Управление доказательствами

Управление доказательствами

Во время расследования вы можете добавлять relevant фрагменты из логов и IP-адреса в качестве доказательств для последующего использования в разделе Списки доказательств. Раздел Списки доказательств позволяет:

• Автоматически обогащать IP-адреса данными о внешней репутации для более быстрой сортировки.
• Фильтровать или искать доказательства.

Добавление доказательств

Вы можете добавить:

• Значение поля или выбранную часть значения из таблицы результатов во встроенный список доказательств IoC или в созданный вами пользовательский список доказательств.
• IP-адреса (IPv4 и IPv6, а также в нотации CIDR) во встроенные списки доказательств IP-адресов (Подозрительные или Безопасные) или в созданные вами пользовательские списки доказательств IP-адресов.

Есть два способа добавления доказательств: вручную и через результаты запроса.

Ограничений на количество элементов (строк или IP-адресов), которые можно добавить в список, нет.

Добавление вручную

1. В разделе Списки доказательств выберите соответствующую кнопку рядом со списком доказательств, в который хотите добавить доказательство.
2. Выберите Добавить доказательство. Вы можете ввести доказательство непосредственно или загрузить его из файла в формате TXT или CSV.

Добавление через результаты запроса

1. В таблице результатов запроса щёлкните правой кнопкой мыши по полю или по выбранной части поля.
2. В разделе Добавить в список доказательств выберите, куда вы хотите добавить доказательство.
   • Например, чтобы добавить IP-адрес в список доказательств IP-адресов, щёлкните правой кнопкой мыши по полю ip_address или выберите IP-адрес из поля строкового типа с помощью мыши.

Вы также можете добавить несколько элементов сразу в список доказательств или создать новый список из выделенного фрагмента.

Создание пользовательских списков

Вы можете создавать пользовательские списки доказательств из раздела Списки доказательств и из таблицы результатов запроса.

Ограничений на количество создаваемых списков нет.

Из списков доказательств

1. Выберите соответствующую кнопку.
2. Выберите тип доказательства, введите сведения, затем выберите Подтвердить.

Из таблицы результатов

1. Щёлкните правой кнопкой мыши по полю.
2. В разделе Добавить в список доказательств выберите Новый список доказательств.
3. Выберите тип доказательства, введите сведения, затем выберите Подтвердить.

Копирование элементов в списке доказательств

Для быстрого доступа к вашим доказательствам вы можете копировать элементы в ваших списках доказательств.

1. Перейдите в Списки доказательств.
2. У вас есть следующие варианты:
   • Если в списке один элемент, выберите соответствующую кнопку для доказательства, которое хотите скопировать.
   • Если в списке несколько элементов, выберите соответствующую кнопку, чтобы развернуть список, затем выберите кнопку для доказательства, которое хотите скопировать.

Скачивание списков доказательств

Вы можете скачать списки доказательств в любом из поддерживаемых форматов (STIX 2.0 или CSV).

1. В разделе Списки доказательств выберите соответствующую кнопку рядом со списком доказательств, который хотите скачать.
2. Выберите Скачать как, затем выберите нужный формат.

Удаление доказательств

Вы можете удалять элементы в вашем списке доказательств по отдельности или массово.

1. В разделе Списки доказательств выберите соответствующую кнопку рядом со списком доказательств, в котором хотите удалить доказательства.
2. Выберите Управление.
3. Выберите элементы, которые хотите удалить.
4. Выберите Удалить.

Переименование и удаление списков

В разделе Списки доказательств вы можете:

• Переименовывать предустановленные и пользовательские списки доказательств
  • Выберите соответствующую кнопку рядом со списком доказательств, который хотите переименовать.
  • Выберите Переименовать.
• Удалять пользовательские списки
  • Выберите соответствующую кнопку рядом со списком доказательств, который хотите удалить.
  • Выберите Удалить.