Интернетмагазин

 
265
ведка», в Центре безопасности Azure есть функция, позволяющая подробно 
изучить детали проблемы, связанной с информационной безопасностью. Это 
функция расследования. В таком случае мы выберем второе оповещение из 
этого списка и нажмем кнопку 
Investigation (Расследование). Диаграмма рас-
следования для этого конкретного случая показана на рис. 13.14.
Рис. 13.14
Каждая сущность на этой диаграмме предоставляет сведения о своем соб-
ственном объекте, и при наличии других сущностей, связанных с выбран-
ной, вы можете повернуть ее, щелкнув по самому объекту, как показано на 
рис. 13.15.
Карта расследований помогает визуализировать шаги, которые были пред-
приняты во время этой атаки, и лучше понять взаимосвязь между всеми субъ-
ектами, вовлеченными в процесс.

---

266  Расследование инцидента 
Рис. 13.15
Ищите и обрящете 
В реальном сценарии объем данных, собираемых сенсорами и системами мо-
ниторинга, может быть огромным. Ручное исследование этих файлов журна-
лов может занять несколько дней. Вот почему вам нужна система мониторин-
га безопасности, которая может объединять все эти журналы, агрегировать их 
и выдавать осмысленный результат. При этом вам также нужны возможности 
поиска, чтобы при необходимости выуживать более важную информацию, 
пока вы продолжаете расследование.
Возможности поиска в Центре безопасности поддерживаются агентом 
Azure Log Analytics, у которого есть собственный язык запросов. Используя 
Log Analytics, вы можете выполнять поиск в разных рабочих пространствах 
и настраивать детали поиска. Допустим, вам нужно было узнать, были ли 
в этой среде другие компьютеры, на которых присутствовал процесс с име-
нем mimikatz.
Поисковый запрос будет выглядеть примерно так, как показано на рис. 13.16.

---

Выводы 