Условия и место записи
Начните с паспорта источника и типа экспорта: AI Analyst incident event, группа инцидента и контейнер SOAR — разные объекты. Для этой инструкции выберите событие с подтверждённым сетевым контекстом в Darktrace NDR. Зафиксируйте систему Darktrace, установленную сборку, доступные права чтения и окно исходной выгрузки. Открытый исходник подтверждает поля, используемые коннектором 1.0.4; он не заменяет полную схему API вашей версии. Пример показывает чтение сохранённой выгрузки, а не запуск нового расследования.
Отбор из локальной копии
Сохраните разрешённый JSON-экспорт до преобразования в индекс. В примере jq отбор выполняется по currentGroup; затем перечисляются отдельные id. Если сначала известен ID одного события, найдите его в копии, прочитайте группу и только после этого собирайте остальные эпизоды. В рабочей заметке укажите источник и момент экспорта: это позволяет сравнить повторные выгрузки без потери контекста. Не объединяйте события лишь по одинаковому заголовку или адресу, особенно если в расследовании несколько appliance либо адрес переиспользовался.
Разбор примера
Синтетический объект содержит событие с отдельным id и группу с другим UUID. В relatedBreaches указан pbid 4242; это ссылка к model breach, а не ID группы. Указанный период задаёт временную область эпизода, и его необходимо сопоставлять с часами других журналов. Устройство 120 и адрес 192.0.2.20 вымышлены. Коннектор использует category группы для своего представления важности; такое представление не добавляет сетевых доказательств. Сначала выпишите эти связи, затем проверьте доступность исходных объектов, не делая выводов по одному summary.
Что можно заключить
Наличие объекта означает, что продукт сформировал событие для анализа. Текст summary помогает сформулировать проверяемую гипотезу, но не заменяет записи соединений, данных конечного узла и контекста разрешённых работ. Текущая группа связывает события в выбранной выгрузке; не считайте их ID взаимозаменяемыми. Похожие результаты нескольких моделей также не следует автоматически считать независимыми подтверждениями: они могут описывать один и тот же сетевой обмен. Успешное получение объекта интеграцией говорит о доставке данных, а не об успешности атаки или блокирования.
Следующая проверка
Перейдите от каждого существенного relatedBreaches.pbid к его исходной модели и сетевым деталям. Постройте временную последовательность с указанием устройства, наблюдавшего сенсора и доступного приложения; непроверенные переходы помечайте отдельно. Для утверждений об учётной записи или запуске процесса нужны соответствующие журналы хоста/идентификации. Если ищется результат реагирования, запросите отдельное свидетельство действия и его результата в продукте или интеграции, которая его выполняла. Подтверждение события аналитиком и изменение карточки инцидента не следует записывать как прекращение вредоносной активности.
Если событие или связь отсутствует
Проверьте отдельное включение AI Analyst в интеграции, права доступа, временное окно и ошибки преобразования. В прочитанном коннекторе опрос AI Analyst отделён от model breaches; наличие одного потока не гарантирует наличие другого. Сравните исходный экспорт с SOAR и журналами доставки. Если currentGroup пуст или связанный pbid не найден, сохраните это как пробел и уточните форму данных для своей версии, не создавая искусственную связь. Пустой результат локального фильтра может означать другую группу, неполный экспорт или неподходящий период; он не исключает сетевой эпизод.