Просмотр сведений об инциденте

Развернуть всё | Свернуть всё

Сведения об инциденте – это страница в интерфейсе, которая содержит всю информацию, относящуюся к инциденту, включая свойства инцидента.

Чтобы просмотреть сведения об инциденте:

1. В главном окне приложения перейдите в раздел Мониторинг → Инциденты.
2. В таблице инцидентов нажмите на идентификатор требуемого инцидента.

Откроется окно со сведениями об инциденте.

При необходимости можно обновить информацию в деталях инцидента, нажав на кнопку обновления () рядом с названием инцидента.

Панель инструментов в верхней части информации об инциденте позволяет выполнять следующие действия:

• Изменить значения полей Имя, Описание и Внешняя ссылка.
• Просмотреть инцидент на графе расследования
• Изменить статус инцидента
• Изменить приоритет инцидента
• Назначить инцидент аналитику
• Выбрать плейбук
• Связать алерты с инцидентом
• Объединить инцидент с другими инцидентами

Сведения об инциденте содержат следующие разделы:

• Сводная информация

  Этот раздел содержит следующие свойства инцидента:

  • Тип. Тип инцидента.
  • Аналитик. Текущий исполнитель инцидента.
  • Метод создания. Как был создан инцидент, вручную или автоматически.
  • Название. Имя, указанное при создании инцидента. Вы можете нажать на кнопку Изменить, чтобы изменить название инцидента.
  • Тенант. Имя тенанта, у которого был обнаружен инцидент.

  • Активы. Количество пользователей и устройств, которые были затронуты инцидентом.
  • Зарегистрировано. Дата и время создания инцидента.
  • Время обновления. Дата и время последнего изменения в истории инцидента.
  • Первое событие. Дата и время первого события, связанного с инцидентом. Это самое раннее событие в разделе Детали алерта среди всех алертов, связанных с инцидентом.
  • Последнее событие. Дата и время последнего события, связанного с инцидентом. Это последнее событие в разделе Детали алерта среди всех алертов, связанных с инцидентом.
  • Описание. Описание инцидента. Вы можете нажать на кнопку Изменить, чтобы добавить описание.
  • Внешняя ссылка. Ссылка на объект во внешней системе. Вы можете нажать на кнопку Изменить, чтобы указать внешнюю ссылку.
  • Приоритет. Возможные значения: Низкий, Средний, Высокий или Критический. Приоритет инцидентов определяет порядок, в котором инциденты могут расследоваться. Инциденты с приоритетом Критический являются наиболее важными и могут быть расследованы в первую очередь. Вы можете изменить приоритет, нажав на текущее значение приоритета.
  • Важность. Возможные значения: Низкий, Средний, Высокий или Критический. Уровень важности инцидента показывает, какое влияние этот инцидент может оказать на безопасность устройства или корпоративную локальную сеть на основе опыта "Лаборатории Касперского".
  • Время на рассмотрение – срок рассмотрения инцидента в днях, часах и минутах.
  • Время на ответ – срок первоначального реагирования на инцидент в днях, часах и минутах.
  • Время на разрешение – срок разрешения инцидента в днях, часах и минутах.
  • Правила корреляции. Правила, которые сработали для регистрации связанных алертов. Вы можете нажать на значок с многоточием рядом с названием правила, чтобы открыть контекстное меню. Используйте это меню, чтобы узнать больше о правиле, найти алерты или инциденты, которые были зарегистрированы этим же правилом, или найти события, инициировавшие правило, в разделе Поиск угроз за период между первым и последним событием инцидента.

    Когда в меню вы нажимаете на раздел Перейти в Поиск угроз, раздел Поиск угроз открывается в той же вкладке. Если вы хотите открыть раздел Поиск угроз в новой вкладке браузера, зажмите клавишу Ctrl и в меню нажмите на раздел Перейти в Поиск угроз.

