Очередь алертов
Разбирайте алерты с клавиатуры — с причиной для каждого отклонения и сроком для каждого серьёзного алерта.
Каждый алерт, который поднимает платформа, попадает в Очередь алертов. У каждого есть доказательства (событие и совпадения правил за ним), техники MITRE ATT&CK, оценка риска от 0 до 100 и счётчик повторений того же сигнала.
Один алерт на сигнал, а не на событие
Заголовок раздела «Один алерт на сигнал, а не на событие»Если то же правило срабатывает на той же сущности в течение часа, растёт счётчик открытого алерта, а новый не открывается. Уязвимость, найденная на хосте, остаётся одним алертом, пока он открыт, сколько бы раз сканер ни сообщал о ней снова. После того как алерт решён или отклонён, следующее повторение открывает новый.
Статусы
Заголовок раздела «Статусы»Новые алерты приходят в статусе Open. Дальше они двигаются только так:
| Из | Можно перевести в |
|---|---|
| Open | In progress, Confirmed, Dismissed, Escalated, Resolved |
| In progress | Confirmed, Dismissed, Escalated, Resolved |
| Confirmed | Resolved, Escalated, Dismissed |
| Dismissed | Confirmed, Open |
| Escalated | Resolved, Confirmed |
| Resolved | — (окончательный) |
Каждое изменение записывается в собственный журнал алерта: кто и почему.
Для отклонения нужна причина. Выберите категорию — известный инструмент, согласованное сканирование, тестовая активность, слишком широкая логика правила или другое — и напишите предложение. Отклонения и подтверждения засчитываются сработавшему правилу, поэтому шумное правило видно в метриках правил.
Эскалация автоматически открывает расследование по алерту, если он ещё не связан ни с одним.
Клавиатура
Заголовок раздела «Клавиатура»| Клавиша | Действие |
|---|---|
| J / ↓, K / ↑ | Следующий / предыдущий алерт |
| C | Подтвердить как истинную атаку |
| D | Отклонить — открывает окно причины |
| E | Эскалировать в расследование |
| A | Назначить на себя |
| R | Запустить анализ ИИ заново |
| / | Поиск |
| Esc | Закрыть алерт |
Пока открыто окно, клавиши действуют только на него, а не на алерт за ним.
У серьёзных алертов есть срок разбора, отсчитываемый с момента появления алерта:
| Важность | Разобрать за |
|---|---|
| Critical | 4 часа |
| High | 24 часа |
| Medium | 72 часа |
| Low | 7 дней |
| Info | без срока |
Отсчёт останавливается, когда алерт решён или отклонён. Вкладка SLA нарушен показывает алерты с истёкшим сроком.
Команды и сохранённые представления
Заголовок раздела «Команды и сохранённые представления»Каждый алерт направляется команде по правилу, которое его подняло: Идентификация и доступ (аутентификация, Active Directory, lateral movement), Конечные точки и вредоносное ПО, Сеть и C2, Реагирование на вторжения (несанкционированный доступ на наблюдаемом сервере) или Общий SOC для остального. Команда вычисляется при чтении очереди, поэтому применяется и к старым алертам.
Набор фильтров можно сохранить как представление. Представления принадлежат вам, пока вы не поделитесь ими с тенантом; удалить их может только владелец.