Incident-уудыг судлах (Investigating Incidents) — 3-р хэсэг: Details Panel for Process Nodes (Process node-ийн дэлгэрэнгүй самбар)

← Үндсэн хуудас

Process node-ийн дэлгэрэнгүй самбар

Process node-ийн дэлгэрэнгүй самбар дөрвөн хэсэгтэй:

• ALERTS. Сонгосон node дээр ажилласан нэг буюу хэд хэдэн илрүүлэлтийг харуулна: энэ элементийг incident-д оруулсан Bitdefender технологи, илрүүлэлтийг үүсгэсэн шалтгаан, илрүүлэлтийн нэр, илэрсэн огноо. Alert бүрийн тайлбар MITRE-ийн хамгийн сүүлийн стандартыг дагана.
• INVESTIGATION. Анхны илрүүлэлтийн огноо болон энэ аюул илэрсэн бүх endpoint-ыг харуулна.

  Энэ жагсаалтыг харахын тулд endpoints талбар дахь тоог дарахад шинэ цонх нээгдэнэ.

  Мөн энэ хэсэг нь дотоод бүрэлдэхүүн болон гуравдагч талын шийдлүүдээр дамжуулан гадаад шинжилгээ хийх боломж олгоно.

  Дараах үйлдлүүд байна:

  • Add to Sandbox - Sandbox Analyzer-ийн тайлан үүсгэхэд хэрэглэнэ.

    Add to Sandbox-ийг сонговол файл илгээхийг баталгаажуулах цонх гарна.

    Баталгаажуулсны дараа та илгээлтийн дэлгэц рүү автоматаар шилжинэ.

    Шинжилгээ дууссан үед View Sandbox Analyzer Report товчийг дарж бүрэн тайланг нээнэ.

  • VirusTotal - Файлыг гадаад шинжилгээнд илгээхэд хэрэглэнэ.
  • Google - Файлын hash утгыг интернетээс хайхад хэрэглэнэ.
• REMEDIATION. GravityZone-оос аюулыг сааруулахаар автоматаар хийсэн үйлдлүүд болон таны хийж болох үйлдлүүдийг харуулна.

  Тэмдэглэл

  Таны хийж болох үйлдлийн хүрээ одоогийн багцад багтсан лицензээс хамаарч өөр өөр байж болно.

  • Kill - Process-ийн ажиллалтыг зогсооно. Энэ үйлдэл process execution bar-т харагдах kill process даалгавар үүсгэнэ. System32 болон Bitdefender-ийн process-ууд энэ үйлдлээс чөлөөлөгдсөн.
  • Quarantine file - Тухайн зүйлийг хорионд хадгалж, ачааллаа (payload) ажиллуулахаас сэргийлнэ. Энэ үйлдэл зорилтот endpoint дээр Firewall модуль суулгасан байхыг шаардана.
  • Add file to Blocklist - Хориглосон зүйлсийг Blocklist хуудаснаас удирдана.

    Тэмдэглэл

    Файлыг Blocklist-д зөвхөн GravityZone-ийн администратор үүрэгтэй хэрэглэгч нэмж чадна.

  • Add file as exception - Тодорхой бодлого (policy) дээр хууль ёсны үйл ажиллагааг хасахад хэрэглэнэ. Энэ үйлдлийг сонговол exception нэмэх бодлогоо сонгох тохиргооны цонх гарна. Exclusion-ыг Policies > Antimalware > Settings хэсгээс удирдана.
  • Add as EDR Exclusion - Энэ incident элементийг сэжигтэй эсвэл хортой EDR илрүүлэлт гэж үзэхээ болиулах өөрийн дүрэм үүсгэхэд хэрэглэнэ.
    1. Add as EDR Exclusion товчийг дарахад шинэ цонх гарч үйлдлийг баталгаажуулах эсвэл цуцлахыг хүснэ.
    2. Баталгаажуулсны дараа GravityZone шинэ дүрэм Custom exclusion rules хэсэгт бэлэн болсныг мэдэгдэнэ. Incident graph-аас үүсгэсэн бүх дүрмийн нэр incident-ийн дугаараар эхэлдгийг анхаарна уу.

    Дүрмийг засахаар дэлгэрэнгүй рүү орвол энэ дүрмийн бүх шалгуур автоматаар бөглөгдсөн, мөн alert-ийн нэртэй, зөвхөн унших (read-only) шалгуур нэмэгдсэн байгааг харна.

