Threat Hunting
Overview
Giới thiệu tính năng Threat Hunting, cho phép chủ động truy vấn dữ liệu trên các bảng events và entities bằng cú pháp SQL để điều tra và săn tìm mối đe dọa.
Threat Hunting là gì?
Threat Hunting là tính năng cho phép người dùng chủ động truy vấn, khám phá dữ liệu trên các bảng events và entities bằng ngôn ngữ truy vấn dạng SQL, phục vụ cho việc săn tìm (hunting) và điều tra các dấu hiệu bất thường, mối đe dọa tiềm ẩn mà các rule phát hiện tự động có thể chưa phủ tới.
Các bảng dữ liệu
- events: các sự kiện bảo mật được thu thập từ các nguồn log. Đây là bảng dữ liệu chính.
- entities: các đối tượng được quản lý như user, device cùng các thuộc tính đi kèm.
Truy cập tính năng
- Từ thanh menu trái, chọn Investigate → Threat Hunting.
- Màn hình Threat Hunting gồm 2 tab chính:
- Saved Queries: quản lý danh sách các truy vấn đã lưu (Custom và Built in).
- Queries: soạn thảo và chạy một truy vấn mới.