Runtime Findings

Runtime Findings hiển thị tất cả security signal được phát hiện bởi Kubernetes runtime agent, phân loại theo severity và MITRE ATT&CK technique. Bạn có thể tìm kiếm, lọc và xem chi tiết đầy đủ của từng finding.

ghi chú

Observe mode: Phiên bản này hỗ trợ observe mode only. Findings hiển thị để giám sát; không có response action nào khả dụng từ màn hình này.

Điều kiện tiên quyết

• Runtime agent phải được cài đặt trên ít nhất một cluster. Xem K8s Asset Inventory.

Xem danh sách Findings

1. Trên sidebar, chọn Findings.

   Finding List tải với time range Last 24h được áp dụng mặc định.

2. Xem các cột.

Cột	Mô tả
Severity	Badge severity: C 9.1 (Critical) · H 7.8 (High) · M 5.4 (Medium) · L 3.2 (Low) — ký tự viết tắt + điểm thập phân
Time	Timestamp phát hiện (DD/MM/YYYY HH:mm), mới nhất trước
Source	Badge nguồn phát hiện: K8s Runtime · K8s Audit · VM Runtime
Finding	Tên finding dạng hyperlink — click để mở Finding Detail drawer
Entity	Resource liên quan: dòng 1 = tên resource + type tag; dòng 2 = namespace (nếu namespaced)
MITRE	MITRE ATT&CK technique ID dạng hyperlink — click để mở MITRE reference tại tab mới; hover để xem tên technique đầy đủ
Event ID	Event identifier (monospace)
Finding ID	Finding ID duy nhất — chuỗi hex 32 ký tự (monospace)

Tìm kiếm và lọc

Filter	Mô tả
Search	Tìm theo tên finding, entity, Event ID hoặc Finding ID. Real-time filter.
Severity	Lọc theo: Critical / High / Medium / Low
Time	Lọc theo time range: Last 1h / Last 24h (mặc định) / Last 3d / Last 7d
MITRE	Lọc theo MITRE technique ID với prefix match — chọn T1059 khớp cả T1059.001, T1059.004, v.v.

Tất cả filter kết hợp theo logic AND. Click Refresh để tải lại findings trong khi giữ nguyên filter hiện tại.

ghi chú

Dùng Severity = Critical kết hợp Time = Last 1h để tập trung vào threat nghiêm trọng nhất trong giờ gần nhất.

Xem chi tiết Finding

1. Click tên finding (link in đậm) trong cột Finding.

   Drawer Finding Detail trượt từ phải màn hình. Finding List vẫn hiển thị phía sau.

Header hiển thị finding title và 3 badges: Source · Severity · MITRE (link sang MITRE ATT&CK).

2. Xem section Details.

Trường	Mô tả
Time	Timestamp phát hiện
Event ID	Event identifier (monospace)
Finding ID	Finding ID duy nhất (monospace)
Detection rule	Tên rule đã kích hoạt finding — khác với finding title
Cluster	Cluster nơi finding xảy ra
Node	Tên node
Namespace	Namespace. Hiển thị "—" với cluster-scoped resource.
Pod	Tên pod. Hiển thị "—" với node-level finding.
Container	Tên container. Hiển thị "—" nếu không có.
Image	Container image theo format registry/image:tag. Hiển thị "—" nếu không có.
Process	Đường dẫn binary đã kích hoạt finding (monospace). Ẩn với K8s Audit finding.
Command	Command line đầy đủ kèm arguments (monospace). Ẩn với K8s Audit finding.
Parent	Process cha (monospace). Ẩn với K8s Audit finding.
Tactic	MITRE ATT&CK tactic (VD: Privilege Escalation)
Technique	MITRE technique ID + tên (VD: T1611 Escape to Host)
Context flags	Risk flags chỉ hiển thị khi giá trị true: Running as root · Full capability set · Dangerous capabilities: CAP_SYS_ADMIN · Shares host PID namespace · Touched sensitive path · Egress to public internet

3. Mở rộng Known Benign Causes (tuỳ chọn).

   Section này liệt kê các tình huống false-positive phổ biến của detection rule. Click Expand để xem, Collapse để ẩn. Section bị ẩn hoàn toàn nếu rule không có danh sách benign causes.

4. Xem Security Graph Context.

   Placeholder: "Security Graph enrichment coming soon — blast radius and lateral movement context will appear here once graph index is built."

5. Mở rộng Raw Event (tuỳ chọn).

   Click Expand JSON để xem raw event data dạng JSON. Click Collapse JSON để ẩn.

6. Click × hoặc click vùng bên ngoài drawer để đóng và quay lại Finding List với filter được giữ nguyên.

Câu hỏi thường gặp

Tại sao chưa có findings sau khi cài agent? Agent cần thời gian để bắt đầu thu thập và gửi data sau khi cài thành công. Nếu sau 30 phút vẫn không có findings, kiểm tra lại network egress rule theo Network Requirement Banner và liên hệ FPT Support.

Tôi có thể block hoặc kill process từ màn hình Findings không? Phiên bản v1.2.2 hỗ trợ observe mode only — không có response action từ màn hình Findings. Response action sẽ được bổ sung trong phiên bản tiếp theo.

Badge "Agents active" hiển thị X/Y (X < Y) nghĩa là gì? Một số node trong cluster không có agent đang hoạt động. Hover icon cảnh báo để xem số node bị ảnh hưởng. Liên hệ FPT Support nếu agent không tự phục hồi.

Bước tiếp theo

• Quản lý K8s Assets — cài đặt hoặc gỡ cài đặt runtime agent trên cluster.