Alerts

Un allerta raggruppa i segnali così potete indagare insieme sulle attività correlate.

Come vengono creati gli avvisi?

Lakewatch crea gli avvisi automaticamente, e non puoi creare un avviso manualmente. Quando una regola di rilevamento si attiva, Lakewatch raggruppa i segnali correlati in un unico allarme tramite il raggruppamento dei segnali invece di aprire un nuovo allarme per ogni segnale. Un nuovo segnale si collega a un allarme esistente quando tutte le seguenti condizioni sono soddisfatte:

• Il segnale condivide lo stesso ID della regola, la versione della regola e lo stesso riepilogo del segnale che ha aperto l'avviso esistente.
• L'avviso esistente è stato aperto all'interno della finestra di collazione, che determina quanto tempo un avviso rimane aperto per raccogliere segnali corrispondenti. La finestra di raccolta è di default a 1 ora ed è configurabile per catalogo nelle Impostazioni.
• L'allarme esistente è ancora in stato di Aperto o In corso.

Lakewatch crea un nuovo avviso quando non esiste un avviso corrispondente, l'avviso corrispondente più recente è stato aperto prima della finestra di collation, oppure l'avviso corrispondente viene risolto o contrassegnato come duplicato.

I criteri di raggruppamento (ID regola, versione della regola e sommario) non possono essere personalizzati, ma puoi cambiare la finestra di collazione per catalogo. Il raggruppamento dei segnali è separato dalla deduplicazione dei segnali, che viene eseguita prima: la deduplicazione lascia cadere segnali identici man mano che vengono creati, e il raggruppamento poi organizza i segnali sopravvissuti in allerte.

# Too specific: {time} differs on every event, so every failed login opens its own alert
summary: "Failed login by {actor.user.name} at {time}"

# Better: all of a user's failed logins render the same summary and group into one alert
summary: "Failed login by {actor.user.name}"

Limite di allerta per regole rumorose.

Ogni versione di una regola di rilevamento può aprire al massimo 1.000 nuovi avvisi entro una finestra mobile di 24 ore. Non esiste un limite al numero di segnali che una regola può generare.

Quando una versione di regola raggiunge il limite, Lakewatch smette di aprire nuovi avvisi per essa e invece raggruppa tutti i segnali successivi di quella versione di regola in un unico allarme di overflow con il riassunto "Troppi segnali rilevati per la regola [rule ID]", così che una regola rumorosa non possa inondare la lista degli allarmi. L'overflow alert è un normale avviso: appare nella lista degli avvisi con la gravità ereditata dalla regola, e puoi assegnarlo, commentarlo e risolverlo come qualsiasi altro avviso. Un allarme di overflow ha una finestra di collation fissa di 24 ore: mentre una versione di regola supera il suo limite, nuovi segnali si collegano a un allarme di overflow aperto esistente delle 24 ore precedenti, se presente, e altrimenti aprono un nuovo allarme di overflow.

La creazione normale degli avvisi riprende automaticamente quando il conteggio degli avvisi nelle ultime 24 ore nella versione della regola scende di nuovo sotto il limite. Poiché il limite viene tracciato per versione della regola, aggiornare la regola (ad esempio, regolare la sua query in modo che produca meno segnali distinti) avvia anche un nuovo conteggio.

Lavorare con gli avvisi

Per gestire gli avvisi, naviga su Avvisi. Nella lista degli allarmi, puoi:

• Cerca e filtra: Cerca avvisi per ID o descrizione dell'avviso. Filtra per stato (Attivo, In corso, Risolto, Duplicato, Non specificato), gravità, assegnato, regola di rilevamento e data di creazione. Le selezioni di ricerca e filtro persistono durante la navigazione all'interno di Lakewatch, e lo stato attivo del filtro si riflette nell'URL. Copia l'URL per condividere o salvare una vista filtrata nei segnalibri.
• Visualizza la lista: Vedi tutti gli avvisi nel catalogo attuale a cui puoi accedere. L'elenco mostra colonne per gravità, stato, conteggio del segnale, assegnato e timestamp. Le colonne sono ordinabili e ridimensionabili.
• Azioni in massa: Seleziona uno o più avvisi dalla lista per effettuare aggiornamenti in massa, limitati a 25 avvisi per operazione.
• Apri dettagli: Clicca su un ID dell'avviso per aprire la pagina dei dettagli dell'avviso, dove puoi visualizzare i segnali e modificare attributi.

Dettagli dell'avviso

Clicca su un ID dell'avviso per aprire la pagina dei dettagli dell'avviso. La pagina è organizzata in due schede:

• Panoramica: Mostra descrizione, obiettivo di rilevamento e commenti. Puoi modificare la descrizione cliccando su "Modifica descrizione". I commenti supportano la sintassi Markdown.
• Segnali: Elenca i segnali raggruppati in questo allarme.

Dalla pagina dei dettagli dell'avviso, puoi anche:

• Clicca su un ID del segnale per visualizzarne i dettagli, inclusa la regola utilizzata per generarlo.
• Usa il pannello Genie per indagare sull'avviso: "Riassumi questo avviso", "Valuta questo avviso" o chiedi "Cosa posso fare con questo avviso?".

Attributi di allerta

Ogni avviso ha le seguenti caratteristiche modificabili:

• Descrizione: Testo personalizzato che puoi aggiungere o aggiornare per documentare l'indagine. Modificalo nella pagina dei dettagli degli avvisi con il pulsante "Modifica descrizione".
• Assegnatario: L'utente responsabile dell'indagine. Il valore predefinito è "Non assegnato".
• Stato: Uno di Aperto, In corso, Mitigato, Risolto, Duplicato o Non specificato.
• Gravità: Ereditata dalla regola di rilevamento associata al primo segnale collegato all'allarme. Puoi sovrascrivere manualmente la severità in qualsiasi momento.
• Classificazione: Indica se l'attività rilevata nell'allarme rappresenta una minaccia reale. Scegli Falso positivo, Benigno positivo o Vero positivo (o Non specificato se non ancora triato).

Ogni avviso ha anche le seguenti caratteristiche di sola lettura:

• ID Avviso (seq_id): Un identificatore univoco generato dal sistema, visualizzato come Alert <uuid> e SEC-<number>. Copialo tramite il pulsante "Copia ID".
• Titolo dell'allarme: Riassunto dell'allarme generato dal sistema. Immutabile; non può essere modificato. In base al modello di riepilogo della regola di rilevamento.
• Permalink: Un collegamento stabile all'allerta (il seq_id). Còpialo con il pulsante "Copia link permanente".
• Regola: La regola di rilevamento che ha prodotto i segnali dell'allarme.
• Proprietario della regola: L'entità che possiede la regola di rilevamento.
• Primo/Ultimo evento: Time stamp di quando sono stati creati il primo e l'ultimo segnale allegati all'allarme.
• Conteggio dei segnali: Il numero di segnali collegati all'allarme. Questo conteggio è approssimativo e può avere un ritardo, specialmente sotto carichi di segnale elevati.
• Creato il: Timestamp di quando è stato creato l'avviso.
• Aggiornato il: Timestamp di quando l'avviso è stato modificato l'ultima volta.

Esportazione degli avvisi

Esporta gli avvisi su un sistema esterno, come ServiceNow, Tines, un webhook o Jira, così il tuo team potrà tracciarli e intervenire su di essi negli strumenti già utilizzati. Per destinazioni e configurazione, vedi Destinazioni degli avvisi.

Risorse aggiuntive

• Segnali
• Regole di rilevamento
• Destinazioni degli avvisi