MISP integration for Security Operations
Avec MISP integration for Security Operations, vous pouvez enquêter sur les incidents de sécurité à l’aide de la recherche de perception, de l’enrichissement des observables et créer ou mettre à jour des événements dans MISP. Grâce MISPà , vous pouvez enquêter plus rapidement sur les attaques ciblées, améliorer le taux de détection et réduire le nombre de faux positifs dans votre environnement.
Demander des applications dans l'App Store
Visitez le ServiceNow Store pour afficher toutes les applications disponibles et pour obtenir des informations sur la soumission de demandes à la boutique. Pour obtenir des informations sur les notes de publication cumulatives pour toutes les applications publiées, consultez les ServiceNow Store notes de publication relatives à l'historique des versions.
MISP Vue d'ensemble
MISP, qui signifie Plateform de partage d'informations sur les logiciels malveillants, vous permet d’échanger et de partager des renseignements sur les menaces et les indicateurs de compromission (IoC) sur les logiciels malveillants et les attaques ciblés au sein de votre communauté de membres de confiance. Vous pouvez également partager MISP des informations avec des communautés privées ou ouvertes. En échangeant MISP des informations, vous pouvez enquêter plus rapidement sur les attaques ciblées, améliorer le taux de détection et réduire le nombre de faux positifs dans votre environnement.
Fonctionnalités principales
- Se connecter à des comptes privés et publics MISP instances.
- Prenez en charge la recherche manuelle et automatique de perception des observables.
- Exécutez la recherche de perception à partir de la gestion des tickets.
- Signaler ou mettre à jour les observations d’un attribut :
- Rapporter un observable en tant qu’observation (global)
- Signaler un observable comme faux positif (global)
- Signaler un observable comme expiré
- Prenez en charge l’enrichissement manuel et automatique des observables. Les résultats incluent les informations sur l’attribut et l’événement MISP associées aux observables.
- Enrichissement d’attribut comprenant MISP l’ajout ou la mise à jour de balises, de galaxies ou de commentaires.
- Création d’événement dans MISP de SIR: prend en charge la création manuelle et automatique d’événements à MISP partir de SIR.
- Mettez à jour un MISP événement à partir duquel inclure l’ajout ou la mise à jour de balises, de galaxies ou d’attributsSIR.
- Ajouter les observables associés à un incident de sécurité en tant qu’attributs à un MISP event.
- Extraire automatiquement MITRE-ATT&CK™ informations provenant de MISP attributs et associer les informations à SIR des incidents de sécurité.
- Ajouter automatiquement SIR MITRE-ATT&CK™ les informations sous forme de galaxies à un MISP event.
Concepts clés
Cette intégration comprend les concepts clés suivants que vous devez connaître :- MISP est une plateforme de renseignements sur les menaces (TIP). Vous utilisez les TIP pour collecter, corréler, catégoriser, partager et intégrer des données sur les menaces de sécurité en temps réel afin de prendre en charge la hiérarchisation des actions et de contribuer à la prévention, à la détection et à la réponse aux attaques.
- MISP est un Threat Intelligence Management (TIM). Vous utilisez les TIM pour transformer les données sur les menaces en renseignements sur les menaces via le contexte et pour hiérarchiser automatiquement les menaces par score et pertinence définis par l’utilisateur.
- MISP Couche de données
- Les événements sont des encapsulations d’informations liées contextuellement.
- Les attributs sont des points de données individuels, qui peuvent être des indicateurs ou des données de support.
- Les objets sont des compositions d’attributs de modèle personnalisées.
- Les références d’objets sont les relations entre les autres blocs de construction.
- Les perceptions sont des occurrences spécifiques dans le temps d’un point de données détecté.
- MISP Couche de contexte
- Les balises sont des étiquettes attachées à des événements ou à des attributs et peuvent provenir de taxonomies.
- Les amas de galaxies sont des éléments de base de connaissances que vous pouvez utiliser pour étiqueter des événements ou des attributs provenant de galaxies.
- Les relations de grappes désignent des relations prédéfinies entre les grappes.
- Les indicateurs contiennent un modèle que vous pouvez utiliser pour détecter les cyberactivités suspectes ou malveillantes.
- Les attributs peuvent MISP être des indicateurs réseau (adresse IP), des indicateurs système (une chaîne en mémoire) ou même des détails bancaires. Les attributs dans MISP sont appelés observables dans d’autres SIEM ou formats tels que STIX.
- Un type décrit l’attribut. Par exemple, MD5 ou une URL.
- La catégorie d’attribut décrit un attribut. Par exemple, une livraison de charge utile.
- Une balise IDS détermine si un attribut peut être automatiquement utilisé pour la détection.
Comment votre organisation peut-elle bénéficier de MISP integration for Security Operations
Les analystes de sécurité doivent acquérir et maintenir une connaissance situationnelle du paysage des menaces, ce qui signifie qu’ils doivent consolider et intégrer manuellement une quantité écrasante de données sur les menaces. La collecte, la consolidation et l’intégration de ces données prennent un temps précieux, ce qui ralentit la détection et l’analyse des menaces. MISP integration for Security Operations permet aux analystes de détecter davantage de menaces et de réagir plus rapidement en intégrant des renseignements de MISP sécurité dans une instance existante ServiceNow AI Platform .
En utilisant le MISP integration for Security Operations, votre organisation peut effectuer les actions suivantes :
- Permettez à vos analystes de sécurité de réagir rapidement et dans le contexte approprié.
- Améliorez l’efficacité de votre équipe de sécurité en automatisant les flux d’incidents pour détecter et contenir les menaces.
- Réduisez le temps de recherche manuelle et permettez aux analystes de sécurité d’opérationnaliser et de gérer les indicateurs à partir de .ServiceNow AI Platform
En savoir plus sur cette intégration
| Identificateur de document | Titre de document |
|---|---|
| MISP Site web de la documentation | Site web de la documentation MISP |
| ServiceNow Site web de la documentation produit | Site Web de la documentation produit ServiceNow |