Pesquisas de detecções em MISP
Você pode realizar pesquisas de detecções em observáveis no MISP Para determinar com que frequência determinados tipos de ataques, como ataques de phishing ou comunicações com um IP ou URL malicioso, ocorrem em sua rede. Cada ocorrência é considerada um avistamento.
Vistas em MISP
Alguns atributos são considerados como falsos positivos, o que significa que não são avistamentos válidos. Outros atributos são válidos por apenas uma determinada duração, como uma campanha de phishing executada por apenas uma semana. Você pode atribuir uma data de expiração aos atributos que são válidos por uma determinada duração, mas cada organização pode atribuir apenas uma data de expiração válida a um atributo.
Vistas criadas em MISP Por usuários de organizações marcadas como locais no servidor MISP correspondente são conhecidas como detecções internas. Vistas criadas em MISP por usuários de organizações marcadas como remotas no correspondente MISP o servidor é conhecido como detecções externas.
Pesquisas de detecções em SIR
. Integração de operações de segurança - Fluxo de trabalho de pesquisa de detecções executa a pesquisa de detecções. Isso o flow aceita uma lista de observáveis, encontra todos os recursos de implementação, cria as consultas baseadas nas configurações de pesquisa de detecções e executa as pesquisas baseadas no configurado fluxo.
As pesquisas de detecções ajudam os analistas a determinar a prevalência de uma ameaça ao longo do tempo. Você pode selecionar observáveis individuais ou vários observáveis e o intervalo de datas para sua pesquisa de um incidente de segurança. Os resultados são incluídos no Incidente de segurança Vistas , Resultados da pesquisa de detecções e. Detalhes da pesquisa de detecções listas relacionadas.
Ao começar a analisar um incidente, você pode configurar seu ServiceNow AI Platform para execute automaticamente uma pesquisa de detecções ou execute manualmente uma pesquisa de detecções de observáveis para identificar outros usuários em sua organização que são afetados pelo mesmo ataque de phishing.
Habilite pesquisas de detecções automáticas em MISP
Habilite a pesquisa de detecções em MISP Para executar automaticamente para que o fluxo de trabalho Integração de operações de segurança - Pesquisa de detecções seja acionado sempre que novos observáveis forem associados a um incidente de segurança.
Antes de Iniciar
Verifique se Perfil de configuração de pesquisa de detecções para MISP está ativo.
Função necessária: sn_si.analyst
Por Que e Quando Desempenhar Esta Tarefa
Procedimento
-
Revise as anotações de trabalho depois que novos observáveis forem associados ao incidente de segurança.
Uma anotação de trabalho é publicada quando Integração de operações de segurança - Fluxo de trabalho de pesquisa de detecções foi acionado.
O exemplo a seguir mostra a seção de anotações de trabalho.
-
Exiba as informações agregadas de observáveis que são vistos em todos os eventos (globais) e categorizados por suas detecções internas ou externas após a conclusão da execução do fluxo de trabalho.
Exiba as informações no Vistas , Resultados da pesquisa de detecções e. Detalhes da pesquisa de detecções Listas relacionadas.O exemplo a seguir mostra o registro de pesquisa de detecções que foi criado na lista relacionada detecções.
Tabela 1. Registro de pesquisa de detecções Campo Descrição Criação em Data e hora em que o registro de pesquisa de detecções foi criado. Observável Observável pesquisado pela consulta. Contagem de detecções Contagem de detecções internas e externas. Origem Origem do observável. Se o observável for de um MISP organização, o registro é precedido pelas palavras MISP.É local Status que indica se a detecção foi relatada por um usuário interno. Link de pesquisa de detecção Link de pesquisa de detecções no MISP instância. Resumo Tipo de detecções associadas ao registro. Os três tipos de avistamentos são avistamento, falso-positivo e expiração. A coluna Resumo aparece somente quando Integração de MISP para Operações de segurança está instalado. Se origens diferentes de MISP For exibida, a entrada da coluna Resumo está vazia para esse registro.
Execute uma pesquisa de detecção manual em MISP
Selecione observáveis individuais ou vários observáveis e execute uma pesquisa de detecção manual no ServiceNow AI Platform Integração de MISP para Operações de segurança aplicação para determinar a prevalência de uma ameaça ao longo do tempo.
Antes de Iniciar
- Revise MISP permissões e função do usuário para usar o. MISP recursos bidirecionais.
- Função necessária: sn_si.analyst
Procedimento
-
Clique em Pesquisar.
O exemplo a seguir mostra os resultados da pesquisa de detecção manual nas anotações de trabalho.
Resultado
Relate avistamentos para MISP
Relate detecções de dados de ameaças para que você possa reagir a falsos positivos em seus dados e aumentar sua conscientização quando ocorrer uma ameaça positiva verdadeira. Você também pode adicionar uma data de expiração para um observável ou atributo específico.
Antes de Iniciar
- Revise MISP permissões e função do usuário para usar o. MISP recursos bidirecionais.
- Função necessária: sn_si.analyst
Por Que e Quando Desempenhar Esta Tarefa
Para relatar um avistamento para MISP, o observável ou o atributo deve estar disponível no MISP instância.
Procedimento
-
Selecione o observável e, no menu Ações, selecione uma das seguintes opções.
Opção Descrição MISP: Relatar detectar detectável Relate o observável como observado para MISP. Se o observável estiver associado a vários eventos, ele será atualizado em todos os eventos. MISP: Relatar observável como falso positivo Relate o observável como falso positivo para MISP. MISP: Relatar observável como expirado Relate o observável como expirado para MISP. Se você selecionar observáveis que não são específicos de um MISP Origem, o menu Ações mostra a contagem de relevantes MISP fontes. O exemplo a seguir mostra quatro de oito observáveis como relevantes para MISP.O exemplo a seguir mostra o menu Ações e os observáveis relevantes para envio.Figura 1. Menu Ações que mostra os observáveis relevantes para envio - Opcional:
Se você selecionou MISP: Relatar detectar detectável , você deve preencher os campos da caixa de diálogo Relatar detecção observável para MISP.
Tabela 3. Relatar detectável para MISP caixa de diálogo Campo Descrição Origem Campo de origem que corresponde a. MISP origem do avistamento. Data Campo de data que corresponde à data em que o observável foi avistado. Se a data estiver vazia, a data e hora atuais serão preenchidas em MISP. O exemplo a seguir mostra como navegar até a lista relacionada detecções no incidente de segurança. A partir dessa lista, você pode selecionar um observável e relatar o avistamento do observável para MISP. A mensagem de sucesso mostra que a detecção foi enviada com sucesso para MISP.
Figura 2. Relata a detecção observável ao MISP - Clique em Detectar relatório .