    Чухал

    Add as EDR Exclusion үйлдэл зөвхөн дараах тохиолдолд боломжтой: сэжигтэй болон хортой node-ууд; өөр process node-оос үүссэн node-ууд; EDR correlation engine-ээр үүссэн alert-ууд.

    • Хасагдсан incident элемент нь incident-ийн critical path-ийн нэг хэсэг бол энэ exclusion шалгуурт таарах цаашдын incident-ууд Incidents grid-д үүсэхээ болино.
    • Хасагдсан incident элемент нь critical path-ийн нэг хэсэг биш бол энэ exclusion шалгуурт таарах цаашдын incident-ууд Incidents grid-д үргэлжлэн үүснэ, гэхдээ энэ элементийг сэжигтэй эсвэл хортой гэж тооцохгүй.

    Энэ хэсэг мөн сонгосон node дээр илэрсэн alert бүрт incident-ийг сааруулж, орчныхоо аюулгүй байдлын түвшинг нэмэгдүүлэхэд туслах дэлгэрэнгүй зөвлөмжийг өгнө.

• PROCESS INFO. Сонгосон process node-ийн дэлгэрэнгүйг харуулна: process-ийн нэр, ажиллуулсан командын мөр, хэрэглэгч, ажилласан хугацаа, файлын гарал үүсэл ба зам, hash утга, дижитал гарын үсэг.

  Энэ хэсэгт Hash талбар доторх боломжит hash алгоритмуудыг дарж зүйлийн hash утгыг clipboard руу хуулах, мөн Blocklist-д нэмэх боломжтой.

  Тэмдэглэл

  Дэлгэрэнгүйг Blocklisting files-аас үзнэ үү.

File node-ийн дэлгэрэнгүй самбар

File node-ийн дэлгэрэнгүй самбар дөрвөн хэсэгтэй:

• ALERTS. Сонгосон node дээр ажилласан нэг буюу хэд хэдэн илрүүлэлтийг харуулна: энэ элементийг incident-д оруулсан Bitdefender технологи, илрүүлэлтийг үүсгэсэн шалтгаан, илрүүлэлтийн нэр, илэрсэн огноо. Alert бүрийн тайлбар MITRE-ийн хамгийн сүүлийн стандартыг дагана. Сонгосон node дээр илэрсэн alert бүрт incident-ийг сааруулж, аюулгүй байдлын түвшнийг нэмэгдүүлэхэд туслах дэлгэрэнгүй зөвлөмж байна.
• INVESTIGATION. Анхны илрүүлэлтийн огноо болон энэ элемент илэрсэн бүх endpoint-ыг харуулна.

  Энэ жагсаалтыг харахын тулд endpoints талбар дахь тоог дарахад шинэ цонх нээгдэнэ.

  Мөн энэ хэсэг нь дотоод бүрэлдэхүүн болон гуравдагч талын шийдлүүдээр дамжуулан гадаад шинжилгээ хийх боломж олгоно.

  Дараах үйлдлүүд байна:

  • Add to Sandbox - Sandbox Analyzer-ийн тайлан үүсгэхэд хэрэглэнэ.

    Add to Sandbox-ийг сонговол файл илгээхийг баталгаажуулах цонх гарна.

    Баталгаажуулсны дараа та илгээлтийн дэлгэц рүү автоматаар шилжинэ.

    Шинжилгээ дууссан үед View Sandbox Analyzer Report товчийг дарж бүрэн тайланг нээнэ.

  • VirusTotal - Файлыг гадаад шинжилгээнд илгээхэд хэрэглэнэ.
  • Google - Файлын hash утгыг интернетээс хайхад хэрэглэнэ.
• REMEDIATION. GravityZone-оос аюулыг сааруулахаар автоматаар хийсэн үйлдлүүд болон таны хийж болох үйлдлүүдийг харуулна.

  Тэмдэглэл

  Таны хийж болох үйлдлийн хүрээ одоогийн багцад багтсан лицензээс хамаарч өөр өөр байж болно.

