Detecta pesquisas sobre ataques de phishing e malware relatados pelo usuário
Execute pesquisas de vistas em e-mails ou observáveis para determinar com que frequência determinados tipos de ataques, como ataques de phishing ou comunicações com um IP ou URL mal-intencionado, ocorrem em sua rede. Cada ocorrência é considerada um avistamento. As pesquisas de detecções de observáveis devem ser configuradas para seus armazenamentos de log ou gestão de eventos e informações de segurança (SIEM).
Assista a este vídeo de três minutos para saber como usar o recurso de pesquisa de detecções para localizar usuários com phishing e rastrear observáveis de phishing e malware no armazenamento de logs em sua rede.
- Usuário com phishing: Um usuário que recebeu um e-mail de phishing.
- Usuário vítima: Um usuário que interagiu com o URL de phishing, normalmente clicando em um link no e-mail de phishing. Esta ação potencialmente expõe credenciais ao invasor.
- Navegar até e clique em um incidente de segurança.
- Clique em Mostrar IOC Em Links relacionados. É apresentada uma lista de observáveis.
- Selecione um observável na lista e no Ações selecione uma das seguintes opções:
- Executar pesquisa de detecções de tráfego na web
- Executar pesquisa de detecções de tráfego de e-mails
- Especifique o intervalo de tempo e clique em Pesquisa para executar uma pesquisa de detecções.
Configurações de pesquisa de detecções salvas
Execute uma pesquisa de vistas de e-mail para ataques de phishing relatados pelo usuário
PESQUISE usuários que receberam e-mails de phishing com base em observáveis, como assunto do e-mail, nome do remetente ou ID da mensagem. Em seguida, você pode conter e erradicar esses e-mails de phishing da sua organização.
Antes de Iniciar
Função necessária: sn_si.analyst
Por Que e Quando Desempenhar Esta Tarefa
- Esta implementação da pesquisa de detecções para observáveis baseados em e-mail foi testada somente com o armazenamento de logs do Splunk Enterprise.
- Os eventos de log do Splunk devem estar em conformidade com o CIM (Common Information Model, modelo de informação comum) para que a consulta de pesquisa de detecções retorne resultados precisos.
Procedimento
-
Em Incidentes de segurança , selecione um dos filtros, como todos incidentes em aberto , todos os incidentes atribuídos a você , ou todos os incidentes .
Para exibir incidentes de segurança de um tipo específico, como incidentes críticos ou e-mails de phishing, clique em um dos Filtros rápidos .
-
Clique no incidente de segurança que você deseja analisar.
A guia Visão geral fornece uma visão geral do incidente de segurança, incluindo uma lista de observáveis, usuários afetados e incidentes de segurança semelhantes.
-
Em Dados do incidente , navegue até .
-
Para exibir a lista de usuários que receberam o e-mail de phishing, clique em > Símbolo na coluna Data de pesquisa.
Resultado
Execute uma pesquisa de avistamentos observáveis para ataques de phishing e malware relatados pelo usuário
Execute pesquisas de vistas em observáveis para descobrir quantos usuários visitaram um site malicioso ou suspeito em um período específico.
Antes de Iniciar
Função necessária: sn_si.analyst
Por Que e Quando Desempenhar Esta Tarefa
- Esta implementação da pesquisa de detecções de observáveis foi testada somente com o armazenamento de logs do Splunk Enterprise.
- Os eventos de log do Splunk devem estar em conformidade com o CIM (Common Information Model, modelo de informação comum) para que a consulta de pesquisa de detecções retorne resultados precisos.
Procedimento
-
Em Incidentes de segurança , selecione um filtro diferente, como todos Incidentes atribuídos a mim , Todos os incidentes em aberto , ou Todos os incidentes .
Para exibir incidentes de segurança de um tipo específico, como incidentes críticos ou e-mails de phishing, clique em um dos Filtros rápidos .
-
Clique no incidente de segurança que você deseja analisar.
Você pode ver uma visão geral do incidente de segurança, incluindo uma lista de observáveis, usuários afetados e incidentes de segurança semelhantes.
Na seção Observáveis, observe que a coluna Observável mostra o endereço de e-mail, o assunto e o URL. Observe também que a coluna de descoberta mostra que o URL foi verificado automaticamente quando o e-mail de phishing foi enviado e determinado como um URL malicioso conhecido. A coluna Contagem de incidentes mostra os outros incidentes que compartilham o mesmo observável. Esses artefatos indicam que você provavelmente está pronto para prosseguir para os procedimentos de contenção desse ataque de phishing, incluindo determinar quantos usuários na organização foram afetados.
-
Expanda a seção Critérios de pesquisa e clique em Pesquisa de observável .
-
Em Selecione Ação selecione Pesquisa .
O armazenamento de logs do Splunk é pesquisado usando os critérios inseridos e os principais usuários visados pelo ataque malicioso são mostrados no Resultados da Pesquisa de observável .
Resultado
Crie registros de configuração de pesquisa de detecções
Crie vários registros de configuração de pesquisa de detecções e use-os ao consultar vários armazenamentos de log ou variar os parâmetros de pesquisa.
Antes de Iniciar
Função necessária: sn_si.admin
- O complemento CIM deve ser instalado na instância do Splunk.
- As pesquisas salvas e as consultas no local são compatíveis somente com a integração do Splunk.
Por Que e Quando Desempenhar Esta Tarefa
- Crie pesquisas personalizadas que combinam vários registros de eventos.
- Design-eficiente e pesquisas eficazes.
- Use entradas parametrizadas na pesquisa salva do Splunk.
O sistema de base inclui as configurações de amostra.
Para verificar se a configuração de pesquisa salva corresponde à configuração definida na instância do Splunk:
- Navegar até .
- Mudança Contexto da aplicação para Todos .
Uma lista de relatórios de pesquisa é exibida.
- Confirme se a consulta de pesquisa salva está presente na lista.
Em sua instância do Splunk, defina a pesquisa salva com o mesmo nome, Pesquisa salva padrão - E-mails e os mesmos parâmetros de pesquisa para o endereço de e-mail e o assunto do e-mail. Se o nome e os parâmetros de pesquisa não forem os mesmos, a pesquisa de detecções não gerará um resultado preciso.
Procedimento
Resultado
O que Fazer Depois
Depois de definir a consulta de pesquisa, selecione Gerar consulta de teste de pesquisa de detecções e especifique uma lista de valores observáveis para gerar uma consulta de teste com base nesta configuração de pesquisa salva.