Utilisation du canevas d’enquête

Le canevas d’examen est une fonctionnalité importante qui fournit des informations plus précieuses aux analystes de Threat Intelligence (TI). Il fournit un cadre de travail structuré en mappant les relations un à un ou un à plusieurs et en visualisant des informations relatives aux observables, aux indicateurs de compromis (IOC) ou aux entités.

En utilisant le canevas d’enquête, les analystes de menaces peuvent efficacement :

• Relations de cartes : visualisez les connexions de nœuds entre diverses entités, telles que les observables, les indicateurs de compromission, les auteurs de menace, les schémas d’attaque, les actifs affectés, entre autres. Chaque objet sur le canevas d’enquête est représenté par une couleur spécifique, ainsi que son type d’objet, son type de nœud et son état. L’état reflète la réputation de l’objet ( suspect,faible ou critique ) pour les observables et les autres types d’objets. Les indicateurs sont affichés avec leur gravité de menace associée pour aider à hiérarchiser l’analyse.
• Lier les tickets ou les canevas : liez un ticket ou un canevas pour améliorer l’analyse et fournir une vue plus complète du paysage des menaces au sein de la gestion des tickets.
  • La fonctionnalité de liaison permet aux analystes d’ajouter ou de supprimer des nœuds dynamiquement. Les relations existantes entre les nœuds et le canevas sont également renseignées.
  • Graphiques de relations temporaires en enregistrant les relations séparément dans le contexte du canevas d’enquête.
• Associations de techniques MITRE : associez ou supprimez des techniques MITRE à des nœuds directement sur le canevas et fournissez une analyse sur la carte de chaîne de frappe MITRE.

Points d’entrée pour le canevas d’examen

1. Premier point d’entrée : Nouveau canevas vierge : Ce point d’entrée doit permettre aux analystes d’ouvrir un nouveau canevas vierge sans aucun nœud ni lien.
2. Deuxième point d’entrée : canevas ouvert dans l’enquête sur le ticket :
   1. Ce point d’entrée ouvre un ticket d’enquête existant et permet d’éditer, de modifier et de renommer le canevas.
   2. Un nouveau canevas avec des artefacts existants en tant que nœuds.

• Utiliser des actions sur le canevas d’examen
  Cette section décrit les différentes actions que vous pouvez effectuer sur le canevas d’enquête.
• Lier un ticket existant à partir du canevas d’enquête
  Utilisez cette section pour lier un ticket existant à partir du canevas d’enquête.
• Création d’un ticket et liaison à partir du canevas d’enquête
  Utilisez cette section pour créer et lier un ou plusieurs tickets à partir d’un canevas d’enquête.
• Liaison du canevas à partir d’un ticket
  Utilisez cette section pour lier un canevas à partir d’un ticket.
• Création d’un canevas d’examen
  Créez un canevas pour ajouter des observables à partir de la bibliothèque Threat Intelligence.
• Ajout d’un nouveau nœud au canevas
  Utilisez cette section pour créer et ajouter de nouvelles entités, y compris des observables ou des objets, directement à partir du canevas d’enquête.
• Canevas d’examen et MITRE ATT&CK
  Dans le canevas d’examen, vous pouvez afficher les techniques et sous-techniques MITRE ATT&CK associées à tous les nœuds actuellement présents sur le canevas.

Concepts associés

• Vue d'ensemble de la console

Tâches associées

• Création de tickets à l’aide de la Console d’analyste de menaces
• Création d’une tâche de ticket à l’aide de la Console d’analyste de menaces
• Ajouter des artefacts aux tickets ou aux tâches de ticket
• Exécuter des actions d’enrichissement dans un ticket
• Afficher les rapports de tickets
• Créer un incident de sécurité à partir d’un TISC ticket
• Télécharger les pièces jointes du fichier sécurisé