Năng lực Threat hunting và điều tra
Năng lực · Săn tìm và điều tra
Mọi case đều được điều tra, mọi mối đe dọa mới đều được săn tìm.
ApexAI làm thay những giờ đầu của một cuộc điều tra: thu thập bằng chứng, đối chiếu với log và threat intelligence của chính bạn, rồi viết bản tóm tắt có trích nguồn. Khi có IOC hay kỹ thuật tấn công mới, hệ thống săn tìm chúng trong toàn bộ môi trường của bạn.
Trạng thái: Bản xem trước Bản tóm tắt điều tra và các cuộc săn theo threat intelligence đang chạy trên dữ liệu thật ở chế độ quan sát; phát hiện được ghi lại cho analyst và chưa tự phát thông báo.
Từ alert đến câu trả lời
Phần lớn thời gian analyst dành cho một case là gom bối cảnh: hoạt động gần đây của máy, thói quen đăng nhập của tài khoản, địa chỉ kia được biết đến với điều gì, trước đây đã có chuyện tương tự chưa. Khi bối cảnh đã nằm trước mặt, việc quyết đ ịnh thường chỉ mất vài phút.
ApexAI tự động gom bối cảnh đó cho mọi case và viết thành bản tóm tắt điều tra. Bản tóm tắt nêu chuyện gì đã xảy ra, bằng chứng nào chống đỡ từng ý, công cụ bảo mật đã làm gì, và điều gì còn chưa biết. Mỗi nhận định trỏ về nguồn của nó, nên analyst kiểm tra trong vài giây thay vì làm lại từ đầu.
Bạn nhận được gì
Bản tóm tắt điều tra có trích dẫn
Một bản tóm tắt ngắn, dễ đọc cho mỗi case, kèm bằng chứng cho từng nhận định, các kỹ thuật ATT&CK liên quan và khuyến nghị rõ ràng.
Săn tìm theo threat intelligence
IOC, lỗ hổng và thông tin đăng nhập bị lộ mới được đối chiếu với chính môi trường của bạn, và kết quả khớp trở thành phát hiện trên thực thể liên quan.
Săn tìm có mục tiêu trên tài sản giá trị cao
Các cuộc săn định kỳ tập trung vào tài sản kẻ tấn công nhắm tới trước tiên, như ứng dụng web công khai ra Internet và hạ tầng định danh.
Truy vấn theo field của chính bạn
Truy vấn được viết theo đúng tên field SIEM của bạn đang dùng và được kiểm trước khi chạy, để một cuộc săn không lặng lẽ trả về rỗng.
Tách hành vi trông giống tấn công
Mỗi cuộc săn biết những hoạt động thường ngày dễ nhầm với tấn công, như script bảo trì hay scanner được phép, và nói rõ đã phân biệt thế nào.
Bài học từ sự cố thật
Sự cố đã chốt và báo cáo ứng cứu sự cố được biến thành các cuộc săn mới, để điều học được ở một case được kiểm tra ở mọi nơi.
Một cuộc săn theo threat intelligence diễn ra thế nào
01
Tín hiệu
Một IOC, kỹ thuật, lỗ hổng hay vụ rò rỉ mới đến từ các nguồn threat intelligence của bạn.
02
Khoanh vùng
ApexAI xác định thực thể và nguồn log nào của bạn có thể cho thấy dấu hiệu đó.
03
Tìm kiếm
Truy vấn chỉ đọc chạy trên log trong các khung thời gian giới hạn, mọi truy vấn đều được ghi lại.
04
Đánh giá
Kết quả được đối chiếu với hành vi bình thường của từng thực thể và các trường hợp trông giống đã biết.
05
Báo cáo
Phát hiện được gắn vào thực thể và case của nó, kèm truy vấn đã tạo ra kết quả và mức bằng chứng.
Được xây để kiểm chứng
- Chỉ đọc log của bạn; săn tìm không bao giờ thay đổi dữ liệu hay cấu hình.
- Truy vấn hiển thị cùng phát hiện chính là truy vấn đã chạy, nên kết quả tái lập được.
- Một lần tìm kiếm lỗi hoặc rỗng được báo đúng như vậy, không bao giờ coi là kết quả sạch.
- Mức bằng chứng được ghi rõ: đã thấy trong log, nghi ngờ, hoặc chưa xác nhận.
- Threat intelligence từ nguồn bên ngoài có thể đặt câu hỏi nhưng không bao giờ tự đóng một case.
- Secret và mật khẩu không bao giờ được lưu hay hiển thị; giá trị nhạy cảm được che trong phát hiện.
Câu hỏi thường gặp
Điều tra tự động trong SOC là gì?
Là việc thu thập và viết lại bằng chứng mà analyst vẫn làm bằng tay: lịch sử thực thể, alert liên quan, tìm kiếm trên log và threat intelligence, tóm lại thành bản tóm tắt có nguồn và khuyến nghị.
Threat intelligence trở thành cuộc săn như thế nào?
Khi có IOC, kỹ thuật hay vụ rò rỉ mới, ApexAI xác định hệ thống nào của bạn có thể cho thấy nó và tìm trên log. Kết quả khớp được gắn vào thực thể liên quan để hiện trong bối cảnh, không thành một danh sách riêng.
Săn tìm có làm chậm hay thay đổi SIEM của tôi không?
Các cuộc săn dùng truy vấn chỉ đọc trong khung thời gian giới hạn và được xếp lịch để không lấn át truy vấn của chính bạn. Chúng không bao giờ ghi vào SIEM.
Analyst có còn xem lại kết quả không?
Có. Trong bản preview hiện tại, bản tóm tắt và phát hiện hỗ trợ quyết định của analyst. Mỗi bản tóm tắt hiển thị nguồn để kiểm tra nhanh.
Xem ApexAI chạy trên chính cảnh báo của bạn.
Một buổi trình diễn với đội của bạn, bắt đầu ở chế độ quan sát: ApexAI chấm điểm và đề xuất, không tự hành động.