бүр 3 хоног, 90 хоног байна. Энэ хугацааг уртасгаж болно. Дэлгэрэнгүйг Retention policies хуудсаас үзнэ үү.

3. Apply (Хэрэглэх) дээр дарна.

3. 3Run query дээр дарна.

Хайлтын үр дүн тохируулж болох хүснэгтэд харагдана.

Үйл явдлын дэлгэрэнгүйг харах

Historical search хуудсан дээрх үйл явдлыг сонгоход үйл явдлын дэлгэрэнгүй самбар нээгдэж, үйл явдлын metadata болон нарийвчилсан шинж чанаруудыг үзэх боломжтой: severity (ноцтой байдал), илрүүлсэн цаг, эх үүсвэр, төрөл, мөн шинжилгээг хөнгөвчлөхийн тулд тусгай табуудад зохион байгуулсан холбогдох бүх талбар.

OVERVIEW табт Search талбарыг ашиглан харагдаж буй мэдээллийг талбарын нэр эсвэл утгаар шүүнэ.

ADDITIONAL DETAILS таб нь зөвхөн EDR болон XDR alert-д харагдах бөгөөд дараах key-value хосоор танигдана:

• other.event_type: alert — EDR alert
• other.event_type: xalert — XDR alert

Тэнд сонгосон alert-ийн нэмэлт мэдээллийг JSON хэлбэрээр харуулна. Ашиглаж болох бүх JSON талбарын жагсаалтыг JSON fields хуудсаас үзнэ үү.

COPY AS JSON товч нь үйл явдлын дэлгэрэнгүй самбарт харагдаж буй бүх мэдээллийг оруулан, үйл явдлын бүтэн payload-г JSON хэлбэрээр clipboard руу хуулна.

Хайлтаа нарийсгах

Анхны хайлт хэт олон үр дүн гаргавал хайлтын нөхцөлөө оновчтой болгож болно. Мэдээллийг query editor-т гараар нэмж болно, эсвэл үйл явдлын дэлгэрэнгүй самбарыг ашиглаж болно. Самбараар хайлтаа нарийсгахдаа:

1. 1Үр дүнгийн хүснэгтээс дурын үйл явдлыг сонгож, дэлгэрэнгүй самбарыг нээнэ.

2. 2OVERVIEW табт хайлтад нэмэх талбарынхаа төгсгөлд байгаа хайлтын дүрс дээр дарна.

3. 3Шаардлагатай операторыг сонгоно.

Талбар-утгын хос query editor-т нэмэгдэнэ.

4. 4Run query-г сонгоно.

Нарийсгасан хайлтын үр дүн тохируулж болох хүснэгтэд харагдана.

Smart views

Historical search нь smart view-г дараа ашиглахаар хадгалах боломжтой.

Хадгалсан smart view-г мөн хуваалцах, засах, устгах, нэрийг нь солих боломжтой.

Шинэ smart view хадгалах

Шинэ smart view хадгалахдаа:

1. 1Хайлт ажиллуулах хэсэгт тайлбарласан алхмуудаар хүссэн хайлтаа ажиллуулна.

2. 2Заавал биш: үр дүнгийн хүснэгтийг баганыг зөөх, өргөнийг нь өөрчлөх замаар, эсвэл Settings самбарыг нээж баганын харагдалтыг тохируулах замаар өөрчилж болно.

3. 3Хуудасны баруун дээд буланд байгаа Save As товч дээр дарна.

Дараах харилцах цонх гарч ирнэ:

4. 4Smart view-нийхээ нэрийг бичнэ.

5. 5Заавал биш: Share this view with users in your company (Энэ харагдацыг компанийнхаа хэрэглэгчидтэй хуваалцах)-ийг сонгоно. Энэ сонголт smart view-г бусад хэрэглэгчид зөвхөн унших горимд харах боломжтой болгоно.

6. 6Заавал биш: өмнөх алхмыг хийсэн бол одоо Allow users in your company to edit this view (Компанийн хэрэглэгчдэд энэ харагдацыг засахыг зөвшөөрөх)-ийг сонгож болно. Энэ сонголт бусад хэрэглэгчид smart view-г өөрчлөх боломжтой болгоно.