  • IOA-правила. IOA-правила, сработавшие для обнаружения угрозы и создания соответствующего алерта. Вы можете открыть контекстное меню, нажав на имя IOA-правила. В контекстном меню можно проводить следующие действия:
    • Просмотреть подробную информацию о конкретном IOA-правиле, нажав на кнопку Открыть свойства.
    • Просмотреть связанные события, нажав на кнопку Перейти в Поиск угроз.
    • Найти похожие инциденты.
    • Чтобы просмотреть подробную информацию о IOA-правиле в Kaspersky TIP, нажмите на кнопку Найти в Kaspersky TIP.
    • Скопировать имя IOA-правила.
  • Тактика MITRE. Тактика или несколько тактик, зарегистрированных в алертах, связанных с инцидентом. Тактики определены в базе знаний MITRE ATT&CK.
  • Техника MITRE. Техника или несколько техник, зарегистрированных в алертах, связанных с инцидентом. Техники определены в базе знаний MITRE ATT&CK.
  • Дополнительные данные. Дополнительная информация об инциденте. Вы можете изменить значение в этом поле только с помощью плейбука. Поле отображается, если вы добавили значение.

• Подробная информация

  В разделе Подробнее вы можете отслеживать события телеметрии, связанные с инцидентом.

  Чтобы просмотреть события, связанные с инцидентом, нажмите на кнопку Поиск угроз. В открывшейся таблице отобразятся события алерта, связанные с инцидентом. В заголовке раздела Поиск угроз отображаются идентификатор и имя инцидента, из которого был выполнен переход.

  Панель инструментов таблицы событий позволяет выполнить следующие действия:

  • Скачать события. Нажмите на эту кнопку, чтобы скачать информацию о связанных событиях из файла TSV.
  • Удалить связь с инцидентом. Вы можете выбрать событие или несколько событий в таблице и нажать на эту кнопку, чтобы удалить связь выбранных событий с алертом, связанным с инцидентом.

  Вы можете вернуться к деталям инцидента, нажав на кнопку Исследование инцидента или на кнопку Назад в вашем браузере.

• Подобные инциденты

  В разделе Подобные инциденты вы можете просмотреть список инцидентов, которые имеют те же затронутые артефакты, что и текущий инцидент. Затронутые артефакты включают как наблюдаемые объекты, так и затронутые устройства алертов, связанных с инцидентом. В списке есть инциденты во всех статусах.

  С помощью вы можете оценить степень сходства текущего инцидента и других инцидентов. Сходство рассчитывается следующим образом:

  Сходство = M / T * 100

  Здесь "M" – количество артефактов, совпадающих в текущем и аналогичном инциденте, "T" – общее количество артефактов в текущем инциденте.

  Если сходство составляет 100%, в текущем инциденте нет ничего нового по сравнению с аналогичным инцидентом. Если сходство равно 0%, текущий инцидент и схожий инцидент полностью различаются. Инциденты, имеющие сходство 0%, не включаются в список.

  Расчетное значение округляется до ближайшего целого числа. Если сходство равно значению от 0% до 1%, приложение не округляет это значение до 0%. В этом случае значение отображается меньше 1%.

  При нажатии на идентификатор инцидента открывается подробная информация об инциденте.

  Настройка списка похожих инцидентов

  Вы можете настроить таблицу, используя следующие параметры:

  • Отфильтруйте инциденты, выбрав период, за который были обновлены инциденты. По умолчанию список содержит инциденты, которые обновлялись за последние 30 дней.
  • Нажмите на значок Параметры столбцов () и выберите, какие столбцы отображать и в каком порядке.
  • Нажмите на значок Фильтр (), выберите и настройте фильтры, которые хотите применить. Если вы выбрали несколько фильтров, они применяются одновременно с помощью логического оператора И.
  • Нажмите на заголовок столбца и выберите параметры сортировки. Вы можете отсортировать инциденты в порядке возрастания или убывания.
• Алерты

  В разделе Алерты вы можете просмотреть список алертов, связанных с текущим инцидентом.

  Нажав на идентификатор алерта, вы можете открыть детали алерта. Вы также можете использовать кнопки панели инструментов, чтобы удалить связь алерта с инцидентом.

• Активы

  В окне Активы можно выполнить следующие действия:

  • Просмотреть устройства и пользователей, затронутые алертом или вовлеченные в него.
  • Выполните действия по реагированию. Для этого установите флажок рядом с активом, а затем в раскрывающемся списке Выбрать действие по реагированию выберите необходимое действие по реагированию.
  • Чтобы экспортировать информацию о затронутых активах в CSV-файл, нажмите на кнопку Экспортировать в CSV.
  • Подключитесь к активу с помощью удаленного терминала. Для этого нажмите на кнопку Открыть удаленный терминал.

