تتناول هذه المقالة كيفية استخدام صفحة قصة الكشف والاستجابة لتحليل القصص للتهديدات المحتملة في حسابك.
يمكنك النقر على قصة في مشغل قصص القصص للتعمق والتحقيق في التفاصيل في صفحة قصة الكشف والاستجابة. تحتوي هذه الصفحة على نظرة عامة على القصة وملخص للقصص ذات الصلة. تحتوي النظرة العامة على عدد من الويدجتات التي تساعدك على تقييم التهديد المحتمل المحدد بواسطة محركات XOps، بينما يساعدك ملخص القصص ذات الصلة على وضع القصة في سياق أوسع للتحليل.
يتضمن التعمق في القصص مشغلًا يتيح لك إنشاء وصف للقصة بلغة طبيعية يتم إنشاؤه بواسطة الذكاء الاصطناعي، مما يوفر سياق غني ويساعدك على تقييم القصة بسرعة. يتم إنشاء ملخص القصة ديناميكيًا ليعكس الحالة الحالية للقصة. إذا تم تحديث القصة بمعلومات جديدة، يمكنك إعادة إنشاء الملخص ليعكس التغييرات.
- يتم توليد ملخص القصة بالذكاء الاصطناعي حسب الطلب بواسطة المسؤول
لتأمين نقل البيانات أثناء إرسال بيانات القصة إلى خدمات الذكاء الاصطناعي التابعة لجهات خارجية، يستخدم Cato الرموز لضمان بقاء جميع البيانات الحساسة في منصة XOps الخاصة بـ Cato. يتضمن ذلك استبدال المعلومات الحساسة بمؤشرات فريدة، أو «رموز»، مما يجعل البيانات بلا معنى للكيانات غير المصرح لها. لا يتم كشف البيانات الحساسة أبدًا إلى خدمات الجهات الخارجية. هذا النهج يضمن سرية تفاصيل القصة، مما يتماشى مع التزامنا بمعايير خصوصية البيانات والأمان القوية.
ملاحظة
ملاحظة: بسبب القيود المتعلقة بالذكاء الاصطناعي التوليدي، قد تحتوي المعلومات المقدمة في ملخصات القصص على أحيانًا على أخطاء.
تتضمن قصة الكشف والاستجابة ويدجتات لتقييم التهديد المحدد. داخل القصة، يمكنك مراجعة التنبيهات ذات الصلة والأدلة الداعمة مثل العمليات والملفات وقيم السجل والمهام المجدولة ونشاط الشبكة. يتم تقديم هذه الأدلة في أحد الأشكال التالية:
-
شجرة عمليات زمنية تقدم في سياق تنبيه محدد. يساعد هذا في فهم تسلسل الأحداث التي بدت مشبوهة وأثارت التنبيه.
ملاحظة: قد يكون هذا غير متوفر في بعض القصص بسبب مشاكل في اتصال API.
- جدول الأدلة الذي يقدم نظرة عامة على الأدلة الخاصة بالقصة. يساعد هذا في تقييم مدى انتشار الأنشطة الخبيثة أو المشبوهة على جهاز النقطة النهائية.
هذه هي ويدجتات نظرة عامة على القصة:
ملاحظة
ملاحظة: ليس كل ويدجت موجود في كل قصة. تعتمد الويدجتات الموجودة في كل قصة على نوع القصة والبيانات المتاحة.
