Исследование событий контейнеров с учетом соседних событий

При рассмотрении события следует обращать внимание и анализировать те события, которые произошли до и после интересующего вас события.

Чтобы посмотреть события, которые произошли до и после интересующего вас события:

1. Нажмите на любое место в строке события в таблице событий безопасности в разделе Исследование → События контейнеров → События в контейнере.
2. Перейдите на вкладку Соседние события.

По умолчанию решение в виде таблицы показывает следующее:

• Рассматриваемое событие.
• 3 события, произошедшие до рассматриваемого события.
• 46 событий, произошедших после рассматриваемого события.

При необходимости вы можете дополнительно загрузить 50 записей о событиях до отображаемых в таблице событий и 50 событий после них. Для этого требуется нажать на кнопки Предыдущие 50 событий и Последующие 50 событий, соответственно.

Вы можете скачать файл с данными о рассматриваемом и соседних для него событиях, нажав на кнопку Загрузить необработанные данные. По умолчанию в этом файле содержится перечень событий, произошедших за полчаса до рассматриваемого события и в течение часа после него. При необходимости вы можете изменить значения параметров хранения данных.

Вы можете найти интересующее вас событие, указав в поле Поиск имя или хеш образа.

Для каждого события вы также можете посмотреть события в диапазоне 90 дней. Например, если вы просматриваете событие за текущий день, то можете открыть события за прошедшие 90 дней. Если интересующее вас событие произошло 45 дней назад, вы можете открыть события, произошедшие за 45 дней до рассматриваемого события.

Для каждого события в таблице решение показывает следующую информацию:

• Дата и время наступления события.
• Тип события – Процесс, Файловые операции, Открытие портов, Сетевой трафик или Защита от файловых угроз.
• Информация о событии с учетом типа события. Решение отображает следующие данные:
  • Для события типа Процесс показывается команда, запустившая процесс.
  • Для события типа Файловые операции приводится тип файловой операции (например, Создание или Чтение).
  • Для события типа Защита от файловых угроз отображается название обнаруженного вредоносного ПО и уровень его критичности.
  • Для события типа Сетевой трафик показываются имя и IP-адрес пода источника и точки назначения соединения. По ссылке в имени пода вы можете открыть боковую панель с подробной информацией о рассматриваемом поде.
  • Для события типа Открытие портов приводится номер открывшегося порта.
• Полный путь расположения. Для события типа Файловые операции приводятся имя и расположение файла и директории в файловой системе контейнера, над которым были проведены какие-либо действия.

Вы можете открыть боковую панель с подробной информацией о выбранном событии, нажав на строку события в таблице.

Вы можете настроить отображение событий в таблице с помощью кнопок с указанием типа события, которые расположены над таблицей. Вы можете выключить кнопки с неинтересующими вас типами событий, в таблице будут представлены только события выбранных типов. По умолчанию включено отображение всех типов событий.