  Таблица активов содержит следующие столбцы:

  • Тип актива

    Возможные значения: устройство или пользователь.

  • Имя актива
  • Идентификатор актива
  • Статус авторизации

    Этот параметр применяется только к типу актива – устройство. Статус авторизации устройства определяется KICS for Networks. Вы можете изменить статус авторизации, применив соответствующее действие по реагированию к устройству.

  • Имеет признаки

    Возможные значения: атакующий или атакуемый.

  • Сервер администрирования

    Сервер администрирования, который управляет устройством.

  • Категории

    Категории активов, в которые входит актив.

  • Count

    Количество устройств и пользователей, затронутых инцидентом или участвующих в нем, у которых одинаковый идентификатор, тип и имя.

  • Группа администрирования

    Группа администрирования, к которой принадлежит пользователь.

  Нажав на имя пользователя или устройства, вы можете:

  • Просмотреть свойства пользователя или устройства.

    Чтобы просмотреть список алертов или инцидентов, связанных с устройством, в окне свойств устройства нажмите на кнопку Показать связанные и выберите Алерты или Инциденты, в зависимости от того что вы хотите просмотреть.

  • Скопировать имя пользователя или имя устройства в буфер обмена.
  • Выполнить поиск по имени пользователя или идентификатору устройства в других алертах.
  • Выполнить поиск по имени пользователя или идентификатору устройства в других инцидентах.
  • Выполнить поиск имени пользователя или идентификатора устройства в разделе Поиск угроз за период между первым и последним событием инцидента.

    Если после нажатия на имя пользователя или название устройства выбрать в меню команду Перейти в Поиск угроз, откроется раздел Поиск угроз на той же вкладке. Если вы хотите открыть раздел Поиск угроз в новой вкладке браузера, зажмите клавишу Ctrl и в меню нажмите на раздел Перейти в Поиск угроз.

  Нажав на идентификатор пользователя или идентификатор устройства, вы можете:

  • Просмотреть свойства пользователя или устройства.

    Чтобы просмотреть список алертов или инцидентов, связанных с устройством, в окне свойств устройства нажмите на кнопку Показать связанные и выберите Алерты или Инциденты, в зависимости от того что вы хотите просмотреть.

  • Скопировать идентификатор пользователя или идентификатор устройства в буфер обмена.
  • Выполнить поиск по идентификатору пользователя или идентификатору устройства в других алертах.
  • Выполнить поиск по идентификатору пользователя или идентификатору устройства в других инцидентах.
  • Выполнить поиск идентификатора пользователя или идентификатора устройства в разделе Поиск угроз за период между первым и последним событием инцидента.

    Если после нажатия на идентификатор пользователя или идентификатор устройства выбрать в меню команду Перейти в Поиск угроз, откроется раздел Поиск угроз на той же вкладке. Если вы хотите открыть раздел Поиск угроз в новой вкладке браузера, зажмите клавишу Ctrl и в меню нажмите на раздел Перейти в Поиск угроз.

• Дочерние инциденты

  В разделе Дочерние инциденты вы можете просмотреть список инцидентов, которые являются дочерними для просматриваемого вами инцидента.

• Файлы

  Раздел Файлы содержит файлы, полученные в результате действий по реагированию или добавленные вручную в этот инцидент. Вы можете загружать, скачивать или удалять файлы, связанные с инцидентом, или изменять описание файлов.

  Вы можете загружать файлы любого расширения. Допускаются дубликаты имен файлов. Максимальное количество файлов, которые вы можете прикрепить к инциденту, и максимальный общий размер файлов, вы можете указать в конфигурационном файле.

  Ограничения по умолчанию:

  • Количество файлов не может превышать 100 на один инцидент.
  • Общий размер файла не может превышать 25 МБ на один инцидент.

  Чтобы загрузить файлы, нажмите на кнопку Загрузить и выберите один или несколько файлов. Если вы попытаетесь загрузить файлы, превышающие ограничения, появится панель Загрузка файлов с предупреждающим сообщением. В этой панели вы можете удалять файлы из очереди загрузки до тех пор, пока не исчезнет предупреждающее сообщение, и нажать на кнопку Загрузить, чтобы загрузить файлы. Если вы нажмете на кнопку Загрузить, проигнорировав предупреждающее сообщение, загрузка не будет выполнена, а в списке файлов появятся файлы, которые не удалось загрузить, со значком предупреждения рядом с именами файлов.