  • Quarantine file - Тухайн зүйлийг хорионд хадгалж, ачааллаа (payload) ажиллуулахаас сэргийлнэ. Энэ үйлдэл зорилтот endpoint дээр Firewall модуль суулгасан байхыг шаардана.
  • Add file to Blocklist - Хориглосон зүйлсийг Blocklist хуудаснаас удирдана.
  • Add file as exception - Тодорхой бодлого (policy) дээр хууль ёсны үйл ажиллагааг хасахад хэрэглэнэ. Энэ үйлдлийг сонговол exception нэмэх бодлогоо сонгох тохиргооны цонх гарна. Exclusion-ыг Policies > Antimalware > Settings хэсгээс удирдана.
  • Add as EDR Exclusion - Энэ incident элементийг сэжигтэй эсвэл хортой EDR илрүүлэлт гэж үзэхээ болиулах өөрийн дүрэм үүсгэхэд хэрэглэнэ.
    1. Add as EDR Exclusion товчийг дарахад шинэ цонх гарч үйлдлийг баталгаажуулах эсвэл цуцлахыг хүснэ.
    2. Баталгаажуулсны дараа GravityZone шинэ дүрэм Custom exclusion rules хэсэгт бэлэн болсныг мэдэгдэнэ. Incident graph-аас үүсгэсэн бүх дүрмийн нэр incident-ийн дугаараар эхэлдгийг анхаарна уу.

    Дүрмийг засахаар дэлгэрэнгүй рүү орвол энэ дүрмийн бүх шалгуур автоматаар бөглөгдсөн, мөн alert-ийн нэртэй, зөвхөн унших (read-only) шалгуур нэмэгдсэн байгааг харна.

    Чухал

    Add as EDR Exclusion үйлдэл зөвхөн дараах тохиолдолд боломжтой: сэжигтэй болон хортой node-ууд; өөр process node-оос үүссэн node-ууд; EDR correlation engine-ээр үүссэн alert-ууд.

    • Хасагдсан incident элемент нь incident-ийн critical path-ийн нэг хэсэг бол энэ exclusion шалгуурт таарах цаашдын incident-ууд Incidents grid-д үүсэхээ болино.
    • Хасагдсан incident элемент нь critical path-ийн нэг хэсэг биш бол энэ exclusion шалгуурт таарах цаашдын incident-ууд Incidents grid-д үргэлжлэн үүснэ, гэхдээ энэ элементийг сэжигтэй эсвэл хортой гэж тооцохгүй.
• FILE INFO. Сонгосон file node-ийн дэлгэрэнгүйг харуулна: файлын гарал үүсэл ба зам, hash утга, дижитал гарын үсэг.

  Энэ хэсэгт Hash талбар доторх боломжит hash алгоритмуудыг дарж зүйлийн hash утгыг clipboard руу хуулах, мөн Blocklist-д нэмэх боломжтой.

  Тэмдэглэл

  Дэлгэрэнгүйг Blocklisting files-аас үзнэ үү.

Registry node-ийн дэлгэрэнгүй самбар

Registry node-ийн дэлгэрэнгүй самбар гурван хэсэгтэй:

• ALERTS. Registry-г өөрчилсөн үйлдлийн ноцтой байдал (энэ элементийг incident-д оруулсан Bitdefender технологиор тэмдэглэсэн), илрүүлэлтийг үүсгэсэн шалтгаан, илэрсэн огноо, registry-ийн төрлийг харуулна.
• REMEDIATION. GravityZone-оос автоматаар хийсэн үйлдлүүдийг харуулна.

  Тэмдэглэл

  Registry node-ийн REMEDIATION хэсэгт хэрэглэгчийн хийх үйлдлийн сонголт байхгүй.

• REGISTRY INFO. Сонгосон registry node-ийн дэлгэрэнгүйг харуулна: registry key, value болон data.

  Шинжилгээнд ашиглахын тулд registry key болон value дээр дарж clipboard руу хуулж болно.

Search bar

Search bar хоёр үүрэгтэй:

• Search nodes. Нэмэгдүүлэгч шилний дүрсийг дарахад хайлтын мөр дэлгэгдэж, graph дотроос тодорхой node хайхын тулд мэдээлэл оруулах боломжтой болно.
• Incident trigger. Alert-ийг үүсгэсэн node руу шууд холбоос.

Events

Events табыг ашиглан шинжилж буй incident-ийг өдөөх хүртэл үйл явдлууд хэрхэн өрнөснийг харна. Энэ цонхонд EDR, Network Attack Defense, Anomaly Detection, Advanced Anti-Exploit, Windows Antimalware Scan Interface (AMSI) зэрэг GravityZone-ийн технологиор илрүүлсэн, хоорондоо уялдуулсан системийн үйл явдал болон alert-ууд харагдана.

Үйл явдал бүрт нь юу илэрсэн, уг объектыг хортой зорилгоор ашиглавал юу болж болох талаар MITRE-ийн хамгийн сүүлийн technique болон tactic-уудад нийцүүлсэн дэлгэрэнгүй тайлбар байдаг.

