Cztery elementy
| Element | Znaczenie |
|---|---|
| Werdykt | benign, malicious albo inconclusive. |
| Pewność | Wartość procentowa. Akcje automatyczne wymagają co najmniej 80 procent. |
| Rekomendacja | Następny krok: zamknięcie, eskalacja, zebranie dodatkowych danych albo przegląd przez człowieka. |
| Ocena dowodów | Na ile dowody dotyczą samego alertu. A: własne zdarzenia alertu. B: zdarzenia encji alertu w jego oknie czasowym. C: tylko aktywność w pobliżu. D: nie zebrano niczego. Przy ocenie C i D werdykt benign ma pewność ograniczoną do 60 procent i wymaga przeglądu przez człowieka. |
Ocena dowodów istnieje, bo pewny werdykt oparty na słabych dowodach to najbardziej niebezpieczny przypadek. Przeczytaj ją przed podsumowaniem.
Podsumowanie
Pod tymi czterema elementami znajduje się krótkie, zrozumiałe podsumowanie: co się stało i dlaczego werdykt jest taki, a nie inny, wraz z fragmentami dowodów, na których się opiera.
Co wykonał workflow
Karta AI workflow wymienia kroki, które playbook wykonał przed werdyktem: sprawdzenia wzbogacające, wyniki korelacji, zapytania agenta dochodzeniowego. Widzisz dokładnie, jakie dane otrzymał model.
Co dalej
- Oceń werdykt kciukiem w górę lub w dół na stronie alertu. Oceny wpływają na wskaźnik zgodności reguły na stronie Detections.
- Zamknij alert lub go eskaluj z własną oceną. Ocena inna niż werdykt liczy się jako niezgodność.
- Gdy zgodność dla reguły spada, automatyczne zamykanie i eskalacja są dla niej wstrzymywane, dopóki zgodność nie wróci.
Bez modelu
Bez skonfigurowanego modelu albo gdy wywołanie modelu się nie powiedzie, alert pokazuje, że model go nie ocenił. W takim uruchomieniu nic nie jest zamykane ani eskalowane automatycznie.