Phân loại theo thực thể và phân loại theo alert

Alert là đơn vị công việc

Trong SOC lấy alert làm trung tâm, mỗi phát hiện thành một mục cần phân loại. Rule kích hoạt, alert đến, analyst mở từng cái một. Mô hình này đơn giản, khớp với rule SIEM và hệ thống ticket, và dễ đo năng suất.

Điểm yếu lộ ra khi khối lượng lớn. Cùng một hoạt động trên cùng một host có thể kích nhiều rule, nên analyst thấy nhiều alert về cùng một việc. Một cuộc xâm nhập nhiều bước bị rải ra nhiều ticket, do nhiều người đóng vào nhiều ngày khác nhau, cái nào nhìn riêng cũng có vẻ nhỏ. Còn hoạt động thường ngày như backup hay quản trị cứ sinh alert để rồi bị đóng đi đóng lại.

Thực thể là đơn vị công việc

Phân loại theo thực thể gom bằng chứng quanh những thứ mà alert nói tới: host, tài khoản người dùng, địa chỉ IP, domain, ứng dụng. Mỗi thực thể mang theo lịch sử, nhịp hoạt động bình thường, các alert đang mở và quan hệ với thực thể khác. Một alert mới được đọc như thêm một dữ kiện về thực thể đó, không phải một vấn đề mới.

Khi đó analyst đánh giá một câu chuyện: tài khoản này đã làm gì trong mấy ngày qua, có nằm ngoài nhịp thường không, còn chạm tới những gì. Đóng case của thực thể là chốt luôn mọi alert thuộc về nó, và cuộc tấn công trải qua nhiều alert hiện ra thành một chuỗi.

ApexAI tiếp cận thế nào

ApexAI tổ chức case quanh thực thể và câu chuyện của chúng, giữ một case cho mỗi câu chuyện tấn công và nhận ra hoạt động khớp với nhịp bình thường của chính thực thể. Các hub dùng chung được xử lý để không dính các câu chuyện không liên quan vào nhau. Mọi alert vẫn hiện rõ và truy vết được bên trong case của thực thể. Case theo thực thể đang ở bản preview.

Câu hỏi thường gặp