Co robi
Blok playbooka AI investigate pozwala modelowi przeszukać bazę przed wydaniem werdyktu, na przykład: co jeszcze ten host robił w ostatniej godzinie, czy ten użytkownik logował się już z tego adresu, gdzie jeszcze pojawił się ten skrót. Model zamienia takie pytania na zapytania, wykonuje je i uwzględnia wyniki przy wydawaniu werdyktu.
Ograniczenia
- Tylko odczyt. Agent wykonuje zapytania, a zamykanie, przypisywanie, izolowanie i powiadamianie pozostają w rękach ludzi i playbooków.
- Kontrolowane zapytania. Każde zapytanie jest ograniczone do organizacji alertu, do zakresu czasu i do najwyżej 100 wierszy. Zapytania, które przeszukiwałyby zbyt dużo danych, są odrzucane przed uruchomieniem.
- Stały limit. Liczbę zapytań, od jednego do pięciu, ustawiasz w bloku. Po jej wyczerpaniu werdykt powstaje na podstawie zebranych danych.
- Przejrzystość. Każde zapytanie i jego wynik są widoczne w karcie AI workflow alertu.
Kiedy go używać
Dodawaj go do detekcji, w których kontekst wpływa na ocenę: anomalii uwierzytelniania, nietypowych procesów nadrzędnych, adresów docelowych widzianych pierwszy raz. Gdy werdykt wynika wprost ze zdarzenia, pomiń ten blok i oszczędzaj limit zapytań.