调查资产

本页介绍了如何调查资产。

如需查看此视图中的数据，请确保从您网络中的设备（如 EDR、防火墙、Web 代理等）中提取数据并对其进行标准化。

借助 Chronicle，您可以调查来自其他安全产品的提醒。您可以调查资产，以确定是否有任何资产被破解，确定入侵的性质，然后开始解决问题。

如需调查 Chronicle 中的资产，请执行以下操作：

输入您要调查的资产的主机名、客户端 IP 地址或 MAC 地址：
- 主机名 - 简写（例如 mattu）或完全限定（例如 mattu.ads.altostrat.com）。
- 内部 IP 地址 - 客户端的内部 IP 地址（例如 10.120.89.92）。支持使用 IPv4 和 IPv6。
- MAC 地址 - 企业内任何设备的 MAC 地址（例如，00:53:00:4a:56:07）。
注意：如果您输入 IP 或 MAC 地址，Chronicle 会在指定的搜索时间自动转到与该 IP 或 MAC 地址关联的机器。
输入资产的时间戳（默认为当前世界协调时间 (UTC) 时间和日期）。
点击搜索。

“资产”视图

您可以调整资产视图以隐藏良性活动并帮助突出显示与调查相关的数据。以下说明引用了资产视图图。

“资产”视图

“资产”视图

当您搜索资产时，Activity 返回的默认时间范围为 2 小时。将鼠标悬停在标题类别行上，可以看到每列的排序控件，让您能够根据类别的字母顺序或时间进行排序。使用时间滑块或在滚动条悬停在普及率图表上时滚动鼠标滚轮，以调整时间范围。另请参阅时间滑块和普及率图表。

此列表用于查看指定时间窗口内每个不同网域的第一次查询，这有助于隐藏由频繁连接到网域的资产造成的噪声。

域名列表

网域列表

您可以使用时间滑块调整所检查的时间段。您可以调整滑块以查看事件在一分钟到一天之间的变化（也可以通过将鼠标悬停在普及率图表上并滚动鼠标滚轮来调整此值）。

本部分提供有关资产的其他信息，包括在指定时间段内与给定主机名关联的客户端 IP 和 MAC 地址。它还会提供以下方面的信息：首次在您的企业中观察到资产的时间，以及上次收集数据的时间。

普及率图表会显示企业中最近连接到所展示网域的网域资产数量上限。大灰色圆圈表示首次连接到网域。灰色小圆圈表示后续与同一网域的连接。不常访问的网域会位于图表的底部，而不常访问的网域会位于顶部。图表上显示的红色三角形与普及率图表下方指定时间的安全提醒相关联。

资产数据洞察块规则会突出显示您可能想要进一步调查的网域和提醒。它们提供了有关可能触发提醒的其他上下文，并帮助您确定设备是否被破解。资产数据洞察块反映了当前显示的事件，因其威胁相关性而有所不同。

来自现有安全基础架构的提醒。这些提醒在 Chronicle 中标有红色三角形，可能需要进一步调查。

利用 WHOIS 注册元数据来确定资产查询的网域是最近注册（从搜索时间窗口开始的过去 30 天）中。
最近注册的网域通常具有较高的威胁相关性，因为它们可能已被明确创建以避免现有的安全过滤器。在当前视图的时间戳中显示完全限定域名 (FQDN)。例如：
- John 的资产于 2018 年 5 月 29 日连接到 bar.example.com
- example.com 是在 2018 年 5 月 4 日注册的
- 在 2018 年 5 月 29 日调查 John 的资产时，bar.example.com 会显示为新注册的域名

检查您公司的 DNS 数据，以确定资产是否查询了公司从未有人访问过的网域。例如：
- Jane 的资产于 2018 年 5 月 25 日连接到 bad.altostrat.com。
- 其他一些资产也在 2018 年 5 月 10 日访问过 phishing.altostrat.com，但是在 2018 年 5 月 10 日之前，您的 altostrat.com 或其任何子网域没有其他活动。
- 在 2018 年 5 月 25 日调查 Jane 的资产时，bad.altostrat.com 显示在企业新网域数据洞察块下。

由特定资产查询且具有低普及率的网域的摘要。
完全限定域名的数据洞察基于其顶级专用网域 (TPD) 的普及率，其中普及率小于或等于 10。TPD 会考虑公共后缀列表。例如：
- Mike 的资产于 2018 年 5 月 26 日连接了 test.sandbox.altostrat.com。
- 由于 sandbox.altostrat.com 的普及率为 5，因此 test.sandbox.altostrat.com 显示在低普及率网域数据洞察块下。