Finding e Cluster tecnici
Modello operativo
Un cluster tecnico raggruppa alert. Un Finding organizza una tesi investigativa con evidenze, rischio, confidenza e contesto. Un incidente è il caso operativo gestito in Indagini. Una proposta di correlazione non è automaticamente un Finding materializzato, e un Finding non comporta automaticamente un incidente.
Coda e Riepilogo di un Finding sono stati osservati nello stage 0.6.0. Le specifiche seguenti derivano dal codice di riferimento; review, rigenerazioni e disposizioni non sono state eseguite durante la redazione.
Coda Finding
| Controllo | Valori / effetto |
|---|---|
| Ricerca | Testo sul contesto esposto dal record. |
| Stato | open, acknowledged, in_review, closed, suppressed_reference_only tra le opzioni del filtro. |
| Gravità | critical, high, med, low. |
| Categoria | Scansione di rete, attività/osservazione IOC di rete, accesso credenziali, command and control, esecuzione endpoint, persistenza. |
| Fonte | semantic_alert_cluster, semantic_alert_cluster_group, finding_multisource. |
| Gruppo / motivo inbound | Filtri condizionali per i Finding di servizi inbound, quando disponibili. |
| Includi finding sostituiti | Include i record sostituiti, utili per la provenienza e lo storico. |
| Open high risk | Stato aperto e rischio almeno 80. |
| Candidate incident | Stato aperto, rischio almeno 80 e confidenza almeno 0,75. È una scorciatoia di selezione, non un'autorizzazione a promuovere. |
| Network scanning | Stato aperto, categoria network_scanning. |
| Low confidence | Stato aperto, confidenza inferiore a 0,75. |
| Review qualità IOC | Seleziona i Finding pertinenti alla rivalidazione; massimo 10 Finding nel batch. |
Le scorciatoie azzerano ricerca e filtro fonte, impostando open. Le metriche e alcune selezioni del triage si riferiscono alla pagina caricata. Un cambio dei filtri resetta la posizione di paginazione; non confrontare una metrica locale con un totale dell'intero tenant.
Workspace investigativo
Ingrandisci immagine| Area | Contenuto tecnico |
|---|---|
| Riepilogo | Tesi, rischio, confidenza, priorità quando disponibile, entità, controevidenze, lacune e prossima azione. |
| Evidenze | Manifesto, ruolo di ogni elemento, origine, intervallo osservato, corpus attivo ed esclusioni. |
| Timeline e delta | Sequenza degli eventi e cambiamenti rispetto alle versioni precedenti. |
| Asset e impatto | Sistemi dell'inventario e riferimenti da classificare; contesto e impatto supportato dalle prove. |
| Analisi SOC | Valutazione assistita, review personale e disposizioni disponibili. |
| MITRE / relazioni | Mappature e collegamenti alle evidenze che le sostengono, quando presenti. |
Rischio e confidenza sono distinti: il primo stima il rischio riportato dal Finding, la seconda l'affidabilità attribuita all'osservazione. Una priorità assente resta non disponibile; non viene inventata dal rischio. Lo stesso vale per MITRE, impatto o conteggi sconosciuti.
Corpus e manifesto delle evidenze
Per ogni elemento verifica ruolo, fonte/identificativo, confidenza, peso, osservazione, sintesi e versione dello snapshot. I dettagli possono mostrare sorgente, target, servizio, direzione, intervallo, occorrenze specifiche, regola di detection e stato del sensore.
Un gruppo riassuntivo distingue numero di occorrenze, base del conteggio, copertura, evidenze rappresentative e membri caricati. Non sommare indistintamente un conteggio aggregato e i suoi membri; “non caricato” non significa “inesistente”.
Correzioni con anteprima
Avvia la review prima dei comandi che la richiedono. Le modifiche al corpus hanno due passaggi: Generate preview, che confronta versione del Finding e corpus, poi Apply change. Leggi variazione del conteggio attivo e avvisi prima di applicare.
| Operazione | Campi / effetto |
|---|---|
| Add existing evidence | Scegli un alert correlato disponibile e un ruolo. Se non esistono candidati, aggiorna la correlazione o usa una controevidenza pertinente. |
| Add counterevidence | Sintesi e motivazione obbligatoria, campi fino a 2000 caratteri; aggiunge una controevidenza dell'analista. |
| Correct evidence role | primary, supporting, context, contradicting: rispettivamente prova principale, sostegno, contesto o contraddizione. |
| Exclude | Toglie l'elemento dal corpus attivo; motivazione obbligatoria fino a 2000 caratteri. Non ripara la sorgente e non cancella automaticamente lo storico. |
| Restore | Riporta nel corpus attivo un elemento escluso. |
| Restore revision | Seleziona uno snapshot precedente, da 1 alla versione precedente a quella corrente quando disponibile. |
| Request more evidence | Registra la richiesta e la motivazione; non dimostra che i nuovi dati siano già arrivati. |
| Refresh after source correction | Rilegge le evidenze dopo aver corretto la fonte. |
Una modifica materiale richiede una review aggiornata prima della disposizione. Dopo una correzione controlla i dati riletti; un checkpoint precedente può essere diventato obsoleto.
