Эта статья рассказывает о том, как вы можете использовать Рабочую область Историй для проверки историй на потенциальные Угрозы в вашей учетной записи.
Обзор Историй по Обнаружению и Реакции
Cato Обнаружение и Реакция представляет собой дополнительный уровень безопасности, который создает истории об угрозах. Когда продвинутые движки корреляции Cato анализируют данные о трафике и находят соответствие возможной угрозе, они создают историю. История содержит данные из потоков трафика с общими свойствами, относящимися к одной и той же угрозе. Страница Рабочей области Историй показывает детали каждой истории, чтобы помочь понять и анализировать угрозы при их изучении. Вы можете сортировать и фильтровать истории, чтобы найти наиболее важные потенциальные атаки, а затем углубиться в детали каждой истории для их дальнейшего изучения.
Вот примеры данных, которые может включать история:
Источники в вашей сети
Внешние цели сетевого трафика
Индикация и описание угрозы
Соответствующие геолокации
Связанные приложения
Соответствующие события
Популярность цели согласно внутренним данным Cato
Оценка вредоносности цели согласно моделям машинного обучения Cato
Требуемые Лицензии
Дополнительные лицензии могут потребоваться. Для получения дополнительной информации см. Добро пожаловать в службу Cato XOps
Показ страницы Рабочей области Историй
Страница Рабочей области Историй показывает сводку XOps историй для вашей учетной записи.
To view the Stories Workbench page:
From the navigation menu, click Home > Stories.
Select the Workbench tab.
Понимание столбцов Историй
Столбец | Описание |
|---|---|
Индикация | Индикатор атаки, связанный с историей. Для получения более подробной информации, см. Использование каталога признаков |
Критичность | Оценка анализа риска Cato для истории, от 1 до 10 |
Источник | Устройство, пользователь или другая сущность вашей сети, участвующая в истории |
Тип производителя | Категория производителя, которая создала сигнал, связанный с историей. |
Имя производителя | Имя продукта, интеграции или безопасности обработчика, который создал данные истории |
Создано | Дата и время создания истории |
Обновлено | Дата и время последнего обновления истории |
Случаи | Количество раз, когда возникала проблема, включая повторения после временного решения. |
Имя ссылки | Имя WAN-канала, связанного с исходным устройством или трафиком в истории |
Провайдер (ISP) | Поставщик интернет-услуг (ISP), связанный с каналом сети в истории |
Статус расследования | Текущая стадия расследования истории |
Статус |
|
Метки | Метка, назначенная Cato для истории, чтобы помочь с её категоризацией и фильтрацией |
Отключено | Указывает, отключена ли история в Рабочей области Историй |
ID | Уникальный ID Cato для этой истории |
Первый сигнал | Дата и время первого сигнала, связанного с историей |
Идентификатор индикации | Уникальный идентификатор, используемый движками XOps Cato для ссылки на конкретный индикатор |
Серьезность | Серьезность, назначенная оригинальному сигналу производителем или поставщиком |
Производитель | Производитель, который создал оригинальный сигнал, связанный с историей |
IP адрес источника | IP-адрес исходного участника, вовлеченного в историю |
Смягчение последствий | Действие по смягчению последствий, связанное с историей |
ID корреляции | Идентификатор, используемый для связи и отслеживания жизненного цикла историй XOps через ITSM платформы |
Последний комментарий | Последний добавленный комментарий к истории |
Группировать Истории
Чтобы обеспечить контекст при просмотре историй, вы можете показывать истории в группах, определённых деталями, включая Источник, Индикацию, Статус и Тип. Например, вы можете показать вместе все истории, связанные с конкретным IP-адресом источника или все истории о киберсквоттинге. Это даёт вам более широкую перспективу при анализе историй и может помочь вам прийти к более быстрым и точным выводам.
Каждая группа выделяет уровни критичности для историй в этой группе, включая количество историй с высокой, средней и низкой критичностью.
Чтобы сгруппировать истории в Рабочей области Историй:
From the navigation menu, click Home > Stories.
Выберите вкладку Рабочее место.
В раскрывающемся меню Группировка по выберите необходимый критерий.
Истории отображаются в расширяемых группах.
Фильтрация Историй
Существуют три способа фильтрации данных в Рабочей области Историй:
Выбрать предварительно установленный фильтр
Автоматически обновлять фильтр выбраным элементом
Вручную настроить фильтр
Предварительно Установленные Фильтры
Вы можете выбрать предварительно установленный фильтр, чтобы сосредоточиться либо на историях по Сетевым Операциям, либо на историях по Операциям Безопасности. Когда вы выбираете предварительно установленный фильтр, по умолчанию отображаются столбцы истории, наиболее соответствующие этому типу истории.
Чтобы выбрать предварительно установленные фильтры:
В строке фильтра нажмите на раскрывающееся меню Выбор пресетов.
Выберите предустановку. Рабочая область Историй обновляется, чтобы отображать истории, которые соответствуют пресету.
Автоматическая Фильтрация Элемента
Когда вы наводите указатель на элемент или поле, где доступна опция фильтра, появляется кнопка 
. Нажмите на значок, чтобы показать варианты фильтрации:
Добавить в фильтр - Добавляет элемент в фильтр, и Рабочая область Историй теперь показывает только те истории, которые включают этот элемент. Например, если вы фильтруете по специфической оценке критичности, страница показывает только истории с этой критичностью.
Исключить из фильтра - Фильтр обновляется, чтобы исключить этот элемент, и Рабочая область Историй теперь показывает только те истории, которые не включают этот элемент.
Вы можете продолжать добавлять элементы в фильтр, нажмите снова, чтобы обновить фильтр и углубиться в изучении.
Выбор Временного Интервала
Время по умолчанию для Рабочей области Историй - предыдущие два дня. Вы можете выбрать другой временной интервал, чтобы показать более длительный или более короткий период. Для получения дополнительной информации, см. Настройка фильтра временного диапазона.
Максимальный временной диапазон для Рабочей области Историй составляет 90 дней.
Ручная Настройка Фильтра
Вы можете вручную настроить фильтр историй для более глубокой детализации стори. После настройки фильтра он добавляется в строку фильтра истории, и страница автоматически обновляется, чтобы показать истории, соответствующие новому фильтру.
Чтобы создать фильтр:
В полосе фильтра нажмите на кнопку добавить.
Начните вводить или выберите Поле.
Выберите Оператор, который определяет связь между Полем и Значением для поиска.
Выберите Значение.
Нажмите Добавить фильтр. Фильтр добавляется в строку фильтра и Истории Рабочей области обновляется для показа историй, основанных на фильтрах.
Очистить Фильтр
Вы можете удалить каждый элемент в фильтре отдельно или очистить весь фильтр.
Чтобы очистить фильтры для Рабочей области Историй:
Чтобы очистить один фильтр, нажмите кнопку "удалить" рядом с фильтром.
Чтобы очистить все фильтры, кликните X в правом конце строки фильтра.