Usando a linha do tempo na tela de investigação

O recurso Linha do tempo da tela de investigação na Central de segurança de inteligência contra ameaças (TISC) permite que os analistas visualizem, criem e editem eventos da linha do tempo associados a entidades durante as investigações. Essa capacidade aumenta significativamente a eficácia da análise temporal.

Antes de Iniciar

Essa funcionalidade simplifica o processo de análise, representando os eventos em uma exibição cronológica e também oferece suporte à tomada de decisão rápida e à resposta a ameaças mais eficiente.

Função necessária: sn_sec_tisc.analyst

Procedimento

1. Navegar até Espaços > Central de segurança de inteligência contra ameaças.
2. Selecione Workbench do analista de ameaças ícone.
3. Ir para Telas de investigação > Todas as telas.
4. Selecione qualquer registro da tela.
   Outra opção para navegar até um registro de tela é a partir de um caso, que é explicado na etapa a seguir.
5. Opcional: Ir para Gestão de casos > Todos os Casos.
6. Opcional: Abra qualquer registro de caso.
   Nota:

   Ao criar um caso, você precisa criar uma tela ou vincular uma existente. Após a vinculação, as ações da tela, incluindo a opção de adicionar linha do tempo, estarão disponíveis automaticamente na interface do usuário.
7. Vá para Tela de investigação seção no registro da tela selecionado.
8. Selecione Mostrar linha do tempo ícone de alternância para exibir a seção da linha do tempo.

   A seção da linha do tempo está oculta e você deve selecionar Mostrar linha do tempo opção.

   Figura 1. Exibir o ícone da linha do tempo na tela de investigação

   

   A captura de tela a seguir ilustra os componentes da linha do tempo na tela de investigação:

   Número do componente	Nome de componente	Descrição
   01	Indicador de intervalo	Representa um evento que está acontecendo no momento ou que aconteceu anteriormente durante o período determinado.
   02	Indicador de evento	Linha de anotação que representa o momento específico em que um evento aconteceu durante o período de tempo determinado
   03	Ícone	Representação visual de um tipo de evento específico
   04	Pop-over	uma janela pop-up é exibida quando você seleciona a linha do tempo. uma dica de ferramenta é exibida quando os usuários passam o mouse sobre a linha do tempo.
   05	Eventos agrupados	Aparece automaticamente quando dois ou mais eventos são agrupados visualmente porque estão posicionados muito próximos na exibição atual.
   06	Zoom para reduzir o controle	Move a exibição da linha do tempo para horários e eventos anteriores na linha do tempo
   07	Zoom no controle	Move a exibição da linha do tempo para horários e eventos posteriores na linha do tempo
   08	Controle de retrocesso da linha do tempo	Retrocede no tempo, mostrando o mesmo intervalo de tempo que a exibição atual
   09	Controle de legenda	Menu suspenso que mostra e oculta a legenda
   10	Rótulos da linha do tempo	Rótulos de data que mudam ou atualizam dinamicamente para refletir a seção da linha do tempo em exibição
   11	Controle de encaminhamento da linha do tempo	Avança pelo tempo, mostrando o mesmo intervalo de tempo que a exibição atual.
   12	Data de início	A data e hora de início em que o evento foi aberto para um caso.
   13	Data de término	A data e hora de término em que o evento é encerrado. O tempo é mostrado pelo número de minutos e horas.

   

9. Selecione Data de início e. Data de término .
10. Selecione Aplicar para aplicar as mudanças ou Redefinir para redefinir se você tiver que escolher uma linha do tempo diferente.

    A tela pode conter vários eventos. Para se concentrar em um evento específico ou em um subconjunto de eventos em um determinado período de tempo, defina o intervalo de datas desejado e clique em Aplicar .

    Uma vez aplicada, a exibição da linha do tempo aumentará o zoom para exibir somente os eventos filtrados, permitindo uma análise focada e uma investigação mais fácil da atividade relevante.

    Da perspectiva da Tela, cada nó pode ter vários eventos. Selecione o nó e clique com o botão direito no nó para escolher Mostrar detalhes ou Abrir registro , a aplicação exibe a exibição do formulário desse registro.

    

    Além disso, no formulário, navegue até Registros relacionados seção em que uma entrada foi chamada Eventos da linha do tempo foi adicionado. Isso fornece uma exibição detalhada de todos os eventos da linha do tempo associados a esse nó específico, vinculando a visualização da tela.

    

    Em Eventos da linha do tempo , você pode ver os eventos associados ao nó selecionado. Ao usar esta seção, você tem a opção de Adicionar ou Remover um evento do nó.

    

    Esta funcionalidade fornece controle direto sobre quais eventos estão vinculados a um nó e complementando a visualização na tela.

    Importante:

    Eventos padrão para observáveis: Determinados eventos são exibidos automaticamente para observáveis específicos. Por exemplo, Observáveis de arquivo incluem o. Visto pela primeira vez e. Visto pela última vez campos.

    A propriedade do sistema sn_sec_tisc.timeline_node_fields provisionado no sistema de base que determina quais campos são exibidos na linha do tempo.

    Por padrão, ele contém os campos first_seen e last_seen. Você pode modificar esta propriedade para adicionar novos campos ou remover os existentes com base em seus requisitos.

    • Quando um arquivo observável é adicionado à Tela, esses eventos são mostrados por padrão.
    • Esses eventos padrão não são orientados pela configuração e aparecem automaticamente com base nos valores preenchidos no registro de observáveis.
    • Se Visto pela primeira vez e. Visto pela última vez E, em seguida, os eventos correspondentes são exibidos na Tela sem qualquer configuração adicional.

• Adicionando eventos da linha do tempo à tela
  Adicione eventos da linha do tempo à tela de investigação adicionando as entidades relacionadas à tela.