Review SOC: contesto, conferme e limiti
La modalità SOC corrente è soc_v1. Il deployment può esporre anche modalità legacy o review_binding_v1: il pannello di collaudo può registrare conferme senza abilitare le disposizioni finali. Usa le azioni effettivamente disponibili nel tenant.
- Avvia la review del Finding quando richiesto dal workspace.
- Apri Review evidence and assets o una disposizione.
- Leggi il contesto catturato, il cutoff, le coperture e le lacune.
- Conferma personalmente evidenze e asset disponibili, includendo i limiti dichiarati.
- Inserisci la motivazione e conferma la disposizione.
Il contesto ha validità di 15 minuti. Le informazioni successive al cutoff non vi sono incluse e il loro totale può essere sconosciuto. La copertura distingue dati completi, parziali, obsoleti, indisponibili o limitati dall'accesso; un conteggio sconosciuto non equivale a zero.
Le informazioni mancanti non impediscono automaticamente una decisione SOC. In soc_v1 sono richieste motivazione e conferme personali valide per entrambi gli ambiti. Aprire ogni pagina di dettaglio o classificare tutti gli asset non è un prerequisito universale: le limitazioni vengono registrate insieme alla decisione. I blocchi di disponibilità del workflow restano applicabili.
Conferme personali
Le conferme sono legate a utente, ciclo di review e impronta del contesto. Il pannello distingue confermata, da rivedere, revocata e conferma precedente non verificata in questa review.
- Save my evidence confirmation / Save my asset confirmation: registra il checkpoint selezionato.
- Revoke my confirmation: revoca la propria conferma.
- Request more evidence: richiede una motivazione e riapre la review delle evidenze.
- Refresh review context: acquisisce un nuovo contesto; le caselle vengono riconsiderate.
- Una propria conferma ancora valida può essere riutilizzata nella disposizione; il pannello lo segnala.
- Il confronto delle impronte permette di capire se un componente è cambiato; non è necessario copiare gli hash nella nota operativa.
Classificazione asset
La classificazione riguarda un riferimento del Finding.
| Classificazione | Dati richiesti |
|---|---|
inventory_linked | Asset dell'inventario; nota facoltativa. La ricerca offre asset attivi dello stesso tenant e non confluiti in altri record. |
confirmed_outside_inventory | Nota obbligatoria: sistema confermato ma non presente nell'inventario. |
unresolved | Nota obbligatoria: identità non risolta. |
external_or_not_relevant | Nota obbligatoria: riferimento esterno o non pertinente. |
La ricerca può usare nome, hostname o IP. Controlla la corrispondenza prima di salvare. Le note SOC sono limitate a 2000 caratteri e, quando obbligatorie, non possono contenere soltanto spazi.
Disposizioni finali
| Disposizione | Stato risultante / effetto |
|---|---|
| Chiudi | closed. |
| Accetta rischio | accepted_risk; la motivazione documenta il rischio accettato. |
| Falso positivo | false_positive; disposizione del Finding, da distinguere dalle policy di soppressione degli alert. |
| Promuovi a incidente | promoted; crea un nuovo incidente oppure collega un incidente esistente dello stesso tenant. |
La promozione propone Create a new incident oppure Link an existing incident. Nel secondo caso seleziona il caso dal tenant corrente. La conferma registra decisione, checkpoint e collegamento; il portale apre l'incidente di destinazione quando disponibile.
| Blocco | Cosa verificare |
|---|---|
permission_denied | Permessi di modifica; per promozione servono anche quelli di scrittura degli incidenti. |
workflow_disabled | Abilitazione workflow nel tenant. |
promotion_disabled | Abilitazione specifica della promozione. |
lifecycle_incompatible | La decisione è prevista per open, acknowledged, in_review. Rileggi lo stato. |
operation_in_progress | Un'altra operazione è in corso. Verifica il suo esito. |
client_upgrade_required | Modalità/versione del client incompatibile con il workflow corrente. |
Reopen finding, quando disponibile, riapre il lavoro. Non presumere che riusi automaticamente le conferme del ciclo precedente.
Conflitti ed esito incerto
| Messaggio | Azione corretta |
|---|---|
| Contesto scaduto o cambiato | Aggiorna il contesto, rileggi i cambiamenti e conferma nuovamente. |
| Stato/ciclo o policy cambiati | Aggiorna prima di scegliere un esito. |
| Conferma personale cambiata | Rivalida l'ambito interessato. |
| Finding/incidente non trovato | Verifica tenant e disponibilità del record. |
| Outcome unknown | Usa Verify review outcome sulla stessa operazione; non inviare una disposizione alternativa. |
| Azione salvata, rilettura fallita | Aggiorna per leggere il risultato; il fallimento della lettura non annulla il salvataggio. |
Il pannello blocca alcune interazioni mentre salva o quando l'esito è incerto, per evitare decisioni concorrenti.
