Ocena ryzyka

Jak wyliczana jest ocena ryzyka hosta lub użytkownika i jak z niej korzystać.

Czym jest

Każda encja, czyli host, użytkownik lub adres, ma ocenę ryzyka wyliczaną z alertów, w których występowała w ostatnich siedmiu dniach. Ocena zależy od ważności alertów, maleje z upływem czasu i rośnie, gdy na tę samą encję wskazują różne reguły i źródła. Host z jednym alertem medium ma umiarkowaną ocenę, a host z alertem medium z Sysmona, alertem high z firewalla i anomalią logowania od dostawcy tożsamości ma wysoką.

Gdzie ją widać

Na stronie Hosts, na stronie Correlations (najbardziej zagrożone encje), na stronie Overview (panel najbardziej zagrożonych hostów) i na stronie alertu (panel ryzyka encji).

Jak z niej korzystać

Sortuj kolejkę według ryzyka encji, gdy wiele alertów ma tę samą ważność. Rosnąca ocena hosta, nawet bez alertu critical, to sygnał, by mu się przyjrzeć. Przed podjęciem decyzji zawsze analizuj ocenę razem z alertami, z których wynika.