Recherches de perception sur les attaques de phishing et de programmes malveillants signalées par les utilisateurs
Effectuez des recherches de perception sur des e-mails ou des observables pour déterminer la fréquence à laquelle certains types d’attaques, tels que les attaques par hameçonnage ou les communications avec une adresse IP ou une URL malveillante, se produisent sur votre réseau. Chaque occurrence est considérée comme une observation. Les recherches de perceptions pour les observables doivent être configurées pour vos magasins de journaux ou pour la gestion des informations et des événements et de sécurité (SIEM).
Regardez cette vidéo de trois minutes pour apprendre à utiliser la fonctionnalité Recherche de perception pour localiser les utilisateurs hameçonnés et suivre les observables de hameçonnage et de programmes malveillants dans le magasin de journaux de votre réseau.
- Utilisateur hameçonné : utilisateur qui a reçu un e-mail d’hameçonnage.
- Utilisateur victime : utilisateur qui a interagi avec l’URL d’hameçonnage, généralement en cliquant sur un lien dans l’e-mail d’hameçonnage. Cette action expose potentiellement les informations d’identification à l’attaquant.
- Accédez à la et cliquez sur un incident de sécurité.
- Cliquez sur Afficher l’IoC sous Liens connexes. La liste des observables s’affiche.
- Sélectionnez un observable dans la liste et, dans la liste Actions , sélectionnez l’une des options suivantes :
- Exécuter la recherche de perception du trafic web
- Exécuter la recherche de perception du trafic des e-mails
- Spécifiez le délai et cliquez sur Rechercher pour effectuer une recherche d’observations.
Configurations de recherche de perceptions enregistrées
Effectuer une recherche de perception des e-mails pour les attaques de phishing signalées par les utilisateurs
Recherchez les utilisateurs qui ont reçu des e-mails d’hameçonnage en fonction d’observables tels que l’objet de l’e-mail, le nom de l’expéditeur ou l’ID du message. Vous pouvez ensuite contenir et éradiquer ces e-mails d’hameçonnage de votre organisation.
Avant de commencer
Rôle requis : sn_si.analyst
Pourquoi et quand exécuter cette tâche
- Cette implémentation de la recherche de perceptions pour les observables basés sur l’e-mail a été testée uniquement avec le magasin de journaux Splunk Enterprise.
- Les événements de journal Splunk doivent être conformes au Common Information Model (CIM) pour que la requête de recherche de perceptions renvoie des résultats précis.
Procédure
-
Dans la liste Incidents de sécurité , sélectionnez l’un des filtres, tels que tous les incidents ouverts, tous les incidents qui vous sont affectés ou tous les incidents.
Pour afficher les incidents de sécurité d’un type particulier, tels que les incidents critiques ou les e-mails d’hameçonnage, cliquez sur l’un des filtres rapides.
-
Cliquez sur l’incident de sécurité que vous souhaitez analyser.
L’onglet Vue d’ensemble fournit une vue d’ensemble de l’incident de sécurité, y compris une liste des observables, des utilisateurs affectés et des incidents de sécurité similaires.
-
Sous Données d’incident, accédez à .
-
Pour afficher la liste des utilisateurs qui ont reçu l’e-mail d’hameçonnage, cliquez sur le symbole de > dans la colonne Date de recherche.
Résultats
Effectuer une recherche de perceptions observables pour les attaques de phishing et de programmes malveillants signalées par les utilisateurs
Effectuez des recherches de perception sur les observables pour savoir combien d’utilisateurs ont visité un site web malveillant ou suspect au cours d’une période spécifique.
Avant de commencer
Rôle requis : sn_si.analyst
Pourquoi et quand exécuter cette tâche
- Cette implémentation de la recherche de perceptions pour les observables a été testée uniquement avec le magasin de journaux Splunk Enterprise.
- Les événements de journal Splunk doivent être conformes au Common Information Model (CIM) pour que la requête de recherche de perceptions renvoie des résultats précis.
Procédure
-
Dans la liste Incidents de sécurité , sélectionnez un autre filtre, tel que Tous les incidents qui me sont affectés, Tous les incidents ouverts ou Tous les incidents.
Pour afficher les incidents de sécurité d’un type particulier, tels que les incidents critiques ou les e-mails d’hameçonnage, cliquez sur l’un des filtres rapides.
-
Cliquez sur l’incident de sécurité que vous souhaitez analyser.
Vous pouvez afficher une vue d’ensemble de l’incident de sécurité, y compris une liste des observables, des utilisateurs affectés et des incidents de sécurité similaires.
Dans la section Observables, notez que la colonne Observable affiche l’adresse e-mail, l’objet et l’URL. Notez également que la colonne Recherche indique que l’URL a été automatiquement analysée lorsque l’e-mail d’hameçonnage a été soumis et qu’il a été déterminé qu’il s’agissait d’une URL malveillante connue. La colonne Nombre d’incidents affiche les autres incidents qui partagent le même observable. Ces artefacts indiquent que vous êtes probablement prêt à passer aux procédures de maîtrise de cette attaque d’hameçonnage, notamment à déterminer le nombre d’utilisateurs de l’organisation qui ont été affectés.
-
Développez la section Critères de recherche et cliquez sur Recherche d’observables.
-
Dans la liste Sélectionner une action , sélectionnez Rechercher.
La recherche dans le magasin de journaux Splunk s’effectue à l’aide des critères que vous avez entrés et les principaux utilisateurs ciblés par l’attaque malveillante sont affichés dans l’onglet Résultats de recherche d’observables .
Résultats
Créer des enregistrements de configuration de recherche de perceptions
Créez plusieurs enregistrements de configuration de recherche de perceptions et utilisez-les tout en interrogeant plusieurs magasins de journaux ou en faisant varier les paramètres de recherche.
Avant de commencer
Rôle requis : sn_si.admin
- Le module complémentaire CIM doit être installé sur l’instance Splunk.
- Les recherches enregistrées et les requêtes sur place sont prises en charge pour Splunk Integration uniquement.
Pourquoi et quand exécuter cette tâche
- Créez des recherches personnalisées qui combinent plusieurs enregistrements d’événements.
- Recherches efficaces et efficientes en termes de conception.
- Utilisez les entrées paramétrées dans la recherche enregistrée Splunk.
Le système de base comprend les exemples de configurations.
Pour vérifier si la configuration de recherche enregistrée correspond à la configuration définie sur votre instance Splunk :
- Accédez à la .
- Changez le contexte de l’application en tous.
La liste des rapports de recherche s’affiche.
- Vérifiez que la requête de recherche enregistrée figure dans la liste.
Dans votre instance Splunk, définissez la recherche enregistrée avec le même nom, la recherche enregistrée par défaut : e-mails, et les mêmes paramètres de recherche pour l’adresse e-mail et l’objet de l’e-mail. Si le nom et les paramètres de recherche ne sont pas identiques, la recherche de perception ne génère pas de résultat précis.
Procédure
Résultats
Que faire ensuite
Après avoir défini la requête de recherche, sélectionnez Générer une requête de test de recherche de détections et spécifiez une liste de valeurs observables pour générer une requête de test basée sur cette configuration de recherche enregistrée.