Triage Agent
Summarize Single Alert
Hướng dẫn xem và sử dụng kết quả tóm tắt, đánh giá và đề xuất xử lý một alert của Triage Agent.
Triage Agent hỗ trợ tóm tắt và đánh giá một alert dựa trên bằng chứng có trong alert đó. Summary được trình bày bằng tiếng Anh, bao gồm nhận định của AI, diễn biến, rủi ro còn lại, các thực thể liên quan và hướng xử lý đề xuất.
Để sử dụng Agent, tài khoản cần được bật Enable Agents trong Quota. Kết quả chỉ hỗ trợ phân tích: analyst cần đối chiếu với alert và event gốc trước khi quyết định xử lý. Agent không tự đóng alert hoặc thay đổi nhãn Mark as của analyst.
Xem Summary
- Từ menu bên trái, chọn Detections → Alert.
- Chọn alert cần phân tích để mở panel chi tiết.
- Xem phần summary của Triage Agent, bắt đầu với Assessment, sau đó đọc nội dung tóm tắt, rủi ro còn lại và các giới hạn.
- Đối chiếu kết quả với thông tin alert, Rule và dữ liệu trong tab Event. Xác minh các dữ kiện được nêu trong Gaps & Limitations trước khi quyết định bước xử lý.
Assessment
Assessment là phần đánh giá của AI cho alert hiện tại:
| Trường | Ý nghĩa |
|---|---|
| Verdict | Nhận định của AI về bản chất và tính đúng của phát hiện, chỉ dựa trên bằng chứng của alert đang xem. Đây không phải nhãn Mark as do analyst đặt và không phải kết luận cho toàn bộ case. |
| Confidence | Mức độ AI tin cậy vào verdict, dựa trên độ đầy đủ và tính trực tiếp của bằng chứng. Confidence không phải mức độ nghiêm trọng. |
| Severity | Mức độ nghiêm trọng do AI đánh giá từ severity của alert và bằng chứng hiện có. Mức này có thể giữ nguyên hoặc khác severity do Rule báo. |
| Verdict Rationale | Lý do cho verdict, gồm bằng chứng hỗ trợ nhận định và những giới hạn còn ảnh hưởng đến kết luận. |
| Severity Rationale | Giải thích bằng chứng khiến AI giữ, nâng hoặc hạ mức severity so với mức được báo ban đầu. |
Verdict
| Giá trị | Ý nghĩa |
|---|---|
| True Positive - Malicious | Phát hiện đúng hành vi độc hại: bằng chứng cho thấy hành vi tấn công đã xảy ra hoặc đã được thử thực hiện. |
| True Positive - Benign | Phát hiện đúng hoạt động có thật, nhưng hoạt động đó không độc hại |
| False Positive | Cảnh báo sai: sự kiện được ghi nhận không phải hành vi mà Rule được thiết kế để phát hiện: gồm rule sai phạm vi, transformation/data-quality noise hoặc match nhầm loại event. |
| Undetermined | Chưa đủ thông tin để kết luận: cần thêm bằng chứng để xác định hoạt động là độc hại, hợp lệ hay alert bắt nhầm. |
Confidence
| Giá trị | Ý nghĩa |
|---|---|
| High | Bằng chứng đầy đủ và trực tiếp hỗ trợ verdict; không có thông tin thiếu đáng kể có thể thay đổi kết luận. |
| Medium | Bằng chứng hỗ trợ một phần kết luận nhưng vẫn còn giới hạn hoặc cần thêm bước xác minh. |
| Low | Bằng chứng thiếu, mâu thuẫn hoặc kết luận phụ thuộc nhiều vào suy luận. |
Severity
Severity do AI đánh giá theo thứ tự từ cao xuống thấp: Critical → High → Medium → Low → Information. AI bắt đầu từ severity do Rule báo và chỉ điều chỉnh khi bằng chứng trong alert trực tiếp hỗ trợ thay đổi, chẳng hạn hành vi gây hại đã thành công hoặc hành vi đã bị chặn hoàn toàn và không còn rủi ro tồn dư.
