Configurar o playbook T1070 - Logs de eventos do Windows limpos
Use as etapas a seguir para configurar o playbook T1070 - Logs de eventos do Windows limpos.
Antes de Iniciar
Função necessária:
- sn_si.admin
- flow_designer
Certifique-se de ter instalado o Security Operations Spoke (sn_sec_spoke).
Procedimento
-
Crie uma cópia do fluxo do playbook T1070 - Logs de eventos do Windows limpos e faça as modificações necessárias.
Para criar uma cópia do fluxo do playbook, selecione o ícone de
e selecione Copiar fluxo. Execute esta etapa somente se você planejar personalizar ou fazer mudanças específicas no fluxo.Figura 1. T1070 - Playbook limpo dos logs de eventos do Windows -
Condição do gatilho para o playbook: este playbook é acionado e associado ao incidente de segurança quando a Categoria é Acesso não autorizado.
Figura 2. T1070 - Logs de eventos do Windows limpos da condição do gatilho do playbook