Статистика удаленных IoC
Дашборд Threat Intelligence: Статистика удаленных IoC предназначен для просмотра индикаторов с истекшим сроком действия и восстановления нужных IoC в активную базу.
Индикаторы хранятся в корзине 30 суток с момента переноса. Для просмотра данных выберите Период в верхней части дашборда. По умолчанию выбран период за последние два месяца.
Метрики IoC
В верхней части расположены три карточки:
- Количество IoC в корзине за период — количество индикаторов, перенесенных в корзину за выбранный период
- Процент IoC в корзине от активной базы — отношение количества индикаторов в корзине к количеству активных IoC, выраженное в процентах
- Среднее время жизни IoC — среднее количество дней от создания записи до окончания срока действия
Процент и среднее время жизни рассчитываются по всей базе корзины.
Распределение IoC в корзине
Круговые диаграммы показывают распределение индикаторов по поставщикам, типам IoC и уровням критичности. Используйте их для оценки состава корзины за выбранный период.
Динамика попадания в корзину и удаления
Графики показывают количество IoC, перемещенных в корзину, по дням: общее количество и распределение по поставщикам, типам и критичности.
График предстоящего удаления отображает расчетные даты завершения 30-дневного хранения с разбивкой по поставщикам. Он помогает определить, какие индикаторы следует восстановить в ближайшее время.
Статистика по поставщикам
В таблице представлены показатели по каждому поставщику:
| Показатель | Описание |
|---|---|
| Активные IoC | Количество индикаторов в активной базе. |
| Находятся в корзине | Количество индикаторов в корзине. |
| В корзине относительно активной базы, % | Соотношение количества IoC в корзине и активной базе. |
| Среднее время жизни, дней | Средняя продолжительность от создания записи до окончания срока действия. |
| Будут удалены в течение 1 дня | Индикаторы, срок хранения которых заканчивается в ближайшие сутки. |
| Будут удалены в течение 2–3 дней | Индикаторы, срок хранения которых заканчивается через 2–3 дня. |
| Будут удалены в течение 4–7 дней | Индикаторы, срок хранения которых заканчивается через 4–7 дней. |
Строка «Всего» содержит общие показатели. Таблица отображает данные за все время; по умолчанию на странице показано 10 строк.
Детальная статистика IoC
Таблица содержит значение IoC, тип, поставщика, критичность, время попадания в корзину, дату окончания срока действия, количество дней до удаления и действие Восстановить. По умолчанию на странице показано 50 строк.
Для поиска используйте фильтры:
- Значение IoC — введите IP-адрес, домен, URL или хеш
- Тип IoC — выберите тип индикатора
- Поставщик — выберите источник IoC
- Критичность — выберите уровень критичности
- Дней до удаления — выберите число дней до окончательного удаления. Значение сравнивается с округленным количеством дней
По умолчанию выбрано значение 1 день. Для поиска других индикаторов выберите соответствующее количество дней. При переходе из статистики поставщиков активной базы устанавливается 30 дней.
Восстановление IoC
- Найдите нужный индикатор с помощью фильтров детальной таблицы
- В его строке нажмите
Восстановить - Выполните запрос, сформированный при переходе с помощью
drilldown - Перезагрузите дашборд корзины, чтобы обновить данные на панелях
- Откройте дашборд активной базы и найдите индикатор в блоке «Восстановленные IoC»
При восстановлении индикатор возвращается в активную базу с новым сроком действия 90 суток и удаляется из корзины.
Обслуживание сроков хранения и восстановление обеспечивает скрипт жизненного цикла IoC.