Werken met de Incident Graph (EDR)
De Incident Graph is een visuele weergave van een EDR-incident. Het toont de relaties tussen de workload, de processen die bij de aanval betrokken zijn, en de detecties die werden geactiveerd. De Incident Graph is beschikbaar voor alle EDR-gebruikers.
Gebruik de Incident Graph om:
- In één oogopslag inzicht te krijgen in de structuur van de aanvalsketen.
- Processen, bestanden, netwerkverbindingen en registervermeldingen te identificeren welke betrokken waren.
- Dreigingsdetecties en hun bijbehorende MITRE-tactieken en -technieken te bekijken.
- Navigeer naar afzonderlijke nodes om de details in de zijbalk te bekijken.
Sommige EDR-responsacties zijn momenteel alleen beschikbaar via de Cyber Kill Chain en niet via de Incident Graph. Gebruik de Cyber Kill Chain om EDR-responsacties toe te passen, zoals het in quarantaine plaatsen van een proces of het isoleren van een workload. Zie voor meer informatie Incidenten in de cyber kill chain onderzoeken.
Toegang tot de Incident Graph
Om toegang te krijgen tot de Incident Graph
- Ga in de Cyber Protect console naar Beveiliging > Incidenten.
- Klik op
in de kolom uiterst rechts van het incident dat u wilt onderzoeken. - Ga naar het tabblad Incident Graph.
Om de grafiek te verversen, klik op het ververspictogram.
Node types
De Incident Graph bevat de volgende node types voor EDR-incidenten:
- Workload: De bovenste node die het getroffen apparaat vertegenwoordigt. Alle procestakken beginnen bij deze node.
- Process: Vertegenwoordigt een actief proces dat betrokken is bij de aanval. Processen worden weergegeven in een boomstructuur die de uitvoeringsreeks weerspiegelt, van het eerste proces met een detectie tot het laatste.
- File: Vertegenwoordigt een bestands-node die is gekoppeld aan een proces, meestal het procesimage voor niet-systeemprocessen.
- Network: Vertegenwoordigt een netwerkverbinding gemaakt door een proces.
- Registry: Vertegenwoordigt een registersleutel of -waarde die door een proces is geopend of gewijzigd.
- Threat: Vertegenwoordigt een detectieresultaat dat is gekoppeld aan een proces, bestand, netwerk of register-node. Dreigings-nodes gebruiken kleur om vertrouwen aan te geven: rood voor kwaadaardige detecties, oranje voor verdachte detecties.
- Identity: Vertegenwoordigt een gebruikersaccount dat tijdens het incident is waargenomen, gebaseerd op lokaal verzamelde gegevens door de EDR-agent.
Voor informatie over node-pictogrammen, zie Incident Graph pictogrammen (EDR).
Samenvatting van de AI Triage
De Incident Graph toont ook een AI-Triagesamenvatting van het incident, met de ernst, de betrouwbaarheidsscore, de belangrijkste bevindingen en het aantal geïdentificeerde MITRE-technieken. Raadpleeg AI-Triagerapporten voor meer informatie.
Groepering van dreigings-nodes
Wanneer meerdere detecties zijn gekoppeld aan dezelfde entiteit, worden dreigings-nodes als volgt gegroepeerd:
- Als een enkele detectieregel van toepassing is onder één MITRE-techniek, wordt de dreigings-node gelabeld met de beschrijvende naam van de regel.
- Als er meerdere regels van toepassing zijn binnen dezelfde MITRE-techniek, wordt er één dreigings-nodes weergegeven, voorzien van de naam van de MITRE-techniek. Klik op de node om een tabel te bekijken met alle bijbehorende regels.
- Als detecties betrekking hebben op meerdere MITRE-technieken, wordt een samengevouwen dreigings-node weergegeven met een ‘+’-pictogram. Klik erop om het uit te vouwen en de afzonderlijke nodes op techniek- of regelniveau te bekijken.
- Kwaadaardige en verdachte detecties worden in aparte groepen weergegeven.
Incident Graph voor multi-workload incidenten
Wanneer een incident meer dan één workload omvat, toont de Incident Graph een subgrafiek voor elke workload. Voor meer informatie, zie Werken met multi-workload incidenten in de Incident Graph.
Incident Graph wanneer XDR is ingeschakeld
Wanneer XDR-integraties actief zijn, wordt de Incident Graph uitgebreid met externe nodes uit die integraties, zoals e-mail-, identiteitsbeheer- en firewallgegevens. Externe nodes zijn te herkennen aan een ballonnetje met de integratiebron dat op het node-pictogram wordt weergegeven. Zie voor meer informatie Werken met de Incident Graph (XDR).