Просмотр деталей алерта

Развернуть все | Свернуть все

Детали алерта – это страница интерфейса, содержащая все сведения, связанные с алертом, включая свойства алерта.

Чтобы просмотреть детали алерта:

1. В главном меню выберите Мониторинг и отчеты → Алерты.
2. Если в Kaspersky Security Center Cloud Console интегрированы как Kaspersky EDR Optimum, так и Kaspersky EDR Expert, раздел Алерты имеет две вкладки. Перейдите на вкладку Expert. В противном случае, пропустите этот шаг.
3. В таблице алертов нажмите на идентификатор требуемого алерта.

Отобразятся детали алерта.

Панель инструментов в верхней части раздела деталей алерта позволяет выполнять следующие действия:

• Назначить алерт аналитику
• Изменить статус алерта
• Связать алерт с инцидентом
• Отменить связь алерта с инцидентом

В деталях алерта содержатся следующие разделы:

• Общая информация.

  Раздел общей информации содержит следующие свойства алерта:

  • Уровень важности. Возможные значения: Низкий, Средний, Высокий. Уровень важности алерта показывает, какое влияние этот алерт может оказать на безопасность устройств и корпоративной локальной сети на основе опыта "Лаборатории Касперского".
  • Правила. Правила IOC или правила IOA, сработавшие для данного алерта.
  • Время регистрации. Дата и время добавления алерта в таблицу алертов.
  • Первое событие. Дата и время возникновения первого события, связанного с алертом.
  • Последнее событие. Дата и время возникновения последнего события, связанного с алертом.
  • Технология. Технология, с помощью которой обнаружен алерт.
  • Источник обнаружения. Приложение, получившее данные телеметрии.
  • Тактика MITRE. Одна или несколько тактик, обнаруженных в алерте. Тактики определены в базе знаний MITRE ATT&CK.
  • Техника MITRE. Одна или несколько техник, обнаруженных в алерте. Техники определены в базе знаний MITRE ATT&CK.
  • Имя и идентификатор устройства. Имена и идентификаторы устройств, затронутых при алерте. По нажатию на значок с многоточием рядом с именем или идентификатором устройства можно открыть контекстное меню устройства. Это меню используется для получения дополнительных сведений об устройстве, например, для просмотра свойств устройства или поиска по имени или идентификатору устройства в разделе Поиск угроз за последние 24 часа.
  • Имя и идентификатор безопасности пользователя. Имена и идентификаторы безопасности пользователей, устройства или учетные записи которых были затронуты при алерте. По нажатию на значок с многоточием рядом с именем или идентификатором безопасности пользователя можно открыть контекстное меню пользователя. Это меню используется для получения дополнительных сведений об учетной записи пользователя, например, для поиска по имени или идентификатору безопасности пользователя в разделе Поиск угроз за последние 24 часа.
• Подробная информация

  Содержимое этого раздела зависит от типа алерта.

  Детали алерта IOA

  Раздел Сведения деталей алерта IOA можно использовать для отслеживания событий телеметрии, связанных с алертом.

  Доступные действия:

  • Экспортировать в файл. Нажмите на эту кнопку, чтобы сохранить таблицу в CSV-файл.
  • Запрос Поиск угроз. Нажмите на эту кнопку, чтобы открыть раздел Поиск угроз. В этом разделе вы можете определить условия поиска, например, найти все события, в которых было затронуто устройство.
  • Найти события в диапазоне +/- 10 минут. Нажмите на эту кнопку, чтобы просмотреть события в ИТ-инфраструктуре, произошедшие в интервале, который начинается за 10 минут до первого события в разделе Сведения в деталях алерта и завершается через 10 минут после последнего события.
  • Найти события за последние 24 часа. Нажмите на эту кнопку, чтобы просмотреть события в ИТ-инфраструктуре за 24 часа, предшествующих первому событию в разделе Сведения в деталях алерта.

  Детали алерта IOC

  В деталях алерта IOC в разделе Сведения отображаются объекты, обнаруженные в результате выполнения задачи Поиск IOC.

• Активы

  В разделе Активы можно просмотреть активы и пользователей, затронутых при алерте или участвующих в нем.

  Щелкнув по имени пользователя или устройства, можно выполнить следующие действия:

  • Выполнить поиск по имени пользователя или идентификатору устройства в разделе Поиск угроз за последние 24 часа.
  • Выполнить поиск по имени пользователя или идентификатору устройства среди других алертов.
  • Выполнить поиск по имени пользователя или идентификатору устройства среди других инцидентов.
  • Скопировать имя пользователя или устройства в буфер обмена.

  Вы также можете щелкнуть по имени устройства, чтобы перейти к свойствам устройства.

  Щелкнув по идентификатору безопасности пользователя или идентификатору устройства, можно выполнить следующие действия:

  • Выполнить поиск по идентификатору безопасности пользователя или идентификатору устройства в разделе Поиск угроз за последние 24 часа.
  • Выполнить поиск по идентификатору безопасности пользователя или идентификатору устройства среди других алертов.
  • Выполнить поиск по идентификатору безопасности пользователя или идентификатору устройства среди других инцидентов.
  • Скопировать идентификатор безопасности пользователя или идентификатор устройства в буфер обмена.

  Вы также можете щелкнуть по идентификатору устройства, чтобы перейти к свойствам устройства.

