Entities
Tài liệu này hướng dẫn cách xem và tạo mới Entity (User hoặc Device) trong tính năng Enrichment, phục vụ bổ sung thông tin ngữ cảnh cho sự kiện khi tìm kiếm, điều tra và phân tích.
Tổng quan
Entities là tập hợp thông tin về User và Device được hệ thống lưu trữ để phục vụ quá trình Enrichment. Dữ liệu Entities có thể đến từ hai nguồn:
- Đồng bộ tự động: Lấy từ các hệ thống bên thứ ba được tích hợp qua Marketplace, ví dụ: Microsoft Entra ID, SentinelOne, Active Directory,...
- Tạo thủ công: Người dùng tự nhập trực tiếp trên giao diện khi cần bổ sung thông tin không có trong các hệ thống trên.
Sau khi được lưu vào hệ thống, dữ liệu Entity có thể được dùng trong Parser thông qua câu lệnh lookup_entities để tự động bổ sung ngữ cảnh vào sự kiện. Đọc chi tiết
Xem danh sách Entities
Bước 1: Truy cập tính năng
- Từ menu, vào Enrichment > Entities.
- Màn hình hiển thị danh sách toàn bộ User và Device đang có trong hệ thống, bao gồm cả dữ liệu được đồng bộ tự động và dữ liệu tạo thủ công.
Bước 2: Lọc và tìm kiếm
Người dùng có thể lọc danh sách theo các tiêu chí sau:
- Entity Type: User hoặc Device.
- Severity: Mức độ quan trọng của entity.
- Tags: Nhãn phân loại đã gán cho entity.
- Thanh tìm kiếm: Tìm nhanh theo tên, email hoặc hostname.
Tạo mới Entity
Bước 1: Mở form tạo mới
- Tại màn hình danh sách Entities, nhấn nút Create Entity ở góc trên bên phải.
- Hệ thống hiển thị form tạo mới. Mặc định, Entity Type được chọn là User.
Bước 2: Điền thông tin Entity
Tùy theo loại Entity cần tạo, điền thông tin theo bảng tương ứng dưới đây.
User Entity
| Trường | Bắt buộc | Mô tả |
|---|---|---|
| Entity Type | Có | Chọn User. |
| Severity | Có | Mức độ quan trọng: Critical | High | Medium | Low. |
| Username | Có | Tên đăng nhập của người dùng. |
| Có | Địa chỉ email của người dùng. | |
| Alias | Không | Tên gợi nhớ hoặc tên hiển thị khác. |
| Job Title | Không | Chức danh của người dùng. |
| Peer | Không | Đơn vị / phòng ban / bộ phận người dùng đang thuộc về. |
| Description | Không | Ghi chú thêm về người dùng. |
| Tags | Không | Nhãn phân loại, dùng để lọc và nhóm entity. |
Device Entity
Để tạo Device, tại trường Entity Type chọn giá trị Device, sau đó điền các thông tin theo bảng sau:
| Trường | Bắt buộc | Mô tả |
|---|---|---|
| Entity Type | Có | Chọn Device. |
| Severity | Có | Mức độ quan trọng: Critical | High | Medium | Low. |
| Device Name / Hostname | Có | Tên thiết bị hoặc hostname. |
| OS | Có | Hệ điều hành: Windows | Linux | Mac. |
| Operating System Version | Không | Phiên bản hệ điều hành (ví dụ: Ubuntu 22.04 LTS). |
| IP Address | Không | Địa chỉ IP của thiết bị. |
| MAC Address | Không | Địa chỉ MAC của thiết bị. |
| Description | Không | Ghi chú thêm về thiết bị. |
| Tags | Không | Nhãn phân loại, dùng để lọc và nhóm entity. |
Bước 3: Lưu Entity
- Nhấn Create Entity để lưu thông tin.
- Nhấn Cancel để hủy và quay về màn hình danh sách. Mọi thông tin đang điền sẽ không được lưu.
Sử dụng Entities trong Parser
Sau khi Entity được tạo, có thể tra cứu dữ liệu trong block #enrichment của Parser bằng cú pháp:
#enrichment
lookup_entities: username = .username
.customs.display_name = display_name
.customs.department = department
.customs.job_title = job_title
Xem hướng dẫn chi tiết về cú pháp tại Cấu hình Parser.