SOC tự hành làm thay việc và cho thấy mình đã làm gì.

SOC tự hành làm gì

• Phân loại mọi alert

  Mỗi alert được đọc, loại trùng và gắn với host, tài khoản, địa chỉ IP hay ứng dụng mà nó nói đến. Hoạt động thường ngày khớp với hành vi bình thường của chính thực thể đó được nhận ra đúng như vậy.

• Điều tra đến kết luận

  Case được làm giàu từ log và threat intelligence của chính bạn, và mỗi case kết thúc bằng một bản tóm tắt ngắn: chuyện gì xảy ra, vì sao quan trọng, bằng chứng nào chống đỡ, điều gì còn chưa biết.

• Một case cho mỗi câu chuyện

  Các alert liên quan trên cùng thực thể và cùng câu chuyện tấn công được giữ chung, nên một lần xâm nhập là một case với một dòng thời gian, thay vì nhiều ticket rời rạc.

• Đề xuất phản ứng

  Khi cần hành động, ApexAI chuẩn bị một đề xuất gồm bằng chứng, thay đổi cụ thể, tác động dự kiến và cách hoàn tác. Con người phê duyệt trước khi bất cứ thứ gì thay đổi.

• Học từ kết quả đã chốt

  Khi analyst đóng case, kết quả được so với kết luận của ApexAI. Những chỗ khác nhau được xem lại để hệ thống tiến bộ trên chính môi trường của bạn, không dựa vào giả định chung chung.

• Báo cáo bằng ngôn ngữ dễ hiểu

  Thông báo bắt đầu từ thực thể và hành vi của nó: tài khoản nào, máy nào, cái gì đã bị chặn, cái gì đã lọt qua, và nên làm gì tiếp theo.

Một case đi qua ApexAI như thế nào

1. 01

   Kết nối

   ApexAI đọc alert và log từ SIEM và EDR của bạn với quyền chỉ đọc.

2. 02

   Hiểu

   Mỗi alert được gắn với thực thể liên quan và so với hoạt động thường ngày của thực thể đó.

3. 03

   Điều tra

   Bằng chứng liên quan được thu thập và case được viết thành bản tóm tắt có nguồn.

4. 04

   Kết luận

   Case rõ ràng được kết luận kèm lý do ghi lại; case chưa chắc chắn nói rõ như vậy và nêu còn thiếu gì.

5. 05

   Chuyển giao

   Chỉ những quyết định cần con người mới đến tay con người, mỗi quyết định có một màn hình bằng chứng và một chỗ để xác nhận.