  Нажмите на файл, чтобы открыть панель Изменить файл, на которой отображаются сведения о файле. В этой панели вы можете изменить описание файла.

  Используйте флажки для выбора файла или нескольких файлов. Выберите один или несколько файлов и нажмите на кнопку Скачать, чтобы скачать архив файлов в формате ZIP. Архив защищен паролем infected. Выберите файл или несколько файлов и нажмите на кнопку Удалить, чтобы удалить выбранные файлы.

  Для загрузки и удаления файлов и изменения описаний файлов требуется право Запись в функциональной области Алерты и инциденты. Для возможности скачивать файлы требуется право на Чтение в функциональной области Алерты и инциденты.

• Наблюдаемые объекты

  В разделе Наблюдаемые объекты вы можете просмотреть наблюдаемые объекты, которые относятся к алертам, связанными с текущим инцидентом.

  Вы также можете экспортировать информацию о связанных наблюдаемых объектах в CSV-файл, нажав на кнопку Экспортировать в CSV.

  Наблюдаемые объекты могут включать:

  • MD5-хеш
  • URL
  • Имя домена
  • SHA256
  • UserName
  • HostName
  • IP-адрес;

    Следующие частные IP-адреса не включены в наблюдаемые объекты, связанные с алертами в текущем инциденте:
    От 10.0.0.0 до 10.255.255.255 с маской подсети 255.0.0.0 или /8.
    От 172.16.0.0 до 172.31.255.255 с маской подсети 255.240.0.0 или /12.
    От 192.168.0.0 до 192.168.255.255 с маской подсети 255.255.0.0 или /16.
    От 100.64.0.0 до 100.127.255.255 с маской подсети 255.192.0.0 или /10.

    Чтобы включить частные IP-адреса в наблюдаемые данные, выполните следующие команды на устройстве администратора:

    k0s kubectl -n irp set env deploy/transformer -c transformer OSMP_TRANSFORMER_FILTER_PRIVATE_IPS_DISABLED=true

    k0s kubectl -n irp set env deploy/incident -c incident OSMP_FILTER_PRIVATE_IPS_DISABLED=true

  Нажав на ссылку в столбце Значение, вы можете:

  • Поиск наблюдаемого значения в разделе Поиск угроз за период между первым и последним событием инцидента.

    Если после перехода по ссылке в столбце Значение вы выбираете в меню раздел Перейти в Поиск угроз, раздел Поиск угроз открывается на той же вкладке. Если вы хотите открыть раздел Поиск угроз в новой вкладке браузера, зажмите клавишу Ctrl и в меню нажмите на раздел Перейти в Поиск угроз.

  • Выполнить поиск по значению наблюдаемого объекта в других алертах.
  • Выполнить поиск по значению наблюдаемого объекта в других инцидентах.
  • Скопировать значение наблюдаемого объекта в буфер обмена.

  Панель инструментов этого раздела содержит следующие кнопки:

  • Запросить статусы Kaspersky TIP. Используйте эту кнопку, чтобы получить подробную информацию о выбранном наблюдаемом объекте в Kaspersky Threat Intelligence Portal (Kaspersky TIP). В результате информация обновляется в столбце Статус обновления. Требуется интеграция с Kaspersky Threat Intelligence Portal (премиум-доступ).
  • Обогатить данные Kaspersky TIP. Используйте эту кнопку, чтобы получить подробную информацию обо всех перечисленных наблюдаемых объектах из Kaspersky TIP. В результате информация обновляется в столбце Обогащение. Используйте ссылку в столбце Обогащение, чтобы открыть полученные сведения об обогащении наблюдаемого объекта. Требуется интеграция с Kaspersky Threat Intelligence Portal (премиум-доступ).
  • Поместить на карантин. Используйте эту кнопку, чтобы переместить устройство, на котором находится файл, на карантин. Эта кнопка доступна только для хешей (MD5 или SHA256) наблюдаемых объектов.
  • Добавить правило запрета. Используйте эту кнопку, чтобы добавить правило, запрещающее запуск файла. Эта кнопка доступна только для хешей (MD5 или SHA256) наблюдаемых объектов.
  • Удалить правило запрета. Используйте эту кнопку, чтобы удалить правило, запрещающее запуск файла. Эта кнопка доступна только для хешей (MD5 или SHA256) наблюдаемых объектов.
  • Прервать процесс. Используйте эту кнопку, чтобы прервать процессы, связанные с файлом. Эта кнопка доступна только для хешей (MD5 или SHA256) наблюдаемых объектов.
• История

