Tworzenie sprawy
Sprawy powstają przez eskalację alertu lub korelacji, z akcji eskalacji w playbooku albo ręcznie z Cases › New. Eskalacja przenosi notatki alertu, zdarzenia, hosty, wskaźniki i przygotowane akcje reagowania.
Kategorie
Każda sprawa ma kategorię wybieraną przy tworzeniu z listy w Settings › Case categories. Kategoria określa strukturę opisu i szablon zadań, więc sprawa z kategorii „kradzież poświadczeń” od razu ma zadania właściwe dla tego typu incydentu. Zobacz Kategorie spraw.
Karty
| Karta | Co zawiera |
|---|---|
| Details | Podsumowanie, ważność, status, kategorię, opis sprawy, opis widoczny dla klienta w portalu, zakres i powiązane alerty. |
| People & work | Zespół sprawy z rolami (lead, co-lead, investigator, responder, observer) oraz przypisywanie alertów sprawy. |
| Tasks | Listę zadań z szablonu kategorii oraz zadania dodane ręcznie. |
| Artifacts | Wskaźniki znalezione w sprawie, porównane z innymi sprawami organizacji. Jeśli wskaźnik wystąpił gdzie indziej, zobaczysz to tutaj. |
| Timeline | Aktywność w sprawie i zdarzenia z logów powiązanych alertów, w kolejności chronologicznej. |
| War room | Rozmowę osób pracujących nad sprawą, ze wzmiankami @ i wklejonymi obrazami. |
Sprawa przechodzi przez statusy open, investigating, contained, eradicated, recovered i closed.
Zamykanie
Sprawy nie można zamknąć, dopóki ma otwarte zadania: najpierw wykonaj albo anuluj każde z nich. Zamknięcie trafia na oś czasu sprawy i do dziennika audytu.
Raportowanie
W sprawie opcja Report › Open a post-incident report tworzy raport z dołączoną sprawą. Download markdown daje szybki eksport. Zobacz Raporty.