> Анхааруулга:
> - Засах боломжтой хуваалцсан харагдацад хийсэн бүх өөрчлөлт компанийн бүх хэрэглэгчид хамаарна.
> - Нэг хуваалцсан харагдац дээр ажиллаж буй хэрэглэгчид өөр хэн нэгэн түүнийг өөрчилсөн эсвэл устгасан бол мэдэгдэл авна.

7. 7Save дээр дарна.

Хадгалсны дараа:

- Харагдацыг хуваалцаагүй бол Saved ангилалд нэмэгдэнэ.
- Харагдацыг хуваалцсан бол Shared ангилалд нэмэгдэнэ.

Хувийн smart view хуваалцах

Хувийн smart view-г хуваалцахдаа:

1. 1Зүүн талын самбараас Saved ангилал руу орно.

2. 2Холбогдох гурван цэгтэй дүрс дээр дарж цэсийг нээнэ.

3. 3Share дээр дарна.

4. 4Тохиргооны цонхонд хүсвэл нэрийг өөрчилнө.

> Тэмдэглэл: Таны хувийн smart view-тэй нэр давхцахаас сэргийлж өгөгдмөлөөр нэрэнд [Shared] гэсэн дагавар нэмэгддэг. Шаардлагатай бол нэрийг өөрчилж болно.

5. 5Заавал биш: харагдацыг бусад хэрэглэгч засах боломжтой болгохын тулд Allow users in your company to edit this view-ийг сонгоно.

6. 6Share дээр дарна.

Smart view Shared ангилалд нэмэгдэнэ.

Хуваалцсан харагдацыг засах боломжтой болгох

Smart view-г зөвхөн унших горимд хуваалцсан бол түүнийг засах боломжтой болгож болно:

1. 1Smart views самбараас Shared ангилал руу орно.

2. 2Холбогдох гурван цэгтэй дүрс дээр дарж цэсийг нээнэ.

3. 3Set as editable (Засах боломжтой болгох) дээр дарна.

Дараах харилцах цонх гарч ирж магадгүй:

4. 4Заавал биш: дараа нь хуваалцсан smart view-г засах боломжтой болгоход энэ цонх дахин гарахгүй байхын тулд Do not show again (Дахин бүү харуул)-ийг сонгоно.

5. 5Set as editable дээр дарна.

Хуваалцсан харагдац таны компанийн бүх хэрэглэгчид засах боломжтой болно.

Хадгалсан smart view засах

Хадгалсан smart view-г засахдаа:

1. 1Smart views самбарын Saved, Favorites эсвэл Shared хэсгээс smart view-г сонгоно.

Үр дүнгийн хүснэгт харагдана.

2. 2Smart view-даа шаардлагатай өөрчлөлтийг хийнэ. Query editor дахь хайлтыг засаж, эсвэл хүснэгтийг, тухайлбал баганын дарааллыг өөрчилж болно.

3. 3Хуудасны баруун дээд буланд байгаа Save товч дээр дарна.

4. 4Засаж буй smart view хуваалцсан бол дараах харилцах цонх гарч ирж магадгүй:

1. Заавал биш: хуваалцсан smart view-г дараа засахад энэ цонх дахин гарахгүй байхын тулд Do not show again-ийг сонгоно.
2. Save дээр дарна.

Хадгалсан smart view устгах

Хадгалсан smart view-г устгахдаа:

1. 1Smart views самбарт устгах smart view-н хажууд байгаа босоо гурван цэгт (ellipsis) дүрс дээр дарна.

2. 2Delete (Устгах)-ийг сонгоно.

3. 3Сонголтоо батлахын тулд Delete дээр дарна.

Хадгалсан smart view-н нэрийг солих

Хадгалсан smart view-н нэрийг солихдоо:

1. 1Smart views самбарт нэрийг нь солих smart view-н хажууд байгаа босоо гурван цэгт (ellipsis) дүрс дээр дарна.

2. 2Rename (Нэр солих)-ийг сонгоно.

3. 3Smart view-н шинэ нэрийг бичнэ.

4. 4Үйлдлээ батлахын тулд Checked (тэмдэглэгээ) дүрс дээр дарна.