Kolejka
Strona Alerts pokazuje alerty z organizacji, do których masz dostęp. Filtrujesz je paskiem zapytania, panelem filtrów i wykresami nad listą. Możesz przełączać się między listą a tablicą (new, assigned, investigating, review, closed). Automatyczne odświeżanie ustawisz przyciskiem z zegarem obok przycisku odświeżania; wybór jest zapisywany na Twoim urządzeniu.
Kolumny to między innymi czas, ważność, alert, werdykt AI, etap, SLA, osoba przypisana i wiek alertu. Kolejne dodasz z menu kolumn. Kolumna SLA pokazuje czas pozostały na reakcję lub rozwiązanie i zmienia kolor w miarę zbliżania się terminu.
Szybki podgląd
Naciśnij o lub Enter na wierszu, aby zobaczyć najważniejsze informacje w panelu bocznym bez opuszczania kolejki: podsumowanie, werdykt, pierwsze zdarzenia oraz przypisanie i etap. Dwukrotne kliknięcie wiersza otwiera pełną stronę alertu.
Strona alertu
| Karta | Zawartość |
|---|---|
| Details | Reguła, encja, znaczniki czasu, tagi i nietypowe fakty z linii bazowej. |
| Event graph | Miejsce alertu wśród hostów, użytkowników, procesów i adresów docelowych. Kliknij węzeł prawym przyciskiem, aby go rozwinąć, przejść dalej lub wykonać akcję. |
| Process tree | Dla alertów z aktywnością procesów: procesy nadrzędne i potomne oraz to, co robił każdy proces. |
| Evidence | Dopasowane zdarzenia, z przejściem jednym kliknięciem do surowego dokumentu w Logs. |
| ATT&CK | Technika i taktyka. |
| AI workflow | Werdykt doradczy, ocena dowodów i kroki wykonane przez playbook. Zobacz Werdykty triage. |
| Contacts | Z kim kontaktować się u klienta i czy obowiązują teraz godziny ciszy. |
Notatki z dochodzenia znajdują się pod kartami.
Praca z alertem
- Przypisz alert do siebie. Pierwsze działanie triage zatrzymuje licznik czasu reakcji.
- Zbadaj go: przeczytaj werdykt i ocenę dowodów, przejrzyj graf i otwórz surowe zdarzenia.
- Działaj: wykonaj przygotowane lub własne akcje reagowania na stronie hosta w Response.
- Zamknij alert z oceną (true positive, false positive, benign lub expected, duplicate) albo utwórz sprawę. Sprawa przejmuje notatki, zdarzenia, hosty i wskaźniki z alertu.
Zamknięcie zatrzymuje licznik czasu rozwiązania. Ponowne dopasowanie reguły do tej samej encji w tym samym oknie nigdy nie otwiera ponownie ani nie nadpisuje zamkniętego alertu.
Działania zbiorcze
Zaznacz wiersze klawiszem Space lub kliknięciem z Shift, a następnie przypisz je, dodaj do sprawy, otaguj, uruchom dla nich AI workflow, utwórz sprawę albo zamknij je razem. Zamknięcie wymaga podania oceny.
Menu kontekstowe
Każdy wiersz ma menu kontekstowe: podgląd, otwarcie, przypisanie, tagi, utworzenie sprawy lub dodanie do sprawy, uruchomienie AI workflow, Suppress alerts like this… i Add rule exception…. Dwie ostatnie opcje otwierają się z wypełnioną regułą i encją alertu. Zobacz Wyjątki i wyciszenia.