Расследования

Расследования

Приложение

О приложении

Что вы узнаете

• Определять и выполнять запросы, комбинируя функциональные возможности.
• Искать relevant информацию в логах.
• Понимать структурированную информацию из записей логов.
• Извлекать поля и получать мгновенную обратную связь по шаблонам.
• Отслеживать свой путь, возвращаться к предыдущим шагам, просматривать историю расследования.
• Определять временной диапазон для запросов к данным.
• Прикреплять relevant находки как доказательства, сохраняя контекст расследования.
• Добавлять контекст репутации к IP-адресам с помощью обогащения IP на основе данных об угрозах от сторонних источников.
• Добавлять расследования в закладки для быстрого доступа между сессиями.
• Сотрудничать с коллегами по расследованиям с контролируемым доступом.
• Взаимодействовать с совместимыми приложениями для получения дополнительных сведений.
• Создавать и использовать таблицы поиска для обогащения расследований контекстными данными.

Целевая аудитория

Расследования поддерживают широкий спектр расследований на основе доказательств, позволяя пользователям исследовать, анализировать и решать сложные сценарии — в области безопасности, операций, соответствия и мошенничества.

Приложение идеально подходит для:

• Реагирования на инциденты
• Анализа первопричин
• Поиска угроз
• Расследований мошенничества
• Криминалистики данных

Расследования предназначены для всех, кому нужно исследовать данные и действовать на их основе с точностью и контекстом — включая аналитиков по безопасности, SRE, DevOps-инженеров, операционные команды, внутренних аудиторов и других.

Предварительные требования

• Чтобы исследовать принятые логи, вам нужно настроить приём логов.
• Разрешения: список необходимых разрешений см. в разделе Расширения — выберите Расследования и просмотрите техническую информацию.
• Базовые знания:
  • Ключ-АСТРОМ Query Language (DQL)
  • Ключ-АСТРОМ Pattern Language (DPL)

Начало работы

Расследования предназначены для оптимизации расследований на основе доказательств по данным — будь то решение инцидентов, анализ первопричин или проведение расследований угроз или мошенничества, за счёт:

• Устранения ручных, повторяющихся задач.
• Предоставления контекстного обогащения без переключения между инструментами.
• Предоставления быстрого, детального доступа к вашим данным.
• Улучшения пользовательского опыта для быстрого выявления проблем.

Приложение обладает вспомогательными функциями и автоматизациями для ускорения и поддержки разрешения расследований, используя логи, метрики и трассировки, загруженные в хранилище.

• Просматривайте весь ход расследования по мере продвижения с возможностью всегда вернуться к предыдущему шагу расследования.
• Детальный просмотр записи показывает все поля записи сразу; вы можете углубиться в сведения о поле или перемещаться между записями.
• Используйте данные в результатах с точностью до символа: вы можете создавать новые доказательства или фильтры DQL, выбирая часть поля.
• Управляйте доказательствами и фильтруйте по нескольким значениям сразу: вы можете выбрать диапазон IP-адресов и создать фильтр DQL на основе значений.

Чтобы начать и создать свой первый сценарий расследования, откройте Расследования и выберите Расследование.