Sichtungssuchen in MISP
Sie können Sichtungssuchen für erkennbare Elemente in der Instanz MISP durchführen, um zu bestimmen, wie häufig bestimmte Arten von Angriffen, z. B. Phishing-Angriffe oder Kommunikation mit einer schädlichen IP oder URL, in Ihrem Netzwerk auftreten. Jedes Auftreten gilt als Sichtung.
Sichtungen in MISP
Einige Attribute werden als falsch positiv betrachtet, was bedeutet, dass sie keine gültigen Sichtungen sind. Andere Attribute sind nur für eine bestimmte Dauer gültig, z. B. eine Phishing-Kampagne, die nur eine Woche lang ausgeführt wird. Sie können den Attributen, die für eine bestimmte Dauer gültig sind, ein Ablaufdatum zuweisen, aber jede Organisation kann einem Attribut nur ein gültiges Ablaufdatum zuweisen.
Sichtungen, die in MISP von Benutzern von Organisationen erstellt werden, die auf dem entsprechenden MISP-Server als lokal gekennzeichnet sind, werden als interne Sichtungen bezeichnet. Sichtungen, die in MISP von Benutzern von Organisationen erstellt werden, die auf dem entsprechenden Server MISP als Remote markiert sind, werden als externe Sichtungen bezeichnet.
Sichtungssuchen in SIR
Der Workflow „Security Operations Integration - Sichtungssuche“ führt die Sichtungssuche aus. Dieser Flow akzeptiert eine Liste von erkennbaren Elementen, findet implementierte Fähigkeiten, erstellt die Abfragen, die auf den Sichtungssuchkonfigurationen basieren, und führt die Suchen aus, die auf dem konfigurierten Flow basieren.
Sichtungssuchen helfen Analysten, die Verbreitung einer Bedrohung im Zeitverlauf zu bestimmen. Sie können einzelne oder mehrere erkennbare Elemente und den Datumsbereich für Ihre Suche aus einem Security Incident auswählen. Ergebnisse sind in den zugehörigen Listen Security Incident Sichtungen, Sichtungssuchergebnisseund Sichtungssuchdetails enthalten.
Wenn Sie mit der Analyse eines Incidents beginnen, können Sie Now Platform so einrichten, dass automatisch eine Sichtungssuche oder manuell eine Sichtungssuche nach erkennbaren Elementen durchgeführt wird, um andere Anwender in Ihrer Organisation zu identifizieren, die von demselben Phishing-Angriff betroffen sind.
Aktivieren Sie die automatische Sichtungssuche in MISP
Aktivieren Sie die automatische Ausführung der Sichtungssuche in MISP, damit der Workflow „Security Operations Integration – Sichtungssuche“ ausgelöst wird, wenn neue erkennbare Elemente einem Security Incident zugeordnet werden.
Vorbereitungen
Stellen Sie sicher, dass Konfigurationsprofil für die Sichtungssuche für MISP ist aktiv.
Erforderliche Rolle: sn_si.analyst
Warum und wann dieser Vorgang ausgeführt wird
Prozedur
-
Überprüfen Sie die Arbeitsnotizen, nachdem dem Security Incident neue erkennbare Elemente zugeordnet wurden.
Eine Arbeitsnotiz wird veröffentlicht, wenn der Workflow „Security Operations Integration – Sichtungssuche“ ausgelöst wurde.
Das folgende Beispiel zeigt den Abschnitt „Arbeitsnotizen“.
-
Zeigen Sie die aggregierten Informationen von erkennbaren Elementen an, die für alle Ereignisse (global) sichtbar und nach ihrer internen oder externen Sichtung kategorisiert sind, nachdem die Workflow-Ausführung abgeschlossen wurde.
Zeigen Sie die Informationen in den zugehörigen Listen Sichtungen, Sichtungssuchergebnisse und Sichtungssuchdetails an. Das folgende Beispiel zeigt den Sichtungssuchdatensatz, der in der zugehörigen Liste Sichtungen erstellt wurde.
