Security Case Management
Security Case Management fournit un moyen aux analystes de sécurité engagés dans la chasse aux menaces de recueillir des informations sur les activités suspectes dans leur environnement. Les enregistrements connexes aux tickets, tels que les incidents de sécurité, les observables, les CI et les utilisateurs affectés, peuvent être ajoutés aux tickets pour permettre une analyse large et spécifique.
Grâce à la possibilité de naviguer facilement entre les enregistrements et les informations associées, les analystes peuvent évaluer s’ils sont confrontés à une campagne ciblée, à une menace persistante avancée, etc.
Les tickets de sécurité peuvent être créés à partir de diverses sources sur votre instance, y compris Security Case Management, Réponse aux incidents de sécuritéet Renseignements sur les menaces. Vous pouvez également créer des tickets à partir d’éléments de configuration et d’utilisateurs affectés dans les tables Éléments de configuration [cmdb.ci] et Utilisateurs [sys.user], respectivement. Une fois les tickets créés, chacune de ces sources peut également être utilisée pour ajouter de précieuses ressources d’analyse aux tickets existants.
Chaque ticket de sécurité se compose de trois sections principales, une section d’en-tête, une section avec des détails supplémentaires sur le ticket et une section d’artefacts de ticket contenant une collection d’enregistrements qui aident à construire un argument pour identifier et traiter des menaces particulières.
En-tête du ticket
L’en-tête du ticket fournit des informations de base utilisées pour identifier et classifier le ticket de sécurité. Le numéro de ticket utilise le préfixe SECC.
Informations supplémentaires sur le ticket
La section Détails supplémentaires du ticket fournit des informations spécifiques à l’analyse qui a déjà été effectuée sur le ticket, y compris son état actuel, ainsi que les notes de travail et les activités enregistrées pour le ticket.
Artefacts des tickets
La section Artefacts du ticket fournit une série d’onglets d’informations contenues dans le ticket de sécurité.
Vous pouvez effectuer des recherches dans le contenu de chaque onglet. Vous pouvez également exclure des enregistrements spécifiques que vous avez déjà évalués comme étant sûrs ou qui n’ont aucune valeur dans votre enquête. Les enregistrements exclus ne sont pas supprimés, mais sont masqués. Si nécessaire, vous pouvez afficher les enregistrements exclus et les rajouter.