本篇文章探讨如何使用 XDR 发现事件工具来查看您的账户中的潜在威胁事件。
检测与响应事件概览
Cato 检测与响应是一个额外的安全层，用于为威胁创建故事。 当Cato的高级关联引擎分析流量数据并匹配潜在威胁时，会生成一个事件。 事件包含与同一威胁相关的具有共同属性的流量数据。 故事工作台页面显示每个故事的详细信息，以帮助您理解和分析威胁。 您可以对故事进行排序和过滤，以寻找最重要的潜在攻击，然后深入调查故事的细节。
这些是事件可以包含的数据示例：
您网络中的来源
网络流量的外部目标
威胁的识别和描述
相关地理位置
相关应用程序
相关事件
根据Cato内部数据的目标受欢迎程度
根据 Cato 机器学习模型的目标恶意分数
需要许可证
可能需要额外的许可证。 有关更多信息，请参见 欢迎使用 Cato XOps 服务
事件仪表板页面显示
一旦您创建了连接器，故事将在故事工作台中可见。
查看事件仪表板页面：
从导航菜单中，单击主页 > 事件仪表板。
了解故事列
列 | 说明 |
|---|---|
指示 | 故事中攻击的指示。 有关指示的更多信息，请参阅 使用指示目录 |
严重程度 | Cato对事件的风险分析（值范围是1到10） |
来源 | 与事件相关的网络中的设备、用户或其他实体 |
生产者类型 | 生成与事件相关的信号的生产者类别。 |
生产者名称 | 生成事件数据的产品、集成或安全性引擎的名称 |
已创建 | 事件的创建日期和时间 |
已更新 | 事件最近更新的日期和时间 |
出现次数 | 问题发生的次数，包括暂时解决后的复发。 |
链接名称 | 与事件内的源设备或流量相关的WAN链路名称 |
提供商 (ISP) | 与故事中的网络链接相关的互联网服务提供商 |
调查状态 | 事件调查的当前阶段 |
访问令牌状态 |
|
标签 | Cato分配给事件的标签以帮助分类和过滤 |
已静音 | 指示事件是否在XDR发现事件中被静音 |
ID | 事件的唯一Cato ID |
首次信号 | 与事件相关的最早信号的日期和时间 |
指示 ID | Cato XOps引擎用来参考特定指示的唯一标识符 |
严重程度 | 生产者或供应商分配给原始信号的严重程度 |
供应商 | 生成与事件相关原始信号的供应商 |
源 IP | 与事件相关的源实体的IP地址 |
缓解措施 | 与事件相关的缓解措施操作 |
关联ID | 用于跨ITSM平台链接和跟踪XOps事件生命周期的标识符 |
最新评论 | 添加到事件中的最新评论 |
故事分组
为了在审查事件时提供背景，您可以按详细信息定义的分组显示事件，包括来源、指示、状态和类型。 例如，您可以一起显示与特定来源 IP 地址相关的所有事件或所有的网络恶意攻击事件。 这使您在分析事件时获得更广泛的视角，有助于您更快更准确地得出结论。
每个组都会突出显示该组中故事的关键级别，包括高、中、低关键性故事的数量。
在故事工作台中分组故事：
从导航菜单中，单击主页 > 事件仪表板。
从按组下拉菜单中选择所需的标准。
故事将以可展开的组显示。
筛选故事
在故事工作台中有三种方法可以筛选数据：
选择预设筛选器
自动更新筛选器以添加选定项目
手动配置筛选器
预设筛选器
您可以选择预设筛选器以聚焦于网络操作或安全操作故事。 选择预设筛选器后，故事类型最相关的故事列默认为显示。
选择预设筛选器：
在筛选栏中，点击选择预设下拉菜单。
选择预设。 故事工作台将更新以显示与预设相匹配的故事。
自动筛选项目
当您将鼠标悬停在具有过滤选项的项目或字段上时，按钮 
会出现。 点击图标以显示筛选选项：
添加到筛选器 - 将项目添加到筛选器，故事工作台现在仅显示包含此项目的故事。 例如，如果您根据特定关键性得分进行筛选，则页面只会显示具有该关键性的故事。
从筛选器中排除 - 更新筛选器以排除此项目，故事工作台现在仅显示不包含此项目的故事。
您可以继续向过滤器添加项目，再次单击 以更新过滤器并进一步细化。
选择时间范围
故事工作台的默认时间范围为前两天。 您可以选择不同的时间范围以显示更长或更短的时间段。 有关更多信息，请参见设置时间范围筛选器。
故事工作台的最大日期范围为90天。
手动配置筛选器
您可以手动配置故事筛选器以获得更大的粒度进行故事分析。 配置过滤器后，其将被添加到事件过滤器栏，页面会自动更新以显示符合新过滤器的事件。
创建筛选器：
在过滤栏中，点击添加按钮。
开始输入或选择字段。
选择操作符，它确定字段与您正在搜索的值之间的关系。
选择值。
点击添加筛选器。 过滤器将被添加到过滤器栏中，XDR 发现事件将更新以显示基于过滤器的事件。
清除筛选器
您可以单独移除筛选器中的每个项目，或清除整个筛选器。
清除故事工作台页面的筛选器：
要清除单个过滤器，请点击过滤器旁边的移除按钮。
要清除所有筛选器，请点击筛选栏右侧的X。