Czym jest
Każda encja, czyli host, użytkownik lub adres, ma ocenę ryzyka wyliczaną z alertów, w których występowała w ostatnich siedmiu dniach. Ocena zależy od ważności alertów, maleje z upływem czasu i rośnie, gdy na tę samą encję wskazują różne reguły i źródła. Host z jednym alertem medium ma umiarkowaną ocenę, a host z alertem medium z Sysmona, alertem high z firewalla i anomalią logowania od dostawcy tożsamości ma wysoką.
Gdzie ją widać
Na stronie Hosts, na stronie Correlations (najbardziej zagrożone encje), na stronie Overview (panel najbardziej zagrożonych hostów) i na stronie alertu (panel ryzyka encji).
Jak z niej korzystać
Sortuj kolejkę według ryzyka encji, gdy wiele alertów ma tę samą ważność. Rosnąca ocena hosta, nawet bez alertu critical, to sygnał, by mu się przyjrzeć. Przed podjęciem decyzji zawsze analizuj ocenę razem z alertami, z których wynika.