Incident-уудыг судлах (Investigating Incidents)

Incidents хэсэг нь Incidents Sensor-ийн тодорхой хугацаанд илрүүлсэн бүх аюулгүй байдлын үйл явдлыг шүүх, судлах, тэдгээрт арга хэмжээ авахад тусална.

Энэ хэсэгт дараах боломжууд багтана:

• Incidents: incident-уудыг харах, судлах.
• Blocklist: incident-аас блоклосон файлуудыг удирдах.
• Custom rules: үл хамаарах эсвэл илрүүлэх өөрийн дүрэм үүсгэх.

Incidents хуудас

Incidents хуудас нь сүүлийн 90 хоногт таны удирддаг компаниудад үүссэн EDR incident-уудын жагсаалтыг харуулдаг, маш уян хатан тохируулдаг хүснэгт юм.

Энэ хуудас дараах хэсгүүдээс бүрдэнэ:

1. 1
   Smart views. Энэ боломж нь Incidents хуудасны өөр өөр харагдацыг тохируулах, хадгалах, хооронд нь шилжихэд тусална.

   Самбар дараах хэсгүүдтэй:

   • Search views - Доорх хэсгүүдэд харагдах харагдацуудыг нэрээр нь шүүх хайлтын талбар.
   • Saved - Дуртай гэж тэмдэглээгүй, хадгалсан бүх харагдацын жагсаалт.
   • Favorites - Дуртай гэж тэмдэглэсэн бүх харагдац энэ хэсэгт харагдана.
   • Defaults - Анхнаасаа байдаг харагдацууд:
     • All incidents
     • Assigned to you

   Saved эсвэл Favorites ангилалд байгаа аль ч харагдац дээр дүрс дээр дарж харагдацыг Rename (нэрийг солих) эсвэл Delete (устгах) боломжтой.

2. 2
   View options цэс. Энэ хэсэг нь харагдацтай ажиллах хэд хэдэн үйлдлийг санал болгоно:

   • Save: Хадгалсан харагдацад хийсэн өөрчлөлтөө хадгалах.
   • Save as: Өөрчилсөн харагдацыг өөр нэрээр хадгалах.
   • Discard changes: Хадгалсан харагдацыг анхны төлөвт нь буцаах.
   • Add to favorites: Харагдацыг Favorites ангилалд нэмэх.
   • Export view: Incident-уудын хүснэгтийг CSV файлаар экспортлох.

     Файл нь одоогийн харагдацад харагдаж буй баганануудыг агуулна.

     Чухал

     Нэг удаад хамгийн ихдээ 10,000 incident экспортолж болно. Өгөгдлийн хэмжээ үүнээс давбал хайлтын тохиргоогоо нарийвчлахыг зөвлөж байна.

   • Show or hide filters: Шүүлтүүрийн цэсийг нуух эсвэл харуулах.
   • Open Settings: Settings самбарыг нээх.

     Энэ самбараар харагдацад ямар баганууд харагдахыг тохируулж, Compact харагдацыг идэвхжүүлэх эсвэл идэвхгүй болгож болно.

3. 3
   Filters хэсэг. Эдгээр сонголтоор доорх хүснэгтэд харагдах incident-уудыг тохируулна.

   Одоогоор дараах шүүлтүүрүүд байна:

   • ID — Хайж буй incident-ийн ID дугаарыг бүтнээр нь бичнэ; зөвхөн ID таарсан incident-ууд харагдана.
   • Created on — Тодорхой огнооны завсар сонгоно; зөвхөн тэр хугацаанд үүссэн incident-ууд харагдана.
   • Last updated on — Тодорхой огнооны завсар сонгоно; зөвхөн тэр хугацаанд хамгийн сүүлд шинэчлэгдсэн incident-ууд харагдана.
   • Status — Дараах төлвүүдээс нэг буюу хэд хэдийг сонгоно:
     • All - Төлвөөс үл хамааран бүх incident-ийг харуулна.
     • Open - Саяхан үүссэн, судлагдаагүй incident-уудыг харуулна.
     • Investigating - Одоо судлагдаж буй incident-уудыг харуулна.
     • Closed: False positive - Судлагдаж, буруу дохио гэж батлагдсан incident-уудыг харуулна.
     • Closed: Confirmed incident - Үнэн гэж батлагдаж, судалгааны дараа хаагдсан incident-уудыг харуулна.
     • Closed: Reviewed by MDR SOC - MDR SOC хянаж хаасан incident-уудыг харуулна.
   • Assignee — Жагсаалтаас GravityZone хэрэглэгч сонгоно; зөвхөн тэр хэрэглэгчид томилогдсон incident-ууд харагдана.
   • Priority — Боломжит чухлын зэргээс нэг буюу хэд хэдийг сонгоно (All, Unassigned, Low, Medium, High, Critical); зөвхөн сонгосон зэрэгтэй incident-ууд харагдана.
   • Severity score — Слайдын хоёр товчийг чирж эсвэл тодорхой утга бичиж Severity score-ийн завсрыг тогтооно. Severity score нь аюулгүй байдлын үйл явдал хир аюултай байж болохыг заадаг 10-аас 100 хүртэлх тоо бөгөөд оноо өндөр байх тусам үйл явдал аюултай гэдэг нь илүү тодорхой. Боломжтой бол халдлагын шинж тэмдэг болон ATT&CK Techniques-д суурилсан нөхцөл байдлыг өгнө. Зөвхөн severity score нь сонгосон утгуудын хооронд байгаа incident-ууд харагдана.
   • Entities — Жагсаалтаас нэг буюу хэд хэдэн сүлжээний entity сонгоно. Сонгосон утгуудын дор хаяж нэгтэй яг таарсан entity-тэй incident-ууд л харагдана.

     Зөвлөгөө

     Сонголтын жагсаалт нь таны incident-уудаас олдсон entity-ууд дээр үндэслэн динамикаар үүснэ. Өөрийн entity-г дахин ашиглах шүүлтүүр болгон нэмэхийн тулд:

     • Хүссэн утгаа бичнэ.
     • Түүний checkbox-ыг сонгоно.
     • Apply дээр дарна.

     Шүүлтүүрийг дахин нээхэд таны нэмсэн утга жагсаалтад харагдана. Энэ утга түр зуурынх бөгөөд тухайн entity-тэй холбоотой ирээдүйн incident-уудыг хянах smart views үүсгэхэд ашиглаж болно. Хуудсыг шинэчлэх, түүнийг хасах шүүлтүүр хэрэглэх, эсвэл өөр хуудас руу шилжихэд утга арилах тул хэрэгтэй бол дахин нэмнэ.

   • Actions taken — Дараах сонголтуудаас нэг буюу хэд хэдийг сонгоно (All, Reported, Blocked, Partially blocked); зөвхөн сонгосон арга хэмжээ бүхий incident-ууд харагдана.
   • Parameter — Боломжит параметруудаас сонгоно:
     • Alert name - Incident-д оролцсон сэрэмжлүүлгийн нэр.
     • Att&ck technique - Incident-д ашигласан Mitre technique-ийн нэр.
     • Att&ck technique ID - Халдлагад ашигласан Mitre technique-ийн ID.
     • Att&ck sub-technique - Халдлагад ашигласан Mitre subtechnique-ийн нэр.
     • Att&ck sub-technique ID - Халдлагад ашигласан Mitre subtechnique-ийн ID.
     • IP - Incident-д оролцсон IP хаяг.
     • MD5 - Incident-д оролцсон файлын md5 hash.
     • SHA256 - Incident-д оролцсон файлын sha256 hash.
     • Node name - Incident-д оролцсон node-ийн нэр.
     • Username - Incident-д оролцсон хэрэглэгчийн нэр.
     • File name - Incident-д оролцсон файлын нэр.
     • File path - Incident-д оролцсон файлын зам.
     • URL - Incident-д оролцсон URL.
     • Process name - Incident-д оролцсон process-ийн нэр.
     • Process path - Incident-д оролцсон process-ийн зам.
     • Process PID - Incident-д оролцсон process-ийн тодорхойлогч.
     • Registry key - Incident-д оролцсон registry key.
     • Detection Rule ID - Custom detection rule-ийн ID.
     • FQDN - Incident-д оролцсон дор хаяж нэг node-той холбоотой Fully Qualified Domain Name.

     Энэ шүүлтүүр нь хэсэгчилсэн (substring) тулгалт хийдэг тул заасан тэмдэгтийн дарааллыг агуулсан утгатай incident-уудыг буцаана.

