Czym jest korelacja
Mechanizm korelacji działa równolegle z detekcją. Łączy niedawne alerty, które mają wspólne encje, takie jak host, użytkownik lub adres, i grupuje dwa lub więcej z nich w korelację. Gdy dołączają nowe alerty, korelacja zachowuje swoją tożsamość.
Ryzyko encji
Każda encja ma ocenę ryzyka wyliczaną z alertów z ostatnich siedmiu dni, w których występuje, z uwzględnieniem ich ważności i tego, jak są świeże. Karta Entity risk na stronie Correlations pokazuje najbardziej zagrożone encje w Twoim zakresie wraz z alertami, z których wynika ocena.
Praca z korelacją
Otwórz korelację, aby zobaczyć jej alerty, wspólne encje i łączący je graf. Stamtąd możesz:
- Promote to case: utworzyć jedną sprawę obejmującą wszystkie alerty korelacji.
- Przypisać alerty lub zmienić ich etap. Zmiany dotyczą samych alertów.
- Otworzyć dowolny alert i obsłużyć go osobno.
Incydenty
W konsoli incydent to po prostu sprawa. Korelacje służą do grupowania alertów, a sprawy do prowadzenia dochodzenia.