Definir detecção de objeto

  • Versão de lançamento: Xanadu
  • Atualizado 1 de ago. de 2024
  • 4 min. de leitura

    • Defina a detecção de objeto que descreve que um objeto (malware, ferramenta, agente de ameaça e assim por diante) foi visto.

    Antes de Iniciar

    Função necessária: sn_sec_tisc.analyst

    Procedimento

    1. Navegar até Espaços > Central de segurança de inteligência contra ameaças.
    2. Clique no ícone Biblioteca de informações sobre ameaças no espaço.
    3. Ir para Objeto Objeto de detecção.
    4. Clique em Nova.
      Nota:
      Sempre que você cria novos registros de objeto para observáveis, indicadores, entidades ou objetos, um registro de origem é criado e uma mensagem de aviso é exibida informando que o novo registro de objeto foi criado e o usuário é redirecionado para o registro agregado.
    5. No formulário, preencha os campos.
      Tabela 1. Escolher entidade e valor
      Campo Descrição
      Entidade Selecione o registro de detecção do objeto de entidade.
      Nota:
      Durante qualquer nova criação de registro de detecções de objeto, um registro de relacionamento associado é necessário para agregação.
      Detecção de Indica que uma entidade ou indicador específico foi observado em um ambiente que pode ser uma indicação de uma possível ameaça.
      Nota:
      Selecione o registro relacionado à detecção que está associado ao objeto selecionado no campo Entidade para que os registros relacionados possam ser criados e agregados aos registros de detecção.
      Tabela 2. Exibição de Detalhes de detecção de objeto
      Campo Descrição
      ID ID exclusivo de um curso de ação para impedir um ataque.
      Descrição Uma descrição que fornece mais detalhes e contexto sobre a detecção.
      Visto pela primeira vez O início da janela de tempo durante a qual o SDO referenciado pela propriedade foi detectado.
      Visto pela última vez O fim da janela de tempo durante a qual o SDO referenciado pelo qual a propriedade foi avistada.
      Contagem Se presente, deve ser um número inteiro entre 0 e 999,999,999 inclusive e representa o número de vezes que o SDO foi referenciado pelo qual a propriedade foi avistada.
      É resumo Indica se a Detecção deve ser considerada os dados de resumo. Os dados de resumo são uma agregação de relatórios de detecções anteriores e não devem ser considerados dados de origem primária.
      É interno Indica se a detecção é interna.
      TLP O TLP é usado para garantir que informações confidenciais sejam compartilhadas com o público apropriado. Ele emprega quatro cores (branco, verde, âmbar e vermelho) para indicar diferentes graus de sensibilidade.
      Confiança Insira a confiança para este curso de ação.
      Origem Especifica a origem da ameaça a partir da qual este registro de objeto é criado.
      Revogado Indica que os objetos revogados não são mais considerados válidos pelo criador do objeto.
      Tabela 3. Informações
      Campo Descrição
      Anotações Adicione anotações adicionais para este conjunto de intrusão.
      Tabela 4. Informações adicionais
      Campo Descrição
      Contexto adicional Adicione qualquer contexto adicional para este padrão de ataque.
      Versão de especificação A versão da especificação STIX usada para representar este objeto.

      O valor desta propriedade deve ser 2.1 para objetos STIX definidos de acordo com esta especificação.
      Idioma Esta propriedade identifica o idioma do conteúdo de texto neste objeto.
      Hora de criação na origem Especifica a hora em que o objeto é criado na origem.
      Extensões Indica as extensões do padrão de ataque.
      Hora de modificação na origem Especifica a hora em que o objeto é modificado na origem.
      Processando Status Representa o status de processamento deste objeto, curso de ação.
      Criação Especifica a data e a hora em que o objeto é criado na origem.
      Atualizado Especifica a data e a hora em que o objeto foi atualizado na origem.
      Criado por ref Esta propriedade especifica que o objeto de identidade que descreve a entidade criou este objeto.
    6. Clique em Salvar.
      Depois de salvar, uma mensagem de aviso será exibida indicando que Um novo registro de observável foi criado. Clique em Continuar para editar o registro e criar novos relacionamentos.
    7. Clique em “Continuar”.
      Importante:
      Depois de criar um novo registro de observável, a caixa de seleção Impedir atualizações do sistema será exibida.

      Marque esta caixa de seleção para impedir atualizações do sistema depois que o observável, o indicador ou os registros de objetos STIX forem criados.

      Tabela 5. Marcadores e taxonomias
      Campo Descrição
      Marcadores
      Selecionar marcadores Selecione os marcadores associados à identidade.
      Adicionar marcadores Adicionar novos marcadores.
      Taxonomias
      Selecionar taxonomia Selecione uma taxonomia associada a esta infraestrutura.
      Adicionar valores de taxonomia Adicione valores de taxonomia associados a esta infraestrutura.

    O que Fazer Depois

    Clique em qualquer uma das listas relacionadas a seguir para exibir informações adicionais sobre objetos associados à detecção de objeto.
    Tabela 6. Registros relacionados
    Campo Descrição
    Referências externas Lista as referências externas que se referem a informações não STIX. Esta propriedade é usada para fornecer um ou mais identificadores de objeto externo.
    Objetos Lista os objetos associados às detecções.
    Indicadores Lista os indicadores de comprometimento (IoC) relacionados que foram identificados pela origem da ameaça associada a este objeto.
    Nota:
    1. Você pode vincular e desvincular os registros relacionados associados a este objeto. Para obter mais informações, consulte Vincular registros relacionados a informações sobre ameaças.
    2. Os vários SDOs na biblioteca de TI também contêm os possíveis relacionamentos. Para estabelecer relacionamentos entre dois objetos quaisquer, use o link Relacionamentos potenciais da Biblioteca de informações sobre ameaças para confirmar os relacionamentos entre os objetos. Para obter mais informações, consulte Confirmar possíveis relacionamentos objeto-objeto.
    3. Além disso, use a seção Registros relacionados na exibição de formulário de objetos para confirmar os relacionamentos entre dois objetos usando a seção Relacionamentos potenciais disponível na exibição de formulário. Para obter mais informações sobre, consulte Confirmar relacionamentos potenciais de registros relacionados.
    4. Você pode adicionar objetos a casos. Para obter mais informações, consulte Adicionar ao caso.