Recherches de perceptions sur les attaques de phishing et de logiciels malveillants signalées par les utilisateurs
Effectuez des recherches de perception sur les e-mails ou les observables pour déterminer la fréquence à laquelle certains types d’attaques, telles que les attaques de hameçonnage ou les communications avec une adresse IP ou une URL malveillante, se produisent dans votre réseau. Chaque occurrence est considérée comme une observation. Les recherches de perception pour les observables doivent être configurées pour vos magasins de journaux ou Gestion des informations et événements de sécurité (SIEM).
Regardez cette vidéo de trois minutes pour apprendre à utiliser la fonctionnalité de recherche de perception pour localiser les utilisateurs victimes d’hameçonnage et suivre les observables d’hameçonnage et de programme malveillant dans le magasin de journaux sur votre réseau.
- Utilisateur victime d’hameçonnage : utilisateur qui a reçu un e-mail d’hameçonnage.
- Utilisateur victime : utilisateur qui a interagi avec l’URL d’hameçonnage, généralement en cliquant sur un lien dans l’e-mail d’hameçonnage. Cette action expose potentiellement les informations d’identification à l’attaquant.
- Accédez à la et cliquez sur un incident de sécurité.
- Cliquez sur Afficher l’IoC sous Liens connexes. Une liste d’observables s’affiche.
- Sélectionnez un observable dans la liste, puis sélectionnez l’une des options suivantes dans la liste Actions :
- Exécuter une recherche de perception de trafic sur le Web
- Exécuter la recherche de perception du trafic d’e-mail
- Spécifiez le délai et cliquez sur Rechercher pour effectuer une recherche d’observations.
Configurations de recherche de perceptions enregistrées
Effectuer une recherche d’observations d’e-mails pour les attaques de phishing signalées par les utilisateurs
Recherchez les utilisateurs qui ont reçu des e-mails de hameçonnage en vous basant sur des éléments observables tels que l’objet de l’e-mail, le nom de l’expéditeur ou l’ID de message. Vous pouvez ensuite contenir et éradiquer ces e-mails d’hameçonnage de votre organisation.
Avant de commencer
Rôle requis : sn_si.analyst
Pourquoi et quand exécuter cette tâche
- Cette implémentation de la recherche de perceptions pour les observables basés sur l’e-mail a été testée uniquement avec le magasin de journaux Splunk Enterprise.
- Les événements de journal Splunk doivent être conformes au modèle CIM (Common Information Model) pour que la requête de recherche d’observations renvoie des résultats précis.
Procédure
-
Dans la liste Incidents de sécurité , sélectionnez l’un des filtres, tels que Tous les incidents ouverts, Tous les incidents qui vous sont affectés ou Tous les incidents.
Pour afficher les incidents de sécurité d’un type particulier, tels que les incidents critiques ou les e-mails de hameçonnage, cliquez sur l’un des filtres rapides.
-
Cliquez sur l’incident de sécurité que vous souhaitez analyser.
L’onglet Vue d’ensemble fournit une vue d’ensemble de l’incident de sécurité, y compris une liste des observables, des utilisateurs affectés et des incidents de sécurité similaires.
-
Sous Données d’incident, accédez à .
-
Pour afficher la liste des utilisateurs ayant reçu l’e-mail d’hameçonnage, cliquez sur le symbole du > dans la colonne Date de recherche.
Résultats
Effectuer une recherche d’observations observables pour les attaques de hameçonnage et de programmes malveillants signalées par les utilisateurs
Effectuez des recherches d’observations sur les observables pour savoir combien d’utilisateurs ont visité un site Web malveillant ou suspect au cours d’une période spécifique.
Avant de commencer
Rôle requis : sn_si.analyst
Pourquoi et quand exécuter cette tâche
- Cette implémentation de la recherche de perceptions pour les observables a été testée uniquement avec le magasin de journaux Splunk Enterprise.
- Les événements de journal Splunk doivent être conformes au modèle CIM (Common Information Model) pour que la requête de recherche d’observations renvoie des résultats précis.
Procédure
-
Dans la liste Incidents de sécurité , sélectionnez un autre filtre, par exemple Tous les incidents qui me sont affectés, Tous les incidents ouverts ou Tous les incidents.
Pour afficher les incidents de sécurité d’un type particulier, tels que les incidents critiques ou les e-mails de hameçonnage, cliquez sur l’un des filtres rapides.
-
Cliquez sur l’incident de sécurité que vous souhaitez analyser.
Vous pouvez voir une vue d’ensemble de l’incident de sécurité, y compris une liste des observables, des utilisateurs affectés et des incidents de sécurité similaires.
Dans la section Observables, notez que la colonne Observable affiche l’adresse e-mail, l’objet et l’URL. Notez également que la colonne Résultat indique que l’URL a été automatiquement analysée lors de l’envoi de l’e-mail d’hameçonnage et qu’il a été déterminé qu’il s’agissait d’une URL malveillante connue. La colonne Nombre d’incidents affiche les autres incidents qui partagent le même observable. Ces artefacts indiquent que vous êtes probablement prêt à passer aux procédures de maîtrise de cette attaque de hameçonnage, notamment en déterminant combien d’utilisateurs de l’organisation ont été affectés.
-
Développez la section Search Criteria (Critères de recherche) et cliquez sur Observable Search (Recherche d’observables).
-
Dans la liste Sélectionner une action , sélectionnez Rechercher.
Le magasin de journaux Splunk est recherché à l’aide des critères que vous avez saisis et les utilisateurs clés ciblés par l’attaque malveillante sont affichés dans l’onglet Résultats de recherche d’observables .
Résultats
Créer des enregistrements de configuration de recherche d’observations
Créez plusieurs enregistrements de configuration de recherche de perceptions et utilisez-les lors de l’interrogation de plusieurs magasins de journaux ou de la modification des paramètres de recherche.
Avant de commencer
Rôle requis : sn_si.admin
- Le module complémentaire CIM doit être installé sur l’instance Splunk.
- Les recherches enregistrées et les requêtes sur place sont prises en charge uniquement pour l’intégration Splunk.
Pourquoi et quand exécuter cette tâche
- Créez des recherches personnalisées qui combinent plusieurs enregistrements d’événements.
- Concevez des recherches efficaces et efficientes.
- Utilisez des entrées paramétrées dans la recherche enregistrée Splunk.
Le système de base inclut les exemples de configurations illustrées dans l’image ci-dessous :
Pour vérifier si la configuration de recherche enregistrée correspond à la configuration définie sur votre instance Splunk :
- Accédez à la .
- Remplacez le contexte de l’application par Tous.
Une liste des rapports de recherche s’affiche.
- Vérifiez que la requête de recherche enregistrée figure bien dans la liste.
Dans votre instance Splunk, définissez la recherche enregistrée avec le même nom, Recherche enregistrée par défaut - E-mails, et les mêmes paramètres de recherche pour l’adresse e-mail et l’objet de l’e-mail. Si le nom et les paramètres de recherche ne sont pas les mêmes, la recherche de perceptions ne génère pas de résultat précis.
Procédure
Résultats
Que faire ensuite
Après avoir défini la requête de recherche, cliquez sur Générer une requête de test de recherche de détections, puis spécifiez une liste de valeurs observables pour générer une requête de test en fonction de cette configuration de recherche enregistrée.