| الاسم | الوصف | ||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| ملخص القصة |
تُظهر النظرة العامة ملخصًا للمعلومات الأساسية حول القصة، بما في ذلك:
استخدم القائمة المنسدلة الإجراءات واختر إدارة القصة لتغيير إعدادات القصة مثل حكم المحلل، حدة المحلل، الحالة، والتصنيف. تُوفر علامة التبويب القصص ذات الصلة سياقًا للقصة التي تقوم بالتحقيق فيها من خلال السماح لك سريعًا بمراجعة القصص التي لها نفس المصدر والقصص التي لها خصائص مماثلة تتضمن مصادر مختلفة على شبكتك. |
||||||||||||||||||||||||||||
| الجدول الزمني للقصة | يعرض الجدول الزمني للقصة، مثل التغييرات التي تم إجراؤها على حكم القصة وحدتها، ومتى تم تحديد أهداف جديدة تتعلق بالقصة | ||||||||||||||||||||||||||||
| التفاصيل |
المعلومات الرئيسية لتحليل القصة، بما في ذلك وصف التهديد، وتقنيات ATT&CK® لـ MITRE التي تم تحديدها للتهديد. تشمل التفاصيل الأخرى:
للمزيد حول إطار عمل ATT&CK® لـ MITRE، انظر استخدام لوحة معلومات ATT&CK® لـ MITRE.
|
||||||||||||||||||||||||||||
| الكيانات | الكيانات التي حدثت فيها القصص. قد تكون هذه الكيانات مستخدمين، مواقع، مخازن بيانات، تطبيقات، إلخ. | ||||||||||||||||||||||||||||
| التنبيهات/الحوادث/الاكتشافات |
يعرض تفاصيل للتنبيهات المتعلقة بالقصة.
هذه هي الأعمدة الموجودة في الجدول:
|
||||||||||||||||||||||||||||
| أدلة |
يجمّع تفاصيل لكل العمليات والملفات وقيم التسجيل المحددة في الأدلة للقصص المختلفة للتنبيهات. بعض الأعمدة في جدول الأدلة مشتركة بين جميع أنواع الأدلة، وبعضها خاص لكل نوع. هذه هي الأعمدة التي تظهر لجميع أنواع الأدلة:
هذه هي الأعمدة الخاصة بكل نوع من أنواع الأدلة:
|
||||||||||||||||||||||||||||
| موقع جغرافي للهجوم | يعرض الموقع الجغرافي للمصادر داخل شبكتك (المواقع البرتقالية) والمصادر الخارجية (المواقع الحمراء) المتعلقة بالتهديد. الأسهم التي تربط المصادر تشير إلى اتجاه الحركة | ||||||||||||||||||||||||||||
| إجراءات الهدف |
الأحداث المتعلقة بكل هدف، بما في ذلك المعلومات التالية:
|
||||||||||||||||||||||||||||
| توزيع الهجوم |
توزيع الوقت للتدفقات المتعلقة بالهجوم.
|
||||||||||||||||||||||||||||
| الأهداف |
يعرض البيانات للمصادر المحتملة الخبيثة خارج موقع شبكتك المتعلقة بالقصة.
|
||||||||||||||||||||||||||||
| الأنماط المتعلقة بالهجوم |
يعرض بيانات لعينة تمثيلية من الأحداث المتعلقة بالهجوم.
|
||||||||||||||||||||||||||||
|
أحداث تسجيل الدخول (يتطلب هذا الواجهة توصيل معرف Microsoft Entra) |
الرسوم البيانية حسب تفصيل البيانات من أحداث تسجيل الدخول للمستخدم من يوم التنبيه بالإضافة إلى اليومين السابقين. استخدم القائمة المنسدلة لاختيار نوع البيانات المعروضة على الرسوم البيانية. هذه هي الخيارات:
|
||||||||||||||||||||||||||||
|
أحداث تسجيل الدخول على المستخدم (يتطلب هذا المكون الإضافي موصل Microsoft Entra ID) |
يُظهر البيانات من أحداث تسجيل الدخول الخاصة بالمستخدم من يوم التنبيه واليومين السابقين. هذه هي الأعمدة في الجدول:
|
يوفر ملخص القصص ذات الصلة سياقًا للقصة التي تحقق فيها من خلال السماح لك بمراجعة القصص بسرعة مع نفس المصدر والقصص ذات الخصائص المماثلة التي تتضمن مصادر مختلفة على شبكتك. يعرض الملخص التفاصيل الرئيسية لكل قصة ذات صلة، ويسمح لك بسهولة فتح لوحة عمل القصص المصفاة مسبقًا للقصص ذات الصلة أو صفحة قصة الكشف والاستجابة لقصة محددة ذات صلة.
