Cato Обнаружение и & Реакция – это новый уровень Безопасности, который создает Истории для Угроз. Когда продвинутые корреляционные движки Cato анализируют данные трафика и находят совпадение с потенциальной угрозой, они генерируют историю. История содержит данные из потоков трафика с общими свойствами, которые относятся к одной и той же угрозе. Рабочая область Историй показывает детали каждой истории, чтобы помочь вам понять и проанализировать угрозы. Вы можете сортировать и фильтровать истории, чтобы найти самые важные потенциальные атаки, а затем углубиться в историю для дальнейшего исследования деталей.
Примеры данных, которые может включать история:
-
Источники в вашей сети
-
Внешние цели сетевого трафика
-
Индикация и описание угрозы
-
Соответствующие геолокации
-
Связанные приложения
-
Соответствующие потоки трафика
-
Популярность цели согласно внутренним данным Cato
-
Оценка злонамеренности цели согласно алгоритмам анализа угроз Cato
Рабочая область Историй показывает сводку историй для потенциальных угроз в вашем аккаунте.
|
Столбец |
Описание |
|---|---|
|
ID |
Уникальный ID Cato для этой истории |
|
Создано |
Дата первого потока трафика для истории |
|
Обновлено |
Дата самого последнего потока трафика для истории |
|
Оценка риска |
Анализ риска Cato для истории (значения в диапазоне от 1 до 10) |
|
IoA |
Индикатор атаки для истории |
|
Источник |
IP-адрес или имя устройства в вашей сети, на которые повлияла история |
|
Тип |
|
|
Статус |
|
Чтобы предоставить контекст при просмотре историй, вы можете показать истории в группах, определяемых подробностями, включая Источник, Индикация, Статус и Тип. Например, вы можете показать все истории, связанные с определенным IP-адресом источника, или все истории о киберсквоттинге. Это дает вам более широкую перспективу при анализе историй и может помочь быстрее и точнее прийти к заключениям.
Каждая группа выделяет уровни критичности для историй в этой группе, включая количество историй с высокой, средней и низкой критичностью.
Существует два способа фильтрации данных в рабочей области Историй: автоматически обновлять фильтр с выбранным элементом или настроить фильтр вручную.
Когда вы наводите курсор на элемент или поле, где доступна опция фильтра, появляется кнопка . Нажмите значок, чтобы показать параметры фильтра:
-
Добавить в фильтр - добавляет элемент в фильтр, и рабочая область Историй теперь показывает только истории, которые включают этот элемент. Например, если вы фильтруете по конкретному уровню риска, на экране показываются только истории с этим уровнем риска.
-
Исключить из фильтра - обновляет фильтр, чтобы исключить этот элемент, и рабочая область Историй теперь показывает только истории, которые НЕ включают этот элемент.
Вы можете продолжать добавлять элементы в фильтр, нажмите ещё раз, чтобы обновить фильтр и углубить анализ.
Диапазон времени по умолчанию для рабочей области Историй — это предыдущие два дня. Вы можете выбрать другой диапазон времени, чтобы показать истории за более длинный или более короткий период. Для получения дополнительной информации см. Установка фильтра диапазона времени.
Максимальный диапазон дат для рабочей области Историй составляет 90 дней.
Вы можете вручную настроить фильтр историй для более детального анализа. После настройки фильтр добавляется в панель фильтров историй и экран автоматически обновляется, чтобы показать истории, соответствующие новому фильтру.
Чтобы создать фильтр:
-
В панели фильтров нажмите
.
-
Начните ввод или выберите Поле.
-
Выберите Оператор, который определяет отношение между Полем и Значением которого вы ищете.
-
Выберите Значение.
-
Нажмите Добавить фильтр. Фильтр добавляется в панель фильтров, и Рабочая область Историй обновляется для отображения историй на основе фильтров.
Вы можете удалить каждый элемент в фильтре отдельно или очистить весь фильтр.
Вы можете нажать на историю в Рабочей области Историй, чтобы углубиться и исследовать детали на другом экране. Этот экран содержит несколько виджетов, которые помогают вам оценить потенциальную угрозу. Существуют специализированные виджеты для анализа данных для историй Поиска угроз или Аномалий использования.
Это виджеты для истории Поиска угроз:
|
Элемент |
Имя |
Описание |
||||||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
1 |
Сводка историй |
Сводка основной информации о истории, включая:
|
||||||||||||||||||||||||||||||||
|
2 |
Отображает хронологию истории, такую как изменения в вердикте и степени серьезности истории, а также когда идентифицируются новые цели, связанные с историей |
|||||||||||||||||||||||||||||||||
|
3 |
Подробности |
Ключевая информация для анализа истории, включая описание угрозы, сигнатуры угроз Кейто, обнаруженные в соответствующем трафике, и техники MITRE ATT&CK®, идентифицированные для этой угрозы. Для получения дополнительной информации о фреймворке MITRE ATT&CK®, см. Работа с панелью управления MITRE ATT&CK®.
|
||||||||||||||||||||||||||||||||
|
4 |
Источник |
Основная информация об устройствах в вашей сети, подвергнутых угрозе |
||||||||||||||||||||||||||||||||
|
5 |
Геолокация атаки |
Показывает геолокацию источников в вашей сети (оранжевые местоположения) и внешних источников (красные местоположения), связанных с угрозой. Стрелки, соединяющие источники, указывают направление трафика |
||||||||||||||||||||||||||||||||
|
6 |
Распределение атак |
Временное распределение потоков, связанных с атакой.
|
||||||||||||||||||||||||||||||||
|
7 |
Цели |
Показывает данные для потенциально вредоносных источников за пределами вашего сайта сети, связанных с историей.
|
||||||||||||||||||||||||||||||||
|
8 |
Потоки, связанные с атакой |
Показывает данные для репрезентативной выборки потоков трафика, связанных с атакой.
|
Это виджеты для истории об аномальной активности использования:
|
Элемент |
Имя |
Описание |
|---|---|---|
|
1 |
Сводка историй |
Предоставляет сводку основной информации о истории, включая:
|
|
2 |
Ключевая информация для анализа истории, в том числе описание угрозы и сводка, а также идентифицированные техники MITRE ATT&CK® для данной угрозы. Для получения дополнительной информации о фреймворке MITRE ATT&CK®, см. Работа с панелью MITRE ATT&CK®.
|
|
|
3 |
Распределение аномалии |
График аномального поведения за последние 14 дней
|
|
4 |
Основные хосты |
Основные хосты, связанные с аномалией, с соответствующими деталями. Например, хост для аномалии в исходящем трафике отображается с количеством загрузок с него
|
|
5 |
Основные приложения |
Основные приложения, связанные с аномалией, с соответствующими деталями. Например, приложение для аномалии в исходящем трафике отображается с количеством загрузок из приложения
|
|
6 |
Основные Серверы/Назначения |
Основные серверы и назначения, связанные с аномалией, с соответствующими деталями. Например, сервер для аномалии в исходящем трафике отображается с количеством загрузок на сервер
|
0 комментариев
Войдите в службу, чтобы оставить комментарий.