Использование действия «Создание инцидента»

После настройки поискового задания добавьте действие Создание инцидента. Ниже приведен пример для Планировщика заданий. О параметрах действия см. в статье.

Сначала укажите имя и описание поискового задания:

• Имя - RULE - CS - Sysmon - SystemTimeDiscovery
• Описание - злоумышленник может получить информацию о системном времени или часовом поясе локальной или удаленной системы

Затем укажите поисковый запрос и параметры времени:

source sysmon_operational-*
| search event.code="1" AND rule_name_technique_id="T1124"
| rename rule_name_technique_id as mitre_technique_id
| table @timestamp, mitre_technique_id, event.action, host.name, host.ip, user, original_file_name, image, parent_image, command_line, parent_command_line, process_id, parent_process_id, process_guid, parent_process_guid

• Временной интервал - Последние 30 минут
• Временное поле - @timestamp
• Длительность блокировки (сек) - 60

В блоке Расписание задайте параметры:

• Тип расписания: Cron-выражение
• Cron: 3-59/5 * * * *
• Смещение в миллисекундах: 0

В новом задании подавление выключено. Настройте автоматическое правило:

1. Включите переключатель Подавление
2. Выберите Автоматическое подавление
3. Укажите Окно подавления: 60 минут
4. В поле Поле введите user

Для каждого значения user создается отдельная автоматическая запись. Повторные события с тем же значением не передаются активным действиям, пока запись действует. Подробнее см. в статье Подавление.

В блоке Глобальные параметры добавьте параметр:

• Ключ: guid
• Значение: guid()

На вкладке Активные действия добавьте действие Создание инцидента. Параметры описаны в разделе «Создание инцидента».

Сохраните поисковое задание и дождитесь его выполнения. Чтобы просмотреть инцидент, откройте модуль Менеджер инцидентов в навигационном меню.

На скриншоте показан инцидент, созданный Smart Monitor. Его описание содержит сведения об обнаруженном событии.