Nội dung Summary
| Trường | Ý nghĩa và cách sử dụng |
|---|---|
| Headline | Tiêu đề ngắn nêu chủ thể, hành động và thông tin quan trọng nhất được bằng chứng hỗ trợ. Không nên dùng tiêu đề thay cho việc kiểm tra event gốc. |
| What happened | Tóm tắt diễn biến được ghi nhận: thời gian, đối tượng, chi tiết kỹ thuật và kết quả nếu có. Khi chưa xác định được kết quả, phần này phải nêu rõ chưa biết, không mặc định hành vi thành công. |
| Residual Risk | Rủi ro vẫn còn sau những gì được ghi nhận trong alert và có thể cần tiếp tục xử lý. Khi dữ liệu không đủ để xác định rủi ro còn lại, trường này có thể để trống và giới hạn được giải thích trong Gaps & Limitations; để trống không có nghĩa là chắc chắn không còn rủi ro. |
| Entities | Danh sách thực thể xuất hiện trong bằng chứng, chẳng hạn Hosts, Users, IP Addresses, Ports, Files, Processes và Domains. Chỉ các nhóm có dữ liệu mới được hiển thị. Một tài khoản xuất hiện trong danh sách không tự chứng minh tài khoản đó là nạn nhân hay thủ phạm. |
| Gaps & Limitations | Những dữ kiện còn thiếu, mâu thuẫn hoặc chưa thể xác minh và ảnh hưởng của chúng đến kết luận. Dùng phần này để xác định thông tin cần kiểm tra thêm; dữ liệu thiếu không đồng nghĩa với việc hành vi không xảy ra. |
Routing Recommendation
Routing Recommendation là đề xuất giúp analyst xác định hướng và thứ tự xử lý.
| Trường | Ý nghĩa |
|---|---|
| Queue | Hàng đợi hoặc nhóm phù hợp để xem xét alert. |
| Escalation Reason | Bản chất của việc cần thực hiện, ví dụ cần xác minh, cần ngăn chặn hoặc cần sửa Rule. Trường này giải thích vì sao cần xử lý, khác với Queue cho biết ai nên xử lý. |
| Priority | Mức ưu tiên xử lý từ P1 đến P4; P1 là mức ưu tiên cao nhất. Priority được xác định theo severity AI đánh giá và bản chất việc cần làm, không tự quy định thời hạn xử lý. Thời hạn phụ thuộc SLA của dịch vụ. |
| Rationale | Giải thích bằng chứng và lý do dẫn đến đề xuất chuyển xử lý và mức ưu tiên. |
Queue
| Queue | Ý nghĩa |
|---|---|
Auto Close (auto_close) | Analyst có thể đóng Alert |
L1 Triage (l1_triage) | Cần xác minh đơn giản. SOC L1 tự xác minh |
L2 Investigation (l2_investigation) | Cần điều tra chuyên sâu. Chuyển SOC L2 |
L3 Threat Hunting (l3_threat_hunting) | Cần điều tra trên nhiều Entities, log source. Chuyển SOC L3 |
Incident Response (incident_response) | Cần xử lý sự cố. Tạo Case hoặc thêm vào Case đang mở |
Detection Engineering (detection_engineering) | Cần kiểm tra Detection Rule |
Platform Ops (platform_ops) | Vấn đề vận hành nền tảng |
NOC (noc) | Vấn đề vận hành mạng |
Human Review Required (human_review_required) | Cần người xem xét khi Agent không thể đưa ra hướng xử lý rõ ràng. |
Escalation Reason
| Giá trị | Ý nghĩa |
|---|---|
active_breach | Có bằng chứng xâm nhập đã xảy ra và đang hoạt động. |
containment_required | Cần chặn hoặc cô lập ngay khi hành vi gây hại đã thành công. |
misconfiguration_remediation | Cần sửa cấu hình sai. |
patch_required | Cần vá lỗ hổng đã biết. |
verification_needed | Cần thêm bằng chứng , xác minh để đưa ra kết luận. |
detection_defect | Vấn đề thuộc Rule, Transformation hoặc pipeline phát hiện. |
none | Không cần escalation. |
Priority
Priority được xác định bằng cách đối chiếu Severity do AI đánh giá với Escalation Reason . P1 là mức ưu tiên cao nhất, P4 là mức thấp nhất.
Recommended Next Steps
Phần Recommended Next Steps mô tả bước tiếp theo được Agent đề xuất dựa trên bằng chứng và các thực thể đã xác định.
Analyst cần kiểm tra thực thể và dữ kiện được nêu trước khi thực hiện. Nếu evidence chưa đủ, bước tiếp theo có thể là thu thập thêm log hoặc xác minh ngữ cảnh thay vì kết luận ngay.
Lưu ý khi đọc kết quả
- Agent dựa trên dữ liệu được truyền của alert hiện tại, chủ yếu là event hoặc kết quả tổng hợp.
- Nếu không đủ bằng chứng, Agent có thể đưa ra Undetermined hoặc không đưa ra kết luận. Kiểm tra Gaps & Limitations và dữ liệu gốc để tiếp tục xác minh.
- MITRE ATT&CK do Rule khai báo được giữ nguyên trong thông tin alert. Nếu Agent suy luận thêm khi Rule chưa khai báo, kết quả được đánh dấu inferred, chỉ là nhận định cần xác minh và không tự làm thay đổi verdict hoặc severity.
- Kết quả AI có thể sai hoặc thiếu. Analyst chịu trách nhiệm xác minh bằng chứng và quyết định phân loại, chuyển xử lý hoặc đóng alert.