Overgedragen incidenten

Wanneer de correlatie engine detecteert dat detecties van een bestaand EDR-incident deel uitmaken van een bredere, gecorreleerde aanval, worden die detecties overgedragen naar een nieuw gecorreleerd incident. Het oorspronkelijke incident wordt vervolgens gemarkeerd als overgedragen.

Overgedragen incidenten stellen de correlatie engine in staat om gerelateerde activiteiten te consolideren in één enkel incident voor een completer beeld van de aanval, terwijl een referentie naar het oorspronkelijke incident van waaruit de detecties afkomstig zijn, behouden blijft.

Wat gebeurt er wanneer een incident wordt overgedragen

  • Alle detecties van het oorspronkelijke incident worden verplaatst naar het nieuwe gecorreleerde incident.
  • Het oorspronkelijke incident wordt gemarkeerd als overgedragen in de incidentenlijst.
  • Een bericht wordt weergegeven in de incidentdetails, met een link naar het nieuwe gecorreleerde incident.
  • Responsacties, inclusief Smart Remediation, zijn niet beschikbaar voor overgedragen incidenten. Gebruik het nieuwe gecorreleerde incident om te onderzoeken en te reageren.

Overgedragen incidenten identificeren

U kunt overgedragen incidenten identificeren door het overgedragen pictogram naast de incident-ID in de incidentlijst.

De actie Incident onderzoeken is uitgeschakeld voor overgedragen incidenten.

Om overgedragen incidenten in de incidentlijst weer te geven

  1. Ga in de Cyber Protect-console naar Bescherming > Incidenten.

  2. Klik op Filter en schakel vervolgens Toon overgedragen incidenten in.

    Overgedragen incidenten zijn grijs weergegeven in de lijst.

  3. Klik op het overgedragen pictogram om de incidentdetails te bekijken.

    Het detailvenster bevat een link naar het nieuwe gecorreleerde incident dat de overgedragen detecties bevat.

Om de activiteit te onderzoeken die is overgedragen, opent u het nieuwe gecorreleerde incident met behulp van de link in de details van het overgedragen incident.