Detecções em MISP

Alguns atributos são considerados falso-positivos, o que significa que não são detecções válidas. Outros atributos são válidos por apenas uma determinada duração, como uma campanha de phishing que é executada por apenas uma semana. Você pode atribuir uma data de vencimento aos atributos que são válidos por uma determinada duração, mas cada organização pode atribuir apenas uma data de vencimento válida a um atributo.

As detecções criadas em MISP por usuários de organizações marcadas como locais no servidor MISP correspondente são conhecidas como detecções internas. As detecções criadas em MISP por usuários de organizações marcadas como remotas no servidor MISP correspondente são conhecidas como detecções externas.

Pesquisas de detecções em SIR

O fluxo de trabalho Integração de Operações de segurança - Pesquisa de detecções executa a pesquisa de detecções. Este fluxo de trabalho aceita uma lista de observáveis, encontra capacidades de implementação, cria as consultas baseadas nas configurações de pesquisa de detecções e executa as pesquisas baseadas no fluxo de trabalho configurado.

As pesquisas de detecções ajudam os analistas a determinar a predominância de uma ameaça ao longo do tempo. Você pode selecionar observáveis individuais ou múltiplos e o intervalo de datas para sua pesquisa de um incidente de segurança. Os resultados são incluídos nas listas relacionadas Detecçõesde incidentes de segurança, Resultadosda pesquisa de detecções e Detalhes da pesquisa de detecções.

Ao começar a analisar um incidente, você pode configurar seu Now Platform para executar automaticamente uma pesquisa de detecções ou executar manualmente uma pesquisa de detecções de observável para identificar outros usuários em sua organização que foram afetados pelo mesmo ataque de phishing.