  В разделе История журнала событий вы можете отслеживать изменения, внесенные в инцидент как в объект:

  • Изменение статуса инцидента.
  • Изменение исполнителя инцидента.
  • Связь алерта с инцидентом.
  • Удаление связи алерта с инцидентом.
  • Создание дочернего инцидента.
  • Объединение инцидента с другими инцидентами.
  • Загрузка файла в инцидент.
  • Удаление файла из инцидента.

  В разделе История реагирований вы можете просмотреть действия по реагированию, выполненные вручную, а также действия, выполненные в рамках плейбука. Таблица содержит следующие столбцы:

  • Время. Время возникновения события.
  • Запущено. Имя пользователя, запустившего действие по реагированию.
  • События. Описание события.
  • Параметры реагирования. Параметры действия по реагированию, указанные в действии по реагированию.
  • Актив. Количество активов, для которых было запущено действие по реагированию. Вы можете перейти по ссылке с номером актива, чтобы просмотреть подробную информацию об активе.
  • Статус действия. Статус выполнения действия по реагированию. В этом столбце могут отображаться следующие значения:
    • Ожидание подтверждения – действие по реагированию ожидает подтверждения для запуска.
    • Запущено – действие по реагированию выполняется.
    • Успешно – действие по реагированию завершено без ошибок или предупреждений.
    • Предупреждение – действие по реагированию завершено с предупреждениями.
    • Ошибка – действие по реагированию завершено с ошибками.
    • Прервано – действие по реагированию завершено, так как пользователь прервал выполнение.
    • Истекло время подтверждения – действие по реагированию завершено, так как время подтверждения для запуска истекло.
    • Отклонено – действие по реагированию завершено, так как пользователь отклонил запуск.
  • Плейбук. Название плейбука, в котором было запущено действие по реагированию. Вы можете перейти по ссылке, чтобы просмотреть подробную информацию о плейбуке.
  • Действие по реагированию. Имя выполненного действия по реагированию.
  • Тип актива. Тип актива, для которого запускается действие по реагированию. Возможные значения: Устройство или Пользователь.
  • Активы тенанта. Тенант, являющийся владельцем актива, для которого было запущено действие по реагированию.
• Журнал трудозатрат

  В разделе Журнал трудозатрат вы можете просмотреть трудозатраты аналитиков на работу с инцидентами.

  Раздел позволяем управлять вашими трудозатратами. Вы не можете изменять или удалять трудозатраты, добавленные другими аналитиками.

  Нажав на ссылку в столбце Данные, вы можете просмотреть и изменить свои трудозатраты.

• Комментарии

  В разделе Комментарии вы можете оставлять комментарии, связанные с инцидентом. Например, вы можете написать комментарий о результатах расследования или при изменении свойств инцидента, таких как исполнитель или статус инцидента.

  Чтобы сохранить комментарий, нажмите на клавишу Enter. Чтобы начать новую строку, нажмите на клавиши Shift + Enter. Чтобы изменить или удалить свой комментарий, используйте кнопки в правом верхнем углу.

  Вы можете редактировать и удалять собственные комментарии только в течение определенного промежутка времени после того, как оставите их. По умолчанию задан период в 15 минут.

  Если вы хотите изменить этот промежуток, выполните следующую команду на хосте администратора:

  k0s kubectl -n irp set env deploy/comment -c comment OSMP_COMMENT_LOCK_AFTER_DURATION=Nx

  где N – промежуток времени, а x – единица измерения: h (часы) или m (минуты).

  Комментарии других пользователей невозможно изменить или удалить. Для возможности оставлять комментарии требуется право на Запись в функциональной области Алерты и инциденты.