Afficher les alertes et les IOC

La page Alertes et IOC affiche toutes les alertes et tous les indicateurs de compromission (IOC) affectant actuellement votre entreprise. Cette page fournit plusieurs outils vous permettant de filtrer et d'afficher vos alertes et vos IOC.

  • Des alertes peuvent être définies par votre infrastructure de sécurité, votre personnel de sécurité ou des règles Chronicle.

  • Les IOC sont désignés automatiquement par Chronicle. Chronicle récupère toujours les données de votre propre infrastructure et de nombreuses autres sources de données de sécurité. Il met automatiquement en corrélation les indicateurs de sécurité suspects avec vos données de sécurité. En cas de correspondance (par exemple, si un domaine suspect est détecté au sein de votre entreprise), Chronicle attribue un libellé IOC à l'événement et l'affiche dans l'onglet Correspondances IOC.

Dans la barre de navigation, cliquez sur Détection > Alertes et IOC.

Alertes et IOC

Afficher les alertes

L'onglet "Alertes" affiche la liste de toutes les alertes actuelles de votre entreprise. Cliquez sur un nom d'alerte dans la liste pour passer à la vue de l'alerte. La vue des alertes affiche des informations supplémentaires sur l'alerte et son état.

Vous pouvez consulter la gravité, la priorité, le score de risque et le verdict de chaque alerte en un coup d'œil. Les icônes et les symboles avec un code couleur vous aident à identifier rapidement les alertes qui requièrent votre attention.

Actualiser la liste des alertes

Pour sélectionner la fréquence d'actualisation de la liste des alertes, accédez au menu déroulant Heure d'actualisation en haut à droite. Vous pouvez choisir de faire en sorte que le tableau s'actualise automatiquement toutes les 5 minutes, 15 minutes ou 1 heure. Vous pouvez également cliquer sur l'icône représentant des flèches circulaires pour afficher immédiatement les résultats les plus récents.

À droite de l'heure d'actualisation, vous trouverez une barre de recherche intitulée Affichage qui contient une petite icône de calendrier. Ici, vous pouvez ajuster la période pour les données affichées.

Cliquez sur l'icône de calendrier pour afficher l'agenda. Pour ajuster la période, choisissez l'une des périodes prédéfinies sur le côté gauche (allant des cinq dernières minutes au mois dernier). Vous pouvez également spécifier une période personnalisée en choisissant une date de début et une date de fin n'importe où sur le calendrier.

Utiliser des filtres

Pour utiliser un filtre, cliquez sur l'icône Filtre bleue en forme d'entonnoir dans l'angle supérieur gauche du tableau.

Une boîte de dialogue intitulée Filtre de la liste d'alertes s'affiche.

Dans la colonne de gauche, sélectionnez la catégorie à utiliser pour le filtrage parmi les options suivantes:

  • Author (Auteur)
  • Cas
  • Priorité
  • Réputation
  • Règle
  • ID de la règle
  • Niveau de gravité
  • État
  • Évaluation

Dans la colonne du milieu, sélectionnez le type de filtre:

  • Afficher uniquement : affiche les éléments correspondant au filtre.
  • Filtrer : affiche les éléments qui ne correspondent pas au filtre.

Dans la colonne de droite, sélectionnez les éléments à filtrer. Vous devez également sélectionner un opérateur logique:

  • OU : doit correspondre à l'une des conditions combinées (disjonction).
  • ET : doit correspondre à toutes les conditions combinées (conjonction).

Par exemple, si vous recherchez des alertes marquées comme très sévères, cliquez sur Gravité dans la colonne de gauche et sur Critique dans la colonne de droite, puis sélectionnez Afficher uniquement.

Pour ajouter d'autres filtres, cliquez sur + Ajouter un filtre.

Lorsque vous ajoutez un filtre, il apparaît sous la forme d'un chip au-dessus du tableau.

Si vous souhaitez utiliser deux filtres de la même catégorie, ils apparaissent dans la même puce. Pour rechercher les alertes Élevées ou Critiques (toutes deux associées au libellé Gravité), procédez comme suit:

  1. Sélectionnez le premier filtre.
  2. Ouvrez le deuxième filtre.
  3. Lorsque vous cliquez sur le deuxième filtre, deux nouvelles options s'affichent: Afficher uniquement et Filtrer à la place. Cliquez sur Afficher uniquement.

Supprimer les filtres

Pour supprimer un filtre, cliquez sur l'icône de la corbeille à côté du filtre à supprimer.

Pour effacer tous les filtres existants de la page, cliquez sur le bouton bleu Tout effacer à côté de l'emplacement de tous les chips.

Voir les matchs du IOC

Les correspondances de domaines IOC répertorient les domaines que votre infrastructure de sécurité ont signalés comme suspects et qui ont été détectés récemment dans votre entreprise.

Pour afficher les IOC de votre entreprise, cliquez sur l'onglet Correspondances IOC. Vous pouvez ajuster les dates à examiner en cliquant sur 3 derniers jours en haut à droite pour ouvrir la boîte de dialogue permettant de définir la plage de dates et l'heure de l'événement.

La mise en correspondance IOC ne se produit que si l'horodatage de l'événement se situe dans l'intervalle de temps actif présent dans le flux de Threat Intelligence. La période active correspond à l'intervalle de temps de validité de l'IOC. Si un flux Threat Intelligence n'a pas d'intervalle de période active, une correspondance IOC est renvoyée chaque fois que le domaine est identifié dans les données du flux.

Lorsque vous activez Applied Threat Intelligence, l’onglet Correspondances IOC affiche des informations supplémentaires. Pour en savoir plus, consultez Applied Threat Intelligence.

Onglet "Correspondances IOC"

Vous pouvez trier les domaines par nom ou selon l'une des autres catégories de colonnes répertoriées sur la page, y compris les suivantes:

  • Categories
  • Sources
  • Éléments
  • Confiance
  • Niveau de gravité
  • IOC : durée d'ingestion
  • Première occurrence
  • Dernière occurrence

Vous pouvez également filtrer les IOC affichés à l'aide du menu Procedural Filtering (Filtrage procédural) situé à gauche.

Clients Opérations de sécurité Chronicle

Pour les clients Opérations de sécurité Chronicle, les alertes SOAR Chronicle s'affichent ici et incluent un numéro de demande. Cliquez sur le numéro de demande pour ouvrir la page Demandes. Sur la page Demandes, vous pouvez obtenir des informations sur l'alerte et la demande. Vous pouvez également y répondre. Pour en savoir plus, consultez Présentation des demandes.