هذه هي الجداول في ملخص القصص ذات الصلة:
- يسمح لك جدول أفضل القصص المشابهة برؤية سريعة إذا تم إشراك مصادر أخرى في شبكتك في قصص ذات خصائص مشابهة لهذه القصة التي تحقق فيها، مثل نفس المؤشر أو الهدف. يُظهر هذا الجدول ما يصل إلى أعلى 5 قصص مشابهة حسب درجة تشابه الأهداف. الجدول غير مقيد بفترة زمنية محددة.
- يُظهر جدول القصص على المصدر جميع القصص التي تم إنشاؤها بواسطة المصدر في هذه القصة ضمن النطاق الزمني المحدد. النطاق الزمني الافتراضي هو آخر أسبوعين. هذا يتيح لك تقييم السياق الأوسع للنشاط لهذا المصدر. على سبيل المثال، يمكن لهذا المساعدة في تحديد ما إذا كان السلوك في هذه القصة غير معتاد أو نمطي لهذا المصدر المحدد.
يمكن تنفيذ الإجراءات التالية في كلا الجدولين:
- انقر فوق عرض في لوحة العمل لفتح لوحة عمل القصص المصفاة مسبقًا لعرض القصص في الجدول
- انقر في صف القصة لفتح صفحة قصة الكشف والاستجابة لتلك القصة
هذه هي الأعمدة في جداول القصص ذات الصلة:
- وقت الإنشاء - وقت إنشاء القصة
- آخر تحديث - وقت آخر تحديث للقصة، مثل هدف جديد أو تغيير الحكم
-
المؤشر - مؤشر الهجوم للقصة. للمزيد عن المؤشرات، انظر استخدام كتالوج المؤشرات
- انقر على
لفتح صفحة قصة الاكتشاف والاستجابة لهذه القصة في علامة تبويب جديدة
- انقر على
لمزيد من المعلومات حول الإشارة
- انقر على
- المصدر - عنوان IP، اسم الجهاز، أو مستخدم SDP على شبكتك مشارك في القصة
- تشابه الأهداف (للأعلى القصص المشابهة فقط) - مستوى تشابه الأهداف المشتركة مع القصة التي يتم التحقيق فيها، كما تم حسابه بواسطة نموذج تعلم الآلة (مشار إليه بواسطة نسبة مئوية)
- الأهداف المشتركة (للأعلى القصص المشابهة فقط) - عناوين URL أو IP للأهداف المشتركة مع القصة التي يتم التحقيق فيها
- الأهمية - تحليل المخاطر الخاص بـ Cato للقصة (القيم من 1 (خطر منخفض) - 10 (خطر مرتفع))
-
حالة القصة - القيم تشمل:
- مفتوحة - تم إنشاء القصة ولم تُحل
- معلقة العميل - تم إرسال القصة إلى العميل وتنتظر الرد منهم
- معلقة المحلل - تنتظر المزيد من المعلومات من محللي الأمن
- مغلقة - أغلق محللو الأمن القصة
- أعيد فتحها - اكتشف XOps منتجون مرورًا جديدًا يتطابق مع قصة مغلقة، وأعادوا فتح القصة تلقائيًا لتمكين مراجعة إضافية. يتم إعادة فتح القصص للمرور المكتشف بعد 12 ساعة أو أكثر بعد إغلاق القصة لأول مرة. في غضون 12 ساعة لا يتم إعادة فتح القصة للسماح بالتعامل مع القصة من خلال التخفيف أو التهدئة
- حكم المحلل - الحكم المعين للقصة من قبل المحلل
- تصنيف المحلل - تصنيف مفصل لنوع التهديد كما تم تعريفه بواسطة المحلل
لا توجد تعليقات
الرجاء تسجيل الدخول لترك تعليق.