Цикл обнаружения
Как события читаются в находки и граф сущностей и как решения людей записываются обратно.
Legit AI- События и обнаружение
- Решения людей
- Ждёт одобрения
- Часть платформы
Каждый источник попадает в одну схему, legit.event.v1, со временем приёма самого сервера и проходит одно и то же обнаружение. Алерт связывает событие, совпавшие правила, актив, на котором это случилось, и индикаторы, которые в нём названы.
Запись обратно
Заголовок раздела «Запись обратно»- Подтвердить — задаёт статус и добавляет запись в хронологию алерта.
- Отклонить с причиной — причина обязательна, а отклонения учитываются в правиле, которое сработало, так что часто ошибающееся правило становится видно.
- Эскалировать — открывает расследование с этим алертом.
- Запросить реагирование — изоляция хоста, остановка процесса, карантин файла или блокировка адреса ждёт второго администратора или, если организация работает одна, свежего кода одного человека.
- Подавить шаблон — из отклонённого алерта, чтобы то же самое больше не открывало алерты; решение остаётся в журнале аудита.
Подробнее: Очередь алертов, Правила обнаружения, Изоляция и завершение процессов.
Что записывает сама платформа
Заголовок раздела «Что записывает сама платформа»То, что платформа выполнила, возвращается в тот же граф: результаты команд агенту, результаты шагов плейбука и индикаторы подписанных пакетов угроз. Что сделано, лежит рядом с тем, почему.