Tabelle : 1. Sichtungssuche-Datensatz Feld Beschreibung Erstellt Datum und Uhrzeit der Erstellung des Datensatzes für die Sichtungssuche. Erkennbares Element Erkennbares Element, nach dem von der Abfrage gesucht wird. Sichtungsanzahl Anzahl der internen und externen Sichtungen. Quelle Quelle des erkennbaren Elements. Wenn das erkennbare Element aus einer Organisation MISP stammt, werden dem Datensatz die Wörter MISPvorangestellt.Ist lokal Status, der angibt, ob die Sichtung von einem internen Anwender gemeldet wurde. Sichtungssuchlink Sichtungssuchlink in der Instanz MISP. Zusammenfassung Typ der Sichtungen, die dem Datensatz zugeordnet sind. Die drei Arten von Sichtungen sind „Sichtung“, „Falsch positiv“ und „Ablauf“. Die Spalte „Zusammenfassung“ wird nur angezeigt, wenn MISP integration for Security Operations installiert ist. Wenn andere Quellen als MISP angezeigt werden, ist der Spalteneintrag „Zusammenfassung“ für diesen Datensatz leer.
Führen Sie eine manuelle Sichtungssuche in durch MISP
Wählen Sie einzelne oder mehrere erkennbare Elemente aus, und führen Sie eine manuelle Sichtungssuche in der Anwendung Now Platform MISP integration for Security Operations durch, um die Verbreitung einer Bedrohung im Zeitverlauf zu bestimmen.
Vorbereitungen
- Überprüfung des folgenden Elements: MISP Anwenderrolle und Berechtigungen zur Verwendung der bidirektionalen MISP -Funktionen.
- Erforderliche Rolle: sn_si.analyst
Prozedur
-
Klicken Sie auf Suche.
Das folgende Beispiel zeigt die Ergebnisse der manuellen Sichtungssuche in den Arbeitsnotizen.
Ergebnisse
Melden Sie Sichtungen an MISP
Melden Sie Sichtungen in Bedrohungsdaten, damit Sie auf falsch positive Meldungen in Ihren Daten reagieren können, und erhöhen Sie Ihr Bewusstsein, wenn eine wirklich positive Bedrohung auftritt. Sie können auch ein Ablaufdatum für ein bestimmtes erkennbares Element oder Attribut hinzufügen.
Vorbereitungen
- Überprüfung des folgenden Elements: MISP Anwenderrolle und Berechtigungen zur Verwendung der bidirektionalen MISP -Funktionen.
- Erforderliche Rolle: sn_si.analyst
Warum und wann dieser Vorgang ausgeführt wird
Um eine Sichtung an MISPzu melden, muss das erkennbare Element oder das Attribut in der Instanz MISP verfügbar sein.
Prozedur
-
Wählen Sie das erkennbare Element aus, und wählen Sie im Menü Aktionen eine der folgenden Optionen aus.
Option Beschreibung MISP: Sichtungen von erkennbaren Elementen melden Melden Sie das erkennbare Element als gesehen an MISP. Wenn das erkennbare Element mehreren Ereignissen zugeordnet ist, wird es in allen Ereignissen aktualisiert. MISP: Erkennbares Element als falsch positiv melden Erkennbares Element als falsch positiv an MISPmelden. MISP: Erkennbares Element als abgelaufen melden Erkennbares Element als abgelaufen melden an MISP. Wenn Sie erkennbare Elemente auswählen, die nicht spezifisch für eine MISP -Quelle sind, zeigt das Menü „Aktionen“ die Anzahl der relevanten MISP -Quellen an. Das folgende Beispiel zeigt vier von acht erkennbaren Elementen als relevant für MISP.Das folgende Beispiel zeigt das Aktionsmenü und die relevanten erkennbaren Elemente für die Übermittlung.Abbildung : 1. Aktionsmenü, das die relevanten erkennbaren Elemente für die Übermittlung anzeigt - Wahlweise:
Wenn Sie die Option MISP: Sichtung erkennbarer Elemente melden ausgewählt haben, müssen Sie die Felder im Dialogfeld „Sichtungen erkennbarer Elemente an MISP melden“ ausfüllen.
Tabelle : 3. Dialogfeld „Sichtung erkennbarer Elemente an MISP melden Feld Beschreibung Quelle Quellfeld, das der Quelle MISP der Sichtung entspricht. Datum Datumsfeld, das dem Datum entspricht, an dem das erkennbare Element sichtbar wurde. Wenn das Datum leer ist, werden das aktuelle Datum und die aktuelle Uhrzeit in MISPausgefüllt. Das folgende Beispiel zeigt, wie Sie zur zugehörigen Liste „Sichtungen“ im Security Incident navigieren. Aus dieser Liste können Sie ein erkennbares Element auswählen und die Sichtung des erkennbaren Elements an MISPmelden. Die Erfolgsmeldung gibt an, dass die Sichtung erfolgreich an MISPübermittelt wurde.
Abbildung : 2. Meldet Sichtungen erkennbarer Elemente an MISP - Klicken Sie auf Sichtung melden.