Revisione della proposta dell'agente
Accettare, correggere o respingere una valutazione dell'agente registra feedback sulla proposta. Non modifica automaticamente stato, rischio, gravità o incidenti del Finding.
| Campo | Vincoli / uso |
|---|---|
| Parte revisionata | Intera proposta, conclusione, controevidenza, citazione, lacuna o azione disponibile. L'accettazione riguarda l'intera proposta. |
| Motivo | Esito, priorità o rischio errati; conclusione non supportata; evidenze mancanti; sintesi errata; altro. |
| Nota | Facoltativa per accettazione, obbligatoria negli altri casi; massimo 2000 caratteri. |
| Esito suggerito corretto | actionable, needs_review, likely_false_positive, data_blocked. |
| Priorità corretta | p0, p1, p2, p3. |
| Rischio / affidabilità | Rischio 0–100 e affidabilità 0–100%. |
| Sostegno delle prove | supported, partially_supported, contradicted, insufficient_data. |
| Sintesi corretta | Massimo 4000 caratteri. |
| Conclusione / controevidenza corretta | Testo obbligatorio fino a 4000 caratteri e affidabilità 0–100%. |
| Interpretazione citazione | Supporta, contraddice, non pertinente, mancante/non risolvibile. |
| Lacuna | Modifica descrizione (obbligatoria, massimo 1000 caratteri) oppure segna come risolta nella proposta. |
| Prossima azione | Sostituisci con una delle azioni offerte oppure rimuovi. |
Per una correzione serve almeno un cambiamento strutturato, non soltanto una nota.
Rivalidazione IOC e diagnostica
La rivalidazione prepara un piano con IOC distinti, provider, numero di lookup e motivo (per esempio scadenza). Leggi il piano prima di confermare. Il risultato distingue completati, rischiosi, puliti, errori e timeout. Una copertura parziale può essere accettata dal quorum indicato dal portale; gli insuccessi restano visibili e riducono la confidenza.
Il lookup corrente è supporto decisionale: non ricostruisce la reputazione dell'IOC al momento dell'evento. La rivalidazione non cambia direttamente rischio, stato del Finding o stato dell'incidente. Secondo il percorso disponibile il portale rivaluta i gate oppure richiede una nuova analisi dell'agente.
La diagnostica di migrazione può indicare soglie di rischio/confidenza/qualità, corpus aggregato incompleto o provenienza IOC mancante. Queste osservazioni sulla versione target non devono essere confuse con i requisiti delle conferme personali SOC. Ricalcolare è utile quando cambia un input materiale, non per ripetere indefinitamente lo stesso stato.
Generazione e retention
I controlli amministrativi distinguono Generazione per componenti e Retention operativa: 30 giorni. L'abilitazione richiede una qualifica valida del deployment: versione, policy, ruolo del servizio, memoria, topologia, carico e completamento del passaggio dei writer possono bloccarla.
La retention compatta i dettagli delle run concluse; conserva Finding, storico e prove. Le impostazioni di soglia e autogenerazione sono configurazioni del tenant, separate dalla review di un singolo Finding.
Review degli episodi temporali
La vista delle proposte di segmentazione confronta numero di Finding correnti, episodi proposti, confini temporali e completezza del corpus. Per ciascun gruppo:
- Approva segmentazione;
- Mantieni raggruppato;
- Richiedi verifica manuale;
- Blocca.
La motivazione deve contenere almeno 10 caratteri dopo il trim. Il modulo propone approvazione con corpus completo e blocco quando incompleto; l'operatore deve comunque valutare i confini. Il salvataggio verifica la revisione corrente per evitare sovrascritture concorrenti.
Finalize review congela le decisioni e produce un artefatto di audit. Non applica la segmentazione. Dopo la finalizzazione le decisioni del batch non sono modificabili da quel pannello.
Cluster tecnici
I filtri comprendono stato, gravità, tipo, algoritmo e inclusione dei non operativi/archiviati. I tipi previsti sono source_category, correlation_key, entity, asset, mitre, hybrid. L'interfaccia seleziona inizialmente l'algoritmo alert-clustering-v1.3.0 e offre anche le versioni precedenti.
| Controllo | Effetto |
|---|---|
| New run | Richiede modalità backfill (iniziale) oppure recluster e intervallo temporale. Avvia lavoro, non aggiorna soltanto la vista. |
| Request recluster | Nel dettaglio registra la richiesta di riclustering; disabilitato se il cluster è promosso. |
| Lock / Unlock | Registra il blocco/sblocco del cluster; non disponibile se promosso. |
| Dismiss | Registra l'archiviazione dopo conferma; non disponibile se promosso. |
| Promote | Crea un incidente includendo gli alert membri; disabilitato se esiste già l'incidente promosso. |
| Storico run | Mostra esecuzioni, modalità ed esiti da verificare dopo l'avvio. |
I conteggi Alerts e Occurrences misurano rispettivamente membri e ripetizioni; non sono intercambiabili. Le valutazioni semantiche eventualmente mostrate sono contesto aggiuntivo, non una promozione già eseguita.