Эта статья описывает, как создать отчеты о расследованиях безопасности Cato XOps, которые выделяют истории расследований XOps, обобщают данные о событиях безопасности и предоставляют аналитические данные о безопасности вашей учетной записи.
Примечание: XOps — это объединенный аналитический слой для безопасности и операций от Cato, предлагающий аналитику и руководство по устранению проблем. XOps заменил XDR, для получения дополнительной информации, см. XOps FAQ.
Обзор
Cato предоставляет шаблоны Предопределенного Отчета, которые суммируют данные, связанные с историями XOps (ранее XDR), которые были исследованы для вашей учетной записи. Это позволяет вам создавать отчет XOps, который предоставляет обзор всех исследований историй, а также разбивки, фокусирующиеся на самых важных, таких как вредоносные и подозрительные истории.
Создайте шаблон для повторяющегося или одноразового отчета и определите временной диапазон отчета. По умолчанию шаблон Предопределенного Отчета для отчета XOps Исследований показывает данные историй за прошедшую неделю.
Больше о работе с отчетами см. Cato Reports.
Известные Ограничения услуг
Отчеты о расследованиях безопасности XOps не поддерживают фильтрацию по сайтам или пользователям SDP. Если были настроены фильтры, они не будут отражены в отчете, и он покажет данные для всех сайтов и пользователей SDP.
Создание повторяющегося отчета о расследованиях безопасности XOps
Create a new recurring report by defining the Filters for the items included in the report, as well as the Schedule which defines how often the report is generated - every two minutes, daily, weekly, or monthly. Generated reports are stored in the Cato Cloud, and they can be automatically emailed or downloaded. The Schedule also defines the time range that is covered by each report.
You can select a mailing list of email addresses for the recipients, which can include Cato Management Application admins, and external users.
For more information about Mailing Lists, see Working with Mailing Lists.
To create a recurring report:
From the navigation pane, select Home > Reports.
From the Catalog tab, find and select the template you want to use to generate the report.
Click Generate > Create Schedule.
Enter a Report Name.
(Optional) In Filters, select specific sites or users for the predefined report.
By default, the predefined report includes all sites and users.
Define when the report will be generated and sent:
Select the Frequency.
For Weekly and Monthly scheduled reports, in Every select the day that the report is sent.
Select the timezone.
Select the export format: PDF or CSV.
In Subscriptions, select the Mailing List that receives the report.
You can click New to create a new mailing list.
Click Save Schedule. The report is added to the Saved Reports tab.
Generating a Recurring Report On Demand
Recurring reports are automatically generated based on their schedule settings. For example, a weekly report configured for Monday, is generated every Monday. You can also choose to manually generate a recurring report on demand, in which case the generated report uses the defined time range based on the current day. If an admin manually generates a weekly report on a Tuesday, the time range for the report is the previous 7 days starting from that Tuesday, regardless of the starting day of the recurring report. For more information about the time range of recurring reports, see Cato Reports.
To generate a recurring report on demand:
From the navigation pane, select Home > Reports.
From the Saved Reports tab, find the recurring report and click Generate Now.
From the Generated PDFs tab, find the report and click Download.
Создание одноразового отчета XOps Investigations
Вы можете создать одноразовый отчет на основе шаблона XOps безопасности. Определите Фильтры для элементов, включенных в отчет.
To create a one-time report:
From the navigation pane, select Home > Reports.
From the Catalog tab, select the template you want to use to generate the report.
Select Generate > Generate Now.
Enter a Report Name.
Define the relevant Filters for your report.
These are specific to the report type.Define the Timeframe and Timezone of the report.
Select the Format: PDF or CSV.
Click Generate.
The report is generated, and you can download it from the Generated tab.
Понимание отчета о расследованиях безопасности XOps
Это разделы в отчете о расследованиях безопасности XOps:
Исполнительный обзор
Общие итоги событий и историй за выбранный диапазон времени, включая:
Все События: Общее количество событий для аккаунта
События Безопасности: Количество событий, сгенерированных движками безопасности Cato, активированными для аккаунта
Исследованные истории: Общее количество историй Обнаружения и Реагирования, которые были исследованы и получили вердикт в Рабочей области Историй
Подозрительные и вредоносные истории: Количество историй, которые были исследованы и по которым был вынесен вердикт Подозрительно или Вредоносные в Рабочей области Историй
Исследованные истории по вердикту: Разбивка по вердикту всех исследованных историй
Исследованные истории по времени: График, показывающий количество исследованных историй по времени, включая разбивку по типу угрозы (например: Подозрительная активность, Репутация, Нарушение политики, Вредоносное ПО)
Вредоносные и Подозрительные истории
Показывает информацию об историях, которые получили вердикт Вредоносный или Подозрительный, включая:
Вредоносные и Подозрительные истории по типу угрозы: Количество Вредоносных или Подозрительных историй по типу угрозы (например, Подозрительная активность, Репутация, Нарушение политики, Вредоносное ПО)
Вредоносные и Подозрительные истории по сайту: Количество Вредоносных или Подозрительных историй по сайту с трафиком, который сгенерировал историю
Вредоносные истории по серьезности: График, показывающий количество Вредоносных историй по степени серьезности (Высокая, Средняя, Низкая)
Вредоносные и Подозрительные истории по расположению: График, показывающий количество Вредоносных или Подозрительных историй по расположению угрозы. Расположения основаны на целях и источниках в истории, и, следовательно, одна история может иметь несколько мест угроз.
Общая безопасность
Топ заблокированных приложений Интернет-файрволом: Топ приложений, заблокированных Интернет-файрволом, с указанием количества обращений
Топ заблокированных категорий Интернет-файрволом: Топ категорий, заблокированных Интернет-файрволом, с указанием количества обращений
Топ Заблокированных Приложений Межсетевым Экраном WAN: Топ приложений, заблокированных межсетевым экраном WAN, с количеством срабатываний
Топ Заблокированных Категорий Межсетевым Экраном WAN: Топ категорий, заблокированных межсетевым экраном WAN, с количеством срабатываний
События IPS по Уровню Риска: График, показывающий разбивку событий блокировки IPS по уровню риска
События Блокировки Антивирусом График, показывающий все блокировки для услуги антивируса за период отчета
Аудит Расследований
Этот раздел позволяет быстро просмотреть все расследования историй XOps, которые получили вердикт в течение временного диапазона отчета. Информация в таблице аудита отражает состояние расследований на момент генерации отчета.
Это столбцы таблицы:
Ссылка на историю: Нажмите, чтобы открыть страницу детального разбора истории в Рабочей области Историй
Дата создания: Дата, когда история была создана
Индикация: Индикатор атаки для истории. Чтобы узнать больше об Индикаторах, см. Использование каталога индикаторов
Тип: Движок XOps, который создал историю.
Классификация типа угрозы. Например: Подозрительная Цель, C&C, Подозрительное Расширение браузера, Сканер
Вердикт для истории, определенный аналитиком
Серьезность истории, определенная аналитиком (возможные значения: Низкий, Средний, Высокий)
Сайт: Сайт в вашей сети с трафиком, который сгенерировал историю.
Источник: IP-адрес, имя устройства или пользователь SDP в вашей сети, участвующий в истории
Статус: Статус расследования истории. Возможные значения включают: Открыто, Закрыто, Ожидает информации (включая количество дней в ожидании)