   • Entity type — Incident-д агуулагдах entity-ийн төрлөөр incident-уудыг шүүнэ. Боломжит сонголтууд таны incident-уудад байгаа entity-ийн төрлөөр автоматаар бүрдэх тул судалгаагаа хамгийн хамааралтай үр дүн дээр хурдан төвлөрүүлэхэд тусална.
4. 4
   Incidents хүснэгт. Хүснэгт нь одоо хэрэглэгдэж буй шүүлтүүрт нийцсэн, 90 хоногоос хэтрээгүй бүх incident-ийг харуулна.

   Incident бүрийн мэдээлэл дараах баганануудад харагдана:

   • ID - Incident-ийн ID.

     Incident-ийн талаарх нэмэлт мэдээллийг харахын тулд incident-ийн дугаар дээр дарна.

     Change status бөөнөөр хийх үйлдэлд incident-ийг оруулахын тулд incident-ийн дугаар бүрийн хажуу дахь checkbox-ыг сонгоно.

   • Created on - Incident үүссэн огноо.
   • Last updated on - Incident хамгийн сүүлд шинэчлэгдсэн огноо.
   • Status - Incident-ийн төлөв.
   • Assignee - Incident-д томилогдсон аюулгүй байдлын шинжээч.
   • Priority - Incident-д оноосон чухлын зэрэг.
   • Severity score - Incident-д оноосон severity score.
   • Entities - Incident-д оролцсон entity-ийн жагсаалт.

     Entities самбарыг харахын тулд аль нэг entity дээр дарна.

   • Actions taken - Incident-ийг судалсны дараа авсан арга хэмжээ.

   Тэмдэглэл

   Багана бүрийн мэдээллийн дэлгэрэнгүйг Filters хэсгээс үзнэ үү.

5. 5
   Incident actions товч. Энэ товч дараах сонголтуудыг өгнө:

   • Prioritize - Энэ сонголтыг сонговол incident-ийн шинэ чухлын зэргийг тогтоож, өөрчлөлтийн шалтгааныг тайлбарлах коммент бичих цонх нээгдэнэ. Чухлын зэргийн өөрчлөлт Change дээр дарсны дараа хэрэгжинэ.
   • Assign - Энэ сонголтыг сонговол incident-ийн шинэ хариуцагчийг тогтоож, өөрчлөлтийн шалтгааныг тайлбарлах коммент бичих цонх нээгдэнэ. Хариуцагчийн өөрчлөлт Change дээр дарсны дараа хэрэгжинэ.
6. 6
   Change status товч. Доорх хүснэгтээс сонгосон бүх incident-д бөөнөөр нь хийх үйлдэл.

   Баталгаажуулах цонх гарч ирнэ.

   Incident-ийн төлөв өөрчилж буй шалтгаанаа Notes текст талбарт бичиж болно. Тэмдэглэл нь incident-д өмнө нь нэмсэн тэмдэглэлүүдэд нэмэгдэнэ.

7. 7
   Prioritize товч. Доорх хүснэгтээс сонгосон бүх incident-д чухлын зэрэг оноох үйлдэл.

   Баталгаажуулах цонх гарч ирнэ.

   Чухлын зэргийг өөрчилж буй шалтгаанаа Notes текст талбарт бичиж болно. Тэмдэглэл нь incident-д өмнө нь нэмсэн тэмдэглэлүүдэд нэмэгдэнэ.

8. 8
   Assign товч. Доорх хүснэгтээс сонгосон бүх incident-д шинжээч томилох үйлдэл.

   Баталгаажуулах цонх гарч ирнэ.

   Хариуцагчийг өөрчилж буй шалтгаанаа Notes текст талбарт бичиж болно. Тэмдэглэл нь incident-д өмнө нь нэмсэн тэмдэглэлүүдэд нэмэгдэнэ.

Incident-уудыг удирдах

Incidents хуудсанд та дараах үйлдлүүдийг хийж болно:

Incident-ийн дэлгэрэнгүйг харах

Тодорхой incident-ийн нэмэлт мэдээллийг харахын тулд доорх аргыг ашиглана:

Incident-ийн дэлгэрэнгүй самбарыг нээх: Харахыг хүссэн incident-ийнхээ мөрөнд (ID болон Entities баганаас бусад хэсэгт) дарна.

Incident-ийн дэлгэрэнгүй самбар

Incident-ийн дэлгэрэнгүй самбар нь сонгосон incident-ийн бүх хамааралтай мэдээллийг нэг дор харуулдаг. Хурдан шинжилгээ, судалгаа хийхэд зориулж хэд хэдэн хэсэгт хуваагдсан:

• General: Incident-ийн ID, Incident evolution гинж, үүссэн ба хамгийн сүүлд шинэчлэгдсэн цаг, мөн severity-ийн мэдээлэл зэрэг үндсэн тодорхойлогчдыг агуулна.