Шүүлтүүрийн сонголтоор бүх үйл явдлыг харуулж эсвэл ATT&CK tactic-аар бүлэглэж болно. Мөн ангиллыг нь урьдчилан тодорхойлсны дараа хайлтын мөрөөр үйл явдлыг хайж болно. Хүснэгт эрэмбэлэгдсэн үйл явдлуудаар дүүрнэ.

Илрүүлэлтийн талаарх дэлгэрэнгүй мэдээллийг (process-ийн үйл ажиллагаа, нөлөөлөлд өртсөн файлууд, халдлагын контекст) шинжлэхийн тулд хүснэгтээс дурын үйл явдлыг сонгож хажуугийн самбарыг нээнэ.

EDR Response

Response хуудас нь яаралтай анхаарал шаардсан үйлдлүүдэд хандах default smart view-үүд (өгөгдмөл харагдац), In Progress, Completed, Dismissed зэрэг тодорхой төлөвтэй үйлдлүүдийг харуулах хуудсууд, мөн тодорхой incident-тэй холбоотой бүх Response-ийн жагсаалтыг санал болгодог.

Бүх үйлдэл динамик хүснэгтээр харагдах бөгөөд үйлдлийн төрөл, объект, зорилтот объект, төлөв зэрэг олон шүүлтүүр, эрэмбэлэх сонголттой.

Хүснэгтэд дараах мэдээллийг агуулсан олон багана байна:

• Type - Хийж буй үйлдлийн төрөл. Боломжит утгууд:
  • Containment
  • Mitigation
  • Hardening
• Action - Хийж буй үйлдлийн нэр.
• Object - Үйлдэл хийгдэж буй entity эсвэл нөөцийн нэр.

  Тэмдэглэл

  Объект нь endpoint бол нэр нь дарж болох холбоос байх бөгөөд дарахад Endpoint Details самбар нээгдэнэ.

• Target - Үйлдэл хийгдэж буй entity-ийн төрөл. Боломжит утгууд:
  • Endpoint
  • File
  • Process
  • Registry
• Details - Хийж буй үйлдэлтэй холбоотой нэмэлт мэдээлэл.
• Executed on - Үйлдэл өдөөгдсөн огноо. Үйлдэл нь автомат хариу арга хэмжээний үр дүн бол endpoint-ээс мэдээлсэн огноо харагдана.
• Executed by - Үйлдлийг хэн гүйцэтгэснийг заана.
• Source - Үйлдэл хаанаас үүссэнийг заана.

Incident Info

Incident status bar-ын Incident info товчоор нээгддэг incident-ийн дэлгэрэнгүй самбар нь сонгосон incident-ийн тодорхойлолт, төлөв, шинжилгээний гол өгөгдлийг цогцоор нь харуулна. Үүнд incident ID, evolution, төлөв, priority, оноогдсон хэрэглэгч, цаг хугацааны тэмдэг, нөлөөлөлд өртсөн endpoint зэрэг үндсэн мэдээлэл багтана.

Самбарт мөн severity score, incident-ийн өдөөгч, өдөөгч дээр илэрсэн alert-ууд, оролцсон artifact-уудын мэдээлэл байна. Түүнчлэн халдлагын төрөл, tactic-ууд, харгалзах MITRE ATT&CK technique-үүд зэрэг халдлагын контекстыг харуулдаг тул incident-ийн мөн чанар, үр дагаврыг хурдан ойлгоход тусална.

Incident Status Bar

Incident status bar нь холбогдох сүлжээний endpoint-уудын талаарх гол мэдээллийг илрүүлэхэд туслах аюулгүй байдлын үйл явдлын шошгуудыг харуулна.

1. 1
   Incident ID - шинжилж буй incident-ийн ID дугаар, мөн incident blocked (хаагдсан) эсвэл reported (мэдээлсэн) аль нь болохыг заана.
2. 2
   Detection timestamp - incident өдөөгдсөн огноо, цаг.
3. 3
   Status - incident-ийн одоогийн төлөв.
4. 4
   Assignee - incident оноогдсон хэрэглэгч.
5. 5
   Priority - incident бүрийн priority.
6. 6
   Хандах дүрсүүд ба тэдгээрийн тайлбар:

   • Incident info (дээрх «Incident Info» хэсгийг үзнэ үү)
   • Notes
   • History