Events¶

Mục đích¶

Trang Events là trung tâm phân tích log và xử lý alert — nơi SOC có thể tìm, lọc, điều tra và hành động trên các sự kiện bảo mật.

Tính năng chính¶

Danh sách event với các cột tương ứng (time, agent, source IP, rule level, description).
Bộ lọc linh hoạt: Organization, Office, Agent, Rule Level, Time range, Tags, Saved Profiles.
Hỗ trợ hành động nhanh: Assign, Star, Like, Mark as Read, Create Ticket, Block IP.
Export (PDF/CSV) và lưu cấu hình lọc (Profiles).
Mặc định khi vào phần này hệ thống sẽ chỉ hiển thị các Events có Rule level từ 10 trở lên

Tìm kiếm và lọc¶

Tìm theo keyword (Agent name, IP, filename, process, etc.).
Lọc theo Tag (sensor tag / agent tag) để thu hẹp phạm vi.
Noise Mode: áp dụng Noise Patterns để loại bỏ log lặp/không quan trọng.

Tương tác với event¶

Star / Like: lưu event quan trọng vào My Events.
Assign to me: gán event cho người xử lý.
Mark as Read / Show Unread Only: quản lý trạng thái xử lý.
Select Columns: ẩn/hiện cột trong bảng.

Event detail (Chi tiết sự kiện)¶

First read: thời điểm sự kiện được mở lần đầu.
Block IP: chuyển sang màn hình Block IP với field được điền sẵn.
Create new ticket: mở form tạo ticket với thông tin pre-filled từ event.
AI Assistant: gợi ý phân tích và bước xử lý cho Tier 1.
Notes & Comments: thêm ghi chú, bình luận để phối hợp xử lý.

Monitoring metrics¶

Events/sec: biểu đồ realtime hiển thị tốc độ sinh log.
Timeline chart: biểu đồ số lượng event theo khoảng thời gian (zoom/selection supported).
Tổng event trong khoảng thời gian: show aggregated counts (default: 7 days).

Save Profiles¶

Lưu cấu hình lọc thường dùng (Organization / Office / Agent / Time / Rule level) để tái sử dụng nhanh.

DQL (Advanced Query)¶

DQL Query giúp phân tích các trường chi tiết trong log. Câu query bên dưới là ví dụ để lấy các event thuộc Sysmon Event 1 và có filename là FileCoAuth.exe (lưu ý cần chọn log All Level)

data.win.system.eventID:1 AND data.win.eventdata.originalFileName:FileCoAuth.exe

Gợi ý: bật All Level khi cần tìm across all rule levels.