• Наблюдаемые объекты

  В разделе Наблюдаемые объекты можно просмотреть наблюдаемые объекты, связанные с алертом. Наблюдаемые объекты могут включать:

  • MD5-хеш
  • IP-адрес
  • Веб-адрес
  • Имя домена

  Щелкнув по ссылке в столбцах Значение или Данные, можно выполнить следующие действия:

  • Выполнить поиск наблюдаемого объекта в разделе Поиск угроз за последние 24 часа.
  • Выполнить поиск наблюдаемого объекта на Kaspersky Threat Intelligence Portal (открывается на новой вкладке браузера).
  • Выполнить поиск наблюдаемого объекта или данных среди других алертов.
  • Выполнить поиск наблюдаемого объекта или данных среди других инцидентов.
  • Скопировать наблюдаемый объект или данные в буфер обмена.
• Похожие закрытые алерты

  В разделе Похожие закрытые алерты можно просмотреть список закрытых алертов, которые затрагивали те же артефакты, что и текущее алерт. Затронутые артефакты включают наблюдаемые объекты и затронутые устройства. Похожие закрытые алерты могут помочь при расследовании текущего алерта.

  Их список позволит оценить степень сходства текущего алерта с другими. Сходство рассчитывается следующим образом:

  Сходство = M / T * 100

  Где M – это количество совпадающих артефактов в текущем и сравниваемом алерте, а T – это общее количество артефактов в текущем алерте.

  Если сходство составляет 100%, текущий алерт полностью совпадает со сравниваемым алертом. Если сходство составляет 0%, текущий и сравниваемый алерт полностью различаются. Алерты со сходством, равным 0%, не включаются в список.

  Рассчитанное значение округляется до ближайшего целого числа. Если сходство составляет от 0% до 1%, это значение не округляется до 0%. В этом случае отображается значение "менее 1%".

  Нажмите на идентификатор алерта, чтобы просмотреть детали алерта.

  Настройка списка похожих закрытых алертов

  Вы можете настроить таблицу, выполнив следующие действия:

  • Отфильтруйте алерты, выбрав период, в течение которого были обновлены алерты. По умолчанию список содержит алерты, обновленные за последние 30 дней.
  • Щелкните значок Настройка столбцов () и выберите, какие столбцы и в каком порядке будут отображаться.
  • Щелкните значок Фильтр () и выберите и настройте фильтры, которые требуется применить. Если вы выбрали несколько фильтров, они применяются одновременно, как объединенные логическим оператором И.
  • Щелкните по заголовку столбца и выберите параметры сортировки. Вы можете отсортировать алерты в порядке возрастания или убывания.

• Похожие инциденты

  В разделе Похожие инциденты можно просмотреть список инцидентов, которые затрагивали те же артефакты, что и текущий алерт. Затронутые артефакты включают наблюдаемые объекты и затронутые устройства. Похожие инциденты могут помочь определить, связан ли текущий алерт с существующим инцидентом.

  Их список позволит оценить степень сходства текущего алерта с инцидентами. Сходство рассчитывается следующим образом:

  Сходство = M / T * 100

  Где M – это количество совпадающих артефактов в текущем алерте и сравниваемом инциденте, а T – это общее количество артефактов в текущем алерте.

  Если сходство составляет 100%, текущий алерт полностью совпадает со сравниваемым инцидентом. Если сходство составляет 0%, текущий алерт и сравниваемый инцидент полностью различаются. Инциденты со сходством, равным 0%, не включаются в список.

  Рассчитанное значение округляется до ближайшего целого числа. Если сходство составляет от 0% до 1%, это значение не округляется до 0%. В этом случае отображается значение "менее 1%".

  По щелчку на идентификаторе инцидента открывается информация об инциденте.

  Настройка списка похожих инцидентов

  Вы можете настроить таблицу, выполнив следующие действия:

  • Отфильтруйте инциденты, выбрав период, в течение которого были обновлены инциденты. По умолчанию список содержит инциденты, обновленные за последние 30 дней.
  • Щелкните значок Настройка столбцов () и выберите, какие столбцы и в каком порядке будут отображаться.
  • Щелкните значок Фильтр () и выберите и настройте фильтры, которые требуется применить. Если вы выбрали несколько фильтров, они применяются одновременно, как объединенные логическим оператором И.
  • Щелкните по заголовку столбца и выберите параметры сортировки. Вы можете отсортировать инциденты в порядке возрастания или убывания.
• Комментарии

  В разделе Комментарии можно добавить комментарии, относящиеся к алерту. Например, вы можете добавить комментарий о результатах расследования или об изменении свойств алерта при смене ответственного за алерт или статуса алерта.

  Вы можете редактировать и удалять собственные комментарии. Комментарии других пользователей изменять и удалять нельзя.

  Чтобы сохранить комментарий, нажмите на клавишу Enter. Чтобы начать новую строку, нажмите комбинацию клавиш Shift + Enter. Чтобы изменить или удалить свой комментарий, используйте кнопки в правом верхнем углу.

  Право Запись в функциональной области Алерты и инциденты необходимо чтобы оставлять комментарии.

• History

  В разделе История можно отслеживать следующие изменения алерта как рабочего элемента:

  • Изменение статуса алерта
  • Смена ответственного за алерт
  • Связь алерта с инцидентом
  • Отмена связи алерта с инцидентом