Ноцтой байдлын оноо (Severity score)

Incident-ийн ноцтой байдлыг (severity) тооцохдоо дараах төрлийн олон хүчин зүйлийг харгалзана:

• Incident-ийг үүсгэсэн илрүүлэлтийн ноцтой байдал (сэжигтэй / хортой үйлдэл бүр өөрийн үнэлгээтэй).
• Trigger node дээр GravityZone-ийн сэргийлэх хөдөлгүүрүүдийн (prevention engines) тэмдэглэсэн alert-ийн тоо.
• Trigger alert-ийг илрүүлсэн сэргийлэх хөдөлгүүр.
• Trigger node болон incident-ийн үндэс (root) хоорондох зай (incident үүсэхэд хүрэх замд хэдэн artifact оролцсон).
• EDR-ийн корреляцийн технологиор тодорхойлогдсон MITRE ATT&CK техникүүд.
• Bruteforce халдлага байгаа эсэх.
• Risk Management модулиар тооцсон Company Risk Score (байгууллагын эрсдэлийн оноо).

Дараах бүх нөхцөл биелсэн тохиолдолд EDR нь incident-д хамгийн өндөр ноцтой байдлын оноо (100) өгнө:

• Incident нь ransomware alert агуулсан.
• Trigger node дээр GravityZone-ийн сэргийлэх хөдөлгүүрүүдийн тэмдэглэсэн 5-аас олон alert байгаа.
• Trigger alert-ийг илрүүлсэн сэргийлэх хөдөлгүүр нь: Antimalware, Advanced Threat Control, HyperDetect, Advanced Anti-Exploit эсвэл Fileless Attack Protection.
• Incident-ийн Critical path 10-аас олон node агуулсан.
• Node-уудын аль нэг дээр EDR-ийн корреляцийн технологиор тодорхойлсон MITRE ATT&CK техник нь: Exfiltration, Lateral Movement, Persistence, Privilege Escalation, Impact эсвэл Credential Access.
• Incident үүссэн хост нь сервер.
• Domain node-ийн remote IP нь bruteforce халдлагад өртсөн.
• Хортой халдлагыг блоклох оролдлого амжилтгүй болсон.
• Ноцтой байдлын оноог тооцох үед Company Risk Score 70-аас дээш байсан.

Илрүүлсэн бүх хортой үйл ажиллагааг амжилттай блоклосон бол incident-ийн Severity Score 30%-иар буурна.

Incident үүссэн хост сервер байх үед:

• Severity Score аль хэдийн 15 бол 10-аар нэмэгдэнэ.
• Severity Score 15-аас бага бол 15 болтлоо нэмэгдэнэ.