Informações de acúmulo MITRE-ATT&CK das regras de detecção
Habilite o acúmulo de informações de MITRE-ATT&CK das regras de detecção para os incidentes de segurança para obter uma melhor análise de ameaças e incidentes de segurança.
Antes de Iniciar
Função necessária: nenhuma
Certifique-se de ter realizado o seguinte:
- Habilite a propriedade Acumular informações do MITRE ATT e ACK automaticamente das regras de alerta para os incidentes de segurança no módulo Propriedades. Por padrão, esta opção está desabilitada. Para obter mais informações, consulte Revisar as propriedades do sistema MITRE-ATT&CK.
- Execute o mapeamento de regras de detecção para MITRE-ATT&CK TTPs no módulo Regras de detecção - MITRE ATT&CK Mapeamento de TTP. O nome da regra de detecção deve corresponder ao nome da regra de alerta que aciona o incidente de segurança. Para obter mais informações, consulte Criar e mapear regras de detecção.
Por Que e Quando Desempenhar Esta Tarefa
Se você não pretende usar as regras de extração automática do SIEM do sistema de base, habilite o acúmulo automático de MITRE-ATT&CK TTPs com base no mapeamento da regra de detecção. Você pode preencher o alerta ou a regra de evento que aciona o incidente de segurança no campo Nome da regra de alerta. Você também pode preencher o campo Nome da regra de alerta usando a integração SIEM, a análise de e-mail, a criação manual e assim por diante.
Procedimento
-
Clique com o botão direito do mouse no formulário e clique em Salvar.
Se o valor do nome da regra de alerta no incidente de segurança corresponder a um registro no módulo Regra de detecção - Mapeamento de TTP do MITRE ATT e CK, as técnicas e táticas correspondentes associadas à regra de alerta serão vinculadas ao incidente de segurança automaticamente.