Candidati di correlazione

Cosa rappresentano

Un candidato di correlazione semantica raggruppa cluster tecnici che possono appartenere allo stesso episodio di sicurezza. È distinto dal Finding e dall'incidente. La disponibilità della vista dipende dal percorso e dalle funzionalità abilitate nel tenant; può essere raggiunta anche da un riferimento alla sorgente semantica di un Finding.

Questa pagina è verificata sul codice del portale. Non sono stati eseguiti ricalcoli, fusioni o promozioni sullo stage.

Elenco e filtri

Controllo	Valori / effetto
Stato	open, awaiting_review, promoted, dismissed, merged, stale, superseded.
Gravità	critical, high, med, low.
Categoria	network_scanning oppure network_ioc_activity tra i filtri dell'interfaccia.
Aggiorna	Rilegge l'elenco. Non ricalcola la correlazione.
Nuova esecuzione	Richiede un tenant selezionato e un intervallo data/ora. Avvia una run manuale di backfill di categoria network.

La tabella presenta titolo e sintesi, prime evidenze chiave, gravità, confidenza percentuale, stato, categoria, MITRE, numero di cluster tecnici, alert e occorrenze, servizi principali, endpoint protetti e ultima osservazione. L'elenco viene letto per blocchi di 50 elementi: i primi elementi caricati non sono necessariamente l'intera popolazione.

Dismiss archivia il candidato dopo conferma. Promote crea un incidente includendo gli alert membri e non è disponibile quando esiste già l'incidente promosso. Il dettaglio applica ulteriori vincoli in base allo stato.

Dettaglio e composizione

Prima di modificare un candidato controlla i cluster membri, le motivazioni di appartenenza e le evidenze rappresentative. Il riepilogo distingue conteggi, finestra temporale, servizi, endpoint protetti, sorgenti principali e incidente promosso.

I comandi di modifica del dettaglio sono disabilitati per candidati dismissed, promoted, merged e superseded.

Comando	Campi e risultato
Apri cluster	Naviga al cluster tecnico per verificarne gli alert.
Split	Separa il membro selezionato tramite il comando dedicato, dopo conferma.
Exclude	Esclude il cluster membro dalla composizione, dopo conferma.
Merge	Richiede Target candidate, scelto tra candidati offerti per tenant/categoria; nota facoltativa. Il candidato corrente non può essere il target.
Confirm MITRE	Registra la conferma delle tattiche e tecniche attualmente assegnate.
Override MITRE	Permette di cambiare elenchi di tattiche e tecniche, come tag separati da virgola/spazio, e una nota facoltativa.
Promote	Crea il caso includendo gli alert membri e apre l'incidente risultante.

La modifica MITRE è una decisione di classificazione: deve essere supportata dalle evidenze. Un elenco vuoto e un elenco confermato non sono equivalenti.

Aggiornare la correlazione

Update correlation esegue un ricalcolo; il semplice refresh dell'elenco no. Usalo dopo una modifica alla sorgente o ai membri, oppure quando il Finding richiede esplicitamente un refresh semantico.

Il ricalcolo non conferma le evidenze, non registra una disposizione del Finding e non supera i gate di qualità. Il pannello mostra il perimetro della run: lineage del candidato selezionato oppure, per run precedenti, finestra di osservazione più ampia del tenant.

Esito	Interpretazione e seguito
changed	Il candidato corrente è cambiato o sono stati creati nuovi candidati. Controlla differenze e nuove destinazioni; torna al Finding per la rivalutazione mirata se necessaria.
unchanged	Nessun cambiamento visibile secondo il confronto. Non ripetere senza nuovi dati: verifica le lacune e correggi la fonte.
failed	La run ha fallito; controlla errore e avvisi.
Richiesta non riuscita	Esito della chiamata non confermato; rileggi l'ultima run persistita prima di un nuovo tentativo.

I dettagli riportano cluster in input, selezionati, scartati, candidati creati, delta dei conteggi/confidenza, avvisi sulle evidenze e identificativo della run. Un numero di cluster selezionati pari a zero è un risultato da analizzare, non una conferma automatica di benignità.

Per il percorso successivo consulta Finding e Cluster tecnici e Indagini e incidenti.