Jak odróżnić prawdziwy incydent od fałszywego alarmu?

Sprawdzając alert z tym, co wiesz, szybko i za każdym razem w tej samej kolejności. Zadaj cztery pytania: czy urządzenie i jego właściciel są znani, czy to zachowanie ma uzasadnienie biznesowe, czy cel lub konto są znajome i czy na tym samym hoście lub w tym samym czasie wydarzyło się coś jeszcze nietypowego? Zadanie kopii zapasowej, aktualizacja oprogramowania czy administrator pracujący po godzinach wyjaśniają wiele alertów w ciągu minut. To, czego nikt nie umie wyjaśnić, co dotyczy kilku hostów albo następuje po innym alercie, zasługuje na eskalację. Zapisz, co sprawdziłeś, nawet gdy okazało się niegroźne, żeby następna osoba nie zaczynała od zera. NetSenX przy każdym alercie wyjaśnia, które cechy ruchu o nim zdecydowały, podaje technikę MITRE ATT&CK, jeśli ma zastosowanie, i pozwala oznaczyć false positive, a decyzja trafia do dziennika audytu.

← Wszystkie pytania (60): Reagowanie na incydentyWszystkie tematy