  Чухал

  Incident evolution талбар нь Configuration > Miscellaneous табын Incidents хэсэгт Create a separate incident when new activity is detected сонголтыг идэвхжүүлсэн үед л харагдана.

  Энэ тохиолдолд хаагдсан incident дээр шинэ үйл ажиллагаа илэрвэл шинэ incident үүснэ. Шинээр үүссэн incident нээлттэй хэвээр байж, хаагдтал холбогдох үйл ажиллагаагаар тасралтгүй шинэчлэгдэнэ. Энэ incident хаагдсаны дараа дахин үйл ажиллагаа илэрвэл өөр шинэ incident үүснэ. Энэ аргаар үүссэн бүх холбоотой incident-ууд Incident evolution гинжийг бүрдүүлнэ.

• Incident analysis: Incident-ийн одоогийн төлөв, томилогдсон хэрэглэгч, чухлын зэрэг зэргийг нэгтгэн харуулна.
• Attack info: Дараахыг агуулна:
  • Авсан арга хэмжээ
  • Холбогдох сэрэмжлүүлгийн тоо
  • Artifact-ийн тоо
  • Нөлөөлөлд өртсөн entity-ууд
  • Төхөөрөмжийн үйлдлийн систем
• ATT&CK techniques: Incident-ийг MITRE ATT&CK technique-тэй уялдуулж, халдагчийн үйл ажиллагааны талаар илүү гүнзгий ойлголт өгнө.
• Detections: Incident-д нөлөөлсөн аюулгүй байдлын үйл явдлуудын хураангуй. Incident trigger-ийг мөн incident-тэй холбоотой илрүүлэлтийн төрлүүдийн (жишээ нь хортой URL, залилан, phishing) хамт харуулна.

Incident-уудын төлөвийг өөрчлөх

Судалгааны төлөв нь аль incident-ийг аль хэдийн судалж баталгаажуулсан эсвэл буруу дохио гэж тэмдэглэснийг, аль нь одоо судлагдаж байгаа буюу нээлттэй байгааг, мөн ямар нь шинжлэгдэхийг хүлээж байгааг хянахад тусална.

Нэг буюу хэд хэдэн аюулгүй байдлын үйл явдлын төлвийг өөрчлөх алхмууд:

1. 1
   Төлвийг нь өөрчлөх бүх incident-ийн ID баганын checkbox-ыг сонгоно. Хүснэгтийн хуудас солиход incident-ууд сонгогдсон хэвээр байна.

   Зөвлөгөө

   Хүснэгтийн толгой мөрийн checkbox дээр дарвал тухайн хуудсанд харагдаж буй бүх incident сонгогдоно.

2. 2
   Change status товч дээр дарна.

   Боломжит төлвүүдийн жагсаалт гарч ирнэ.

3. 3
   Боломжит төлвүүдийн нэгийг сонгоно:

   • All - Төлвөөс үл хамааран бүх incident.
   • Open - Саяхан үүссэн, судлагдаагүй incident-ууд.
   • Investigating - Одоо судлагдаж буй incident-ууд.
   • Closed: False positive - Судлагдаж, буруу дохио гэж батлагдсан incident-ууд.
   • Closed: Confirmed incident - Үнэн гэж батлагдаж, судалгааны дараа хаагдсан incident-ууд.

   Чухал

   Incident evolution гинжинд хамаарах incident-уудаас зөвхөн хамгийн сүүлийнхийг дахин нээж, дахин судлах боломжтой.

   Баталгаажуулах цонх гарч ирнэ.

   Incident-ийн төлөв өөрчилж буй шалтгаанаа Notes текст талбарт бичиж болно. Тэмдэглэл нь incident-д өмнө нь нэмсэн тэмдэглэлүүдэд нэмэгдэнэ.

4. 4
   Хүсэлтийг баталгаажуулахын тулд Change дээр дарна.

Incident удирдах гар товчлолууд (Keyboard controls)

Энэ талаарх баримт удахгүй нэмэгдэнэ.

Бусад хэсэг

• Төхөөрөмжийн incident-ийг судлах (Investigating an Endpoint Incident)
• Process node-ын дэлгэрэнгүй самбар (Details Panel for Process Nodes)
• Тэмдэглэлийн самбар (Notes clipboard)