دور Qyronis
Qyronis هو محرك تحليل السلوك في Nova. يتعلم من الأنشطة داخل بيئة العميل لبناء سجل للهويات والعناوين والأجهزة والحسابات والموارد. ويقارن الأنشطة الجديدة بالسلوك السابق لتحديد التغيرات التي قد تحتاج إلى تحقيق.
تُستخدم مخرجاته كأدلة للتحقيق. الانحراف عن النمط لا يثبت نية ضارة، ونقص تغطية المصادر لا يُعرض كسلوك طبيعي. وتظل درجة الثقة والأسباب وحداثة الأدلة والتغطية وحالة النموذج جزءًا من النتيجة.
ما الذي يستطيع Qyronis تقييمه؟
- سلوك الكيان
- يتعلم أنماط الأنشطة للهويات والعناوين والأجهزة والحسابات والموارد المدعومة.
- تقييم الحالة الشاذة
- يقارن النشاط الحالي بالسلوك السابق ويعرض الانحراف ودرجة الثقة والأسباب معًا.
- النية والتسلسل
- يحدد تسلسلات الأنشطة للتحقيق فيها. لا يثبت النمط وحده وجود نية خبيثة.
- تغيّرات الأصول
- يبرز التغيّرات المهمة في إعدادات الأصول المدعومة أو المسؤولية عنها أو هويتها أو سياقها الأمني.
- مسار تغيّر الانكشاف
- يوضح كيف يتغيّر الانكشاف المقدّر عبر الزمن، وأي الكيانات أو الظروف تساهم في هذا التغيّر.
- ذكاء مترابط
- يربط السلوك والأصول والانكشاف والنتائج الأمنية عندما تشير أدلة مستقلة إلى الكيان نفسه بعد التحقق من هويته.
دورة تحليل السلوك في Qyronis
-
01
الرصد
استخدم النشاط المرتبط بمصدره للكيان المحدد وضمن نطاق العميل.
-
02
التعلّم
أنشئ خط أساس للسلوك عند توفر سجل سابق كاف وذي صلة.
-
03
المقارنة
قِس ندرة النشاط وتغيّره وتسلسله مقارنة بالسلوك السابق للكيان.
-
04
التقييم
أرفق الأسباب ودرجة الثقة وحداثة الأدلة والتغطية ومراجع المصادر بالنتيجة.
-
05
احتفظ
استخدم السجل المتعلم في التقييمات اللاحقة مع الحفاظ على الأحداث الأصلية.
حالات واضحة للأدلة غير المكتملة أو المتغيّرة
- التعلّم
- السجل السابق لا يزال غير كافٍ، لذلك لا تُحدد درجة أو نتيجة حاسمة.
- محسوب
- أنتج تقييم السلوك المناسب نتيجة مع سياق يدعمها.
- غير مقيّم
- الأدلة المطلوبة غائبة أو غير مكتملة، لذلك لا يُوصف السلوك بأنه طبيعي.
- متدهور
- اكتملت المعالجة بأدلة أو إمكانات محدودة، ويظل هذا القيد ظاهرًا.
كيفية مراجعة نتيجة Qyronis
- تحقق من الكيان ونطاق المصادر وفترة السلوك وفترة خط الأساس وحالة النموذج الحالية.
- افتح النشاط الأصلي وقارن التغيّر بعمليات العمل المتوقعة.
- راجع درجة الثقة والتغطية وحداثة الأدلة والتغيّرات في المصادر والأدلة الناقصة.
- استعن بالتنبيهات المرتبطة وسياق التهديد والانكشاف السحابي والمسؤولية عن الأصل قبل أن تقرر فتح تحقيق.
- تعامل مع إشارة Qyronis كسياق لـ Threat Hunting أو التحقيق، وليس كتنبيه تلقائي أو أمر بالاستجابة.