Afzonderlijke knooppunten onderzoeken

U kunt de details van elke node in de Incident Graph bekijken. Dit stelt u in staat om in te zoomen op specifieke nodes en te onderzoeken wat elke node vertegenwoordigt in de context van het incident.

Welke nodes worden weergegeven, hangt af van welke XDR-integraties actief zijn. De details van de nodes worden weergegeven op het tabblad Overzicht in de zijbalk. De responsacties die beschikbaar zijn voor integratie-nodes worden weergegeven op het tabblad Responsacties.

Responsacties zijn alleen beschikbaar voor nodes die afkomstig zijn van XDR-integraties die reponscapaciteiten ondersteunen. Er zijn geen responsacties beschikbaar voor EDR-nodes (zoals proces-, bestand-, netwerk- of register-nodes) direct vanuit de Incident Graph. Om responsacties toe te passen op EDR-nodes, gebruik de Cyber Kill Chain.

Afzonderlijke knooppunten onderzoeken:

  1. Ga in de Cyber Protect console naar Beveiliging > Incidenten.
  2. Ga naar de weergegeven lijst met incidenten en klik op in de rechterkolom van het incident dat u wilt onderzoeken.
  3. Ga naar het tabblad Incident Graph.

  4. Navigeer naar het betreffende knooppunt en klik erop om de zijbalk voor het knooppunt weer te geven.

    Bijvoorbeeld, door op een e-mail- of identiteits-node te klikken, wordt de zijbalk voor die node geopend.

  5. Onderzoek de informatie op de tabbladen van de zijbalk:
    • Overzicht: dit tabblad bevat details over het geselecteerde knooppunt, afhankelijk van het type knooppunt.

      • Indicator van aanval (IoA)-knooppunten: bevat de tijdstempel van de detectie, de ernst van de detectie, de beschrijving van de detectie, MITRE-tactiek en -techniek en de naam van de bedreiging.

      • Indicator van inbreuk (IoC)-knooppunten: elk type IoC-knooppunt (proces, bestand of URL) heeft een eigen reeks velden, die ook worden gebruikt in Endpoint Detection and Response (EDR). Zie Afzonderlijke knooppunten onderzoeken in de cyber kill chain voor meer informatie.

      • Integratienodes: bevat details over het geselecteerde knooppunt, afhankelijk van de integratie.

        De knooppunten voor Teams, OneDrive en SharePoint bevatten bijvoorbeeld de bestandsnaam, de aanmaakdatum, de gebruiker die het bestand heeft gemaakt, de laatste gebruiker die het bestand heeft gewijzigd en de bestandsgrootte.

        Zo bevat het e-mailknooppunt details over het IP-adres, de naam en de gebruikte client, en de naam, de indeling en de grootte van elke bijlage.

    • Responsacties: Dit tabblad toont de responsacties die beschikbaar zijn voor integratie-nodes, afhankelijk van de integratie. Voor meer informatie, zie Responsacties toepassen op integratie-nodes.