Recherches de perception sur les attaques de hameçonnage et de programme malveillant signalées par les utilisateurs
Effectuez des recherches de perceptions sur les e-mails ou les observables pour déterminer la fréquence à laquelle certains types d’attaques, telles que les attaques de hameçonnage ou les communications avec une adresse IP ou une URL malveillante, se produisent dans votre réseau. Chaque occurrence est considérée comme une observation. Les recherches de perceptions pour les observables doivent être configurées pour vos magasins de journaux ou Gestion des informations et des événements et de sécurité (SIEM).
Regardez cette vidéo de trois minutes pour apprendre à utiliser la fonctionnalité de recherche de perception afin de localiser les utilisateurs victimes d’hameçonnage et de suivre les observables liés au hameçonnage et aux programmes malveillants dans le magasin de journaux de votre réseau.
- Utilisateur victime d’hameçonnage : utilisateur qui a reçu un e-mail d’hameçonnage.
- Utilisateur victime : utilisateur qui a interagi avec l’URL d’hameçonnage, généralement en cliquant sur un lien contenu dans l’e-mail d’hameçonnage. Cette action expose potentiellement les informations d’identification à l’attaquant.
- Accédez à la et cliquez sur un incident de sécurité.
- Cliquez sur Afficher IoC sous Liens connexes. Une liste d’observables s’affiche.
- Sélectionnez un observable dans la liste, puis dans la liste Actions , sélectionnez l’une des options suivantes :
- Exécuter la recherche de perception du trafic web
- Exécuter la recherche de perception du trafic des e-mails
- Spécifiez le délai et cliquez sur Rechercher pour effectuer une recherche d’observations.
Configurations de recherche de perceptions enregistrées
Effectuer une recherche de perceptions des e-mails pour les attaques de hameçonnage signalées par les utilisateurs
Recherchez les utilisateurs qui ont reçu des e-mails d’hameçonnage en fonction d’observables tels que l’objet de l’e-mail, le nom de l’expéditeur ou l’ID du message. Vous pouvez ensuite contenir et supprimer ces e-mails d’hameçonnage de votre organisation.
Avant de commencer
Rôle requis : sn_si.analyst
Pourquoi et quand exécuter cette tâche
- Cette implémentation de la recherche de perception pour les observables basés sur l’e-mail a été testée uniquement avec le magasin de journaux Splunk Enterprise.
- Les événements du journal Splunk doivent être conformes au modèle d’information commun (CIM) pour que la requête de recherche de perceptions renvoie des résultats précis.
Procédure
-
Dans la liste Incidents de sécurité , sélectionnez l’un des filtres, tels que tous les incidents ouverts, tous les incidents qui vous sont affectés ou tous les incidents.
Pour afficher les incidents de sécurité d’un type particulier, tels que les incidents critiques ou les e-mails d’hameçonnage, cliquez sur l’un des filtres rapides.
-
Cliquez sur l’incident de sécurité que vous souhaitez analyser.
L’onglet Vue d’ensemble fournit une vue d’ensemble de l’incident de sécurité, y compris une liste des observables, des utilisateurs affectés et des incidents de sécurité similaires.
-
Sous Données d’incident, accédez à .
-
Pour afficher la liste des utilisateurs ayant reçu l’e-mail d’hameçonnage, cliquez sur le symbole > dans la colonne Date de recherche.
Résultats
Effectuer une recherche de perceptions observables pour les attaques de hameçonnage et de programme malveillant signalées par les utilisateurs
Effectuez des recherches de perception sur les observables pour savoir combien d’utilisateurs ont visité un site Web malveillant ou suspect au cours d’une période spécifique.
Avant de commencer
Rôle requis : sn_si.analyst
Pourquoi et quand exécuter cette tâche
- Cette implémentation de la recherche de perceptions pour les observables a été testée uniquement avec le magasin de journaux Splunk Enterprise.
- Les événements du journal Splunk doivent être conformes au modèle d’information commun (CIM) pour que la requête de recherche de perceptions renvoie des résultats précis.
Procédure
-
Dans la liste Incidents de sécurité , sélectionnez un autre filtre, comme Tous les incidents qui me sont affectés, Tous les incidents ouverts ou Tous les incidents.
Pour afficher les incidents de sécurité d’un type particulier, tels que les incidents critiques ou les e-mails d’hameçonnage, cliquez sur l’un des filtres rapides.
-
Cliquez sur l’incident de sécurité que vous souhaitez analyser.
Vous pouvez afficher une vue d’ensemble de l’incident de sécurité, y compris une liste des observables, des utilisateurs affectés et des incidents de sécurité similaires.
Dans la section Observables, notez que la colonne Observable affiche l’adresse e-mail, l’objet et l’URL. Notez également que la colonne Résultat indique que l’URL a été automatiquement analysée lors de l’envoi de l’e-mail d’hameçonnage et qu’il a été déterminé qu’il s’agit d’une URL malveillante connue. La colonne Nombre d’incidents affiche les autres incidents qui partagent le même observable. Ces artefacts indiquent que vous êtes probablement prêt à passer aux procédures de maîtrise de cette attaque de hameçonnage, notamment en déterminant combien d’utilisateurs de l’organisation ont été affectés.
-
Développez la section Search Criteria (Critères de recherche) et cliquez sur Observable Search (Recherche d’observables).
-
Dans la liste Sélectionner une action , sélectionnez Rechercher.
La recherche s’effectue dans le magasin de journaux Splunk à l’aide des critères que vous avez saisis et les utilisateurs clés ciblés par l’attaque malveillante sont affichés dans l’onglet Résultats de la recherche d’observables .
Résultats
Créer des enregistrements de configuration de recherche d’observations
Créez plusieurs enregistrements de configuration de recherche de perceptions et utilisez-les lors de l’interrogation de plusieurs magasins de journaux ou de la modification des paramètres de recherche.
Avant de commencer
Rôle requis : sn_si.admin
- Le module complémentaire CIM doit être installé sur l’instance Splunk.
- Les recherches enregistrées et les requêtes sur place ne sont prises en charge que pour Splunk Integration.
Pourquoi et quand exécuter cette tâche
- Créez des recherches personnalisées qui combinent plusieurs enregistrements d’événements.
- Concevez des recherches efficaces et efficientes.
- Utiliser des entrées paramétrées dans la recherche enregistrée Splunk.
Le système de base inclut les exemples de configurations, comme illustré dans cette image :
Pour vérifier si la configuration de recherche enregistrée correspond à la configuration définie sur votre instance Splunk :
- Accédez à la .
- Définissez tous lescontextes de l’application.
Une liste des rapports de recherche s’affiche.
- Confirmez que la requête de recherche enregistrée figure dans la liste.
Dans votre instance Splunk, définissez la recherche enregistrée avec le même nom, la recherche enregistrée par défaut : e-mails, et les mêmes paramètres de recherche pour l’adresse e-mail et l’objet de l’e-mail. Si le nom et les paramètres de recherche ne sont pas les mêmes, la recherche de perceptions ne génère pas de résultat précis.
Procédure
Résultats
Que faire ensuite
Après avoir défini la requête de recherche, cliquez sur Générer une requête de test de recherche de détections, puis spécifiez une liste de valeurs observables pour générer une requête de test basée sur cette configuration de recherche enregistrée.