Расследования
Соберите связанные алерты на одной доске, проверьте гипотезы доказательствами и сохраните снимок, который можно показать и проверить позже.
Расследование — место, где работают с алертом, который оказался важным: алерты, относящиеся к одному делу, доказательства, рассуждения аналитиков и итог.
Как открыть
Заголовок раздела «Как открыть»- Эскалируйте алерт (E в очереди): по нему откроется расследование, если алерт ещё не входит ни в одно.
- Через Расследования → Новое расследование — с названием и приоритетом.
| Поле | Значения |
|---|---|
| Статус | open, investigating, contained, resolved, closed |
| Приоритет | от P1 (высший) до P4 |
| Владелец | Ответственный аналитик |
| Связанное | Алерты, доказательства и индикаторы компрометации |
У каждого расследования есть холст. Алерты, доказательства, индикаторы и заметки — это карточки; связи между ними говорят, как они соотносятся.
Предложения. Доска предлагает карточки и связи, которые подтверждают данные самих связанных алертов, — алерты на одном хосте, выстроенные по времени, — а вы принимаете верные.
Временная шкала. Карточки по времени их событий, в дорожках по типу или по хосту. Выделение интервала на шкале выделяет эти карточки на доске.
Пивоты. Карточка может спросить платформу, что ещё та знает о её предмете: сырые события, упоминающие хост или индикатор в пределах шести часов до и после алерта, или сканирования хеша файла. Ответ появляется на доске карточкой доказательства, связанной с исходной. Эту карточку пишет сама платформа — запрос, время выполнения, число строк и хеш строк, — поэтому её нельзя вписать из браузера.
Гипотезы. Заметки можно пометить как гипотезы. Матрица ACH (анализ конкурирующих гипотез) сопоставляет каждую гипотезу с каждым доказательством: связь supports считается согласующимся доказательством, связь contradicts — противоречащим. Гипотезы ранжируются по числу противоречащих доказательств: согласующееся обычно подходит к нескольким объяснениям, а противоречащее исключает одно.
Объяснение. Письменное изложение доски. Факты собирает платформа из карточек; модель ИИ только формулирует их, а без модели вы получаете сами факты.
Совместная работа
Заголовок раздела «Совместная работа»- Все участники расследования видят присутствие и изменения друг друга в реальном времени.
- У каждой карточки свои комментарии.
@имяуведомляет этого пользователя вашего тенанта — и только его — со ссылкой на карточку. - Любое изменение можно отменить и повторить. Удалённые карточки восстанавливаются; удаление и восстановление записываются в журнал аудита.
Снимок замораживает всю доску как канонический JSON с его SHA-256, автором и временем. Снимки никогда не редактируются и не удаляются. При открытии хеш пересчитывается, поэтому изменённый задним числом снимок это покажет. Снимок открывается только для чтения.