Обогащение события
§§IBT7§§¶@definition¶Обогащение события — добавление к событию контекста из справочников, TI, CMDB, IAM или иных источников.¶@plain¶Проще говоря, «Обогащение события» помогает команде отделить значимое событие от фонового шума, собрать контекст и выбрать следующий шаг аналитика. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.¶@use¶В практике ИБ термин «Обогащение события» используют так: его используют при подключении телеметрии, разработке правил обнаружения, разборе срабатываний и эскалации инцидентов. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.¶@example¶При разборе цепочки событий аналитик SOC обращается к понятию «Обогащение события»: проверяет контекст актива и учётной записи, подтверждает признак и выбирает действие по сценарию реагирования.¶@compare¶Подавление оповещений¦/slovar-informacionnoy-bezopasnosti/soc-i-blue-team/podavlenie-opovescheniy¦Подавление оповещений — контролируемое исключение или снижение шумных алертов по заданным условиям и сроку.¤Разрешающий список (allowlist)¦/slovar-informacionnoy-bezopasnosti/soc-i-blue-team/razreshayuschiy-spisok-allowlist¦Allowlist — список доверенных объектов или действий, для которых допускается исключение из части проверок или правил.¶@steps¶Получить телеметрию¦Для «Обогащение события» собирают нужные события с активом, временем и контекстом источника.¤Применить аналитику¦Правило или специалист сопоставляет признаки с ожидаемым и подозрительным поведением.¤Провести триаж¦Результат «Обогащение события» проверяют, оценивают серьёзность и определяют требуемое действие.¤Улучшить обнаружение¦Итог расследования возвращают в правила, плейбуки, источники данных и контроль качества.¶@resources¶¶@related¶Подавление оповещений¦/slovar-informacionnoy-bezopasnosti/soc-i-blue-team/podavlenie-opovescheniy¤Разрешающий список (allowlist)¦/slovar-informacionnoy-bezopasnosti/soc-i-blue-team/razreshayuschiy-spisok-allowlist¤Выявление аномалий¦/slovar-informacionnoy-bezopasnosti/soc-i-blue-team/vyyavlenie-anomaliy¶@faq¶Что такое «Обогащение события» простыми словами?¦Проще говоря, «Обогащение события» помогает команде отделить значимое событие от фонового шума, собрать контекст и выбрать следующий шаг аналитика. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.¤Как «Обогащение события» применяют на практике?¦В практике ИБ термин «Обогащение события» используют так: его используют при подключении телеметрии, разработке правил обнаружения, разборе срабатываний и эскалации инцидентов. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.