使用 Chronicle 查看潜在安全问题

本文档介绍如何使用 Chronicle 调查提醒和潜在安全问题。

准备工作

Chronicle 仅适用于 Google Chrome 或 Mozilla Firefox 浏览器。

Google 建议您将浏览器升级到最新版本。您可以访问 https://www.google.com/chrome/ 下载最新版本的 Chrome。

Chronicle 已集成到您的单点登录解决方案 (SSO) 中。您可以使用企业提供的凭据登录 Chronicle。

  1. 启动 Chrome 或 Firefox。

  2. 确保您有权访问公司账号。

  3. 如需访问 Chronicle 应用（其中 customer_subdomain 是您的客户专属标识符），请前往：https://customer_subdomain.backstory.chronicle.security。

    Chronicle 着陆页 Chronicle 着陆页

查看警报和 IOC 匹配项

  1. 在导航栏中，依次选择 Detections > Alerts and IOCs。

  2. 点击 IOC 匹配标签页。

在网域视图中搜索 IOC 匹配项

IOC 网域匹配标签页中的网域列包含可疑网域列表。点击此列中的某个网域会打开“网域”视图，如下图所示，并提供此网域的详细信息。

“网域”视图 网域视图

使用用户视图进行搜索

如需转到用户视图，请完成以下步骤：

  1. 在 Enterprise Insights 视图中，近期提醒部分包含一个列，列出了在 Enterprise Insights 标题中显示的时间范围内触发过提醒的用户。可以使用时间滑块栏调整此时间范围。您可能需要使用滑块来匹配时间范围，以显示匹配项和提醒。
  2. 点击此列中的用户名后，系统会显示有关用户活动的详细信息，用户通过这些信息就可以进一步调查威胁。

使用素材资源视图进行搜索

如需进入素材资源视图，请完成以下步骤：

  1. 在企业数据分析视图中，近期提醒部分包含在企业数据分析标题中显示的时间范围内触发提醒的资产列表。可以使用时间滑块栏调整此时间范围。您可能需要使用滑块来匹配时间范围，以显示匹配项和提醒。

  2. 点击您要进一步探索的资产。Chronicle 切换到 Asset 视图，如下图所示。

    “资产”视图

  3. 主窗口中的气泡表示资产的普及率。图表会采用一定的排列方式，使得发生频率较低的事件位于顶部。这些低普及率事件更可能被视为可疑。如需放大需要进一步调查的事件，请使用右上角的时间范围滑块。

  4. 可以使用过程过滤进一步缩小搜索范围。如果过程过滤下拉菜单尚未打开，请点击右上角的 “过滤”图标 图标。在下拉菜单顶部，使用发生率滑块过滤掉正常事件并定位更可疑的事件。

使用“Chronicle 搜索”字段

直接从 Chronicle 首页启动搜索，如下图所示。

搜索字段 Chronicle 搜索字段

在此页面上，您可以输入以下搜索字词：

  • 主机名显示“网域”视图
 （例如 Plato.example.com）
  • 网域会显示 Domain（网域）视图
 （例如：altostrat.com）
  • IP 地址会显示 IP 地址视图
 （例如：192.168.254.15）
  • 网址显示网域视图
 （例如：https://new.altostrat.com）
  • “用户名”显示素材资源视图
 （例如：betty-dearo-pc）
  • 文件哈希显示哈希视图
 （例如：e0d123e5f316bef78bfdf5a888837577）

您不必指定要输入的搜索字词的类型，Chronicle 会为您确定。相应结果会显示在相应的调查视图中。例如，在搜索字段中输入用户名会显示 Asset 视图。

搜索原始日志

您可以选择搜索已编入索引的数据库或搜索原始日志。搜索原始日志是一种更全面的搜索，但所需时间比编入索引的搜索要长。

如需进一步确定搜索，您可以使用正则表达式，使搜索条目区分大小写，或选择日志源。您还可以使用开始和结束时间字段选择所需的时间轴。

如需执行原始日志搜索，请完成以下步骤：

  1. 输入搜索字词，然后在下拉菜单中选择原始日志扫描，如下图所示。

    “原始日志扫描”菜单 显示 Raw Log Scan 选项的下拉菜单

  2. 设置原始搜索条件后，点击搜索按钮。

  3. 在 Raw Log Scan 视图中，您可以进一步分析日志数据。