MISP Integration for Security Operations
을 사용하면 MISP Integration for Security Operations사이팅 검색, 옵저버블 보강을 통해 보안 인시던트를 조사하고 에서 이벤트를 MISP만들거나 업데이트할 수 있습니다. 를 사용하면 MISP표적 공격을 더 빠르게 조사하고, 탐지 비율을 개선하고, 사용자 환경에서 오탐 수를 줄일 수 있습니다.
스토어에서 앱 요청
ServiceNow Store 웹 사이트를 방문하면 사용 가능한 모든 앱을 확인하고 스토어에 요청을 제출하는 방법에 대한 정보를 참조할 수 있습니다. 출시된 모든 앱의 누적 릴리스 정보는 ServiceNow Store 버전 기록 릴리스 정보를 참조하십시오.
MISP 개요
MISP는 의 약자 Malware Information Sharing Platform로, 신뢰할 수 있는 구성원 커뮤니티 내에서 표적 맬웨어 및 공격에 대한 위협 인텔리전스 및 IoC(Indicators of Compromise)를 교환하고 공유할 수 있습니다. 비공개 또는 공개 커뮤니티와 정보를 공유할 MISP 수도 있습니다. 정보를 교환 MISP 함으로써 표적 공격을 더 빠르게 조사하고, 탐지율을 개선하고, 환경에서 오탐 수를 줄일 수 있습니다.
MISP 및 Security Operations
다음 예제를 참조하여 Security Operations 애플리케이션에서 정보가 흐르는 방식을 MISP 학습하십시오.
주요 기능
- 비공개 및 공개에 연결 MISP 인스턴스레이블이 표시됩니다.
- 옵저버블의 수동 및 자동 사이팅 검색 지원
- 케이스 관리에서 관찰 검색을 실행합니다.
- 속성에 사이팅을 보고하거나 업데이트합니다.
- 옵저버블을 사이팅으로 보고(전역)
- 옵저버블을 긍정 오류로 보고(전역)
- 옵저버블을 만료된 것으로 보고
- 수동 및 자동 옵저버블 보강 지원 결과에는 옵저버블과 관련된 속성 및 이벤트 정보가 포함됩니다 MISP .
- 태그, 은하 또는 주석의 추가 또는 업데이트를 포함하는 속성 보강 MISP 입니다.
- 에서 이벤트 생성 MISP 보낸 사람 SIR: 에서 SIR이벤트 MISP 의 수동 및 자동 생성을 지원합니다.
- MISP태그, 은하 또는 속성의 추가 또는 업데이트를 포함하는 이벤트를 SIR 업데이트합니다.
- 보안 인시던트 관련 옵저버블을 다음에 속성으로 추가 MISP 이벤트레이블이 표시됩니다.
- 자동 추출 MITRE-ATT&CK™ 정보 출처 MISP 속성 정보를 보안 인시던트에 SIR 연결합니다.
- 자동으로 추가 SIR MITRE-ATT&CK™ 은하로서의 정보 MISP 이벤트레이블이 표시됩니다.
핵심 개념
이 통합에는 알아야 할 다음과 같은 주요 개념이 포함됩니다.- MISP 는 위협 인텔리전스 플랫폼(TIP)입니다. TIP를 사용하여 보안 위협 데이터를 실시간으로 수집, 상관 관계, 분류, 공유 및 통합하여 작업의 우선 순위를 지정하고 공격 방지, 탐지 및 대응을 지원할 수 있습니다.
- MISP 는 TIM(Threat Intelligence Management)입니다. TIM을 사용하면 컨텍스트를 통해 위협 데이터를 위협 인텔리전스로 전환하고 사용자 정의 점수 및 관련성에 따라 위협의 우선 순위를 자동으로 지정할 수 있습니다.
- MISP 데이터 계층
- 이벤트는 컨텍스트로 연결된 정보를 캡슐화한 것입니다.
- 속성은 표시기 또는 지원 데이터일 수 있는 개별 데이터 요소입니다.
- 객체는 사용자 지정 템플릿 속성 합성입니다.
- 개체 참조는 다른 구성 요소 간의 관계입니다.
- 사이팅은 검색된 데이터 포인트의 시간별 발생입니다.
- MISP 컨텍스트 계층
- 태그는 이벤트 또는 속성에 첨부되는 레이블이며 분류에서 가져올 수 있습니다.
- 은하단은 은하에서 오는 사건이나 속성에 라벨을 붙이는 데 사용할 수 있는 지식 기반 항목이다.
- 클러스터 관계는 클러스터 간에 미리 정의된 관계를 나타냅니다.
- 표시기에는 의심스럽거나 악의적인 사이버 활동을 탐지하는 데 사용할 수 있는 패턴이 포함되어 있습니다.
- 의 속성은 MISP 네트워크 표시기(IP 주소), 시스템 표시기(메모리의 문자열) 또는 은행 계좌 세부 정보일 수 있습니다. 의 MISP 속성은 다른 SIEM 또는 다음과 같은 STIX형식에서 관찰 가능 개체로 알려져 있습니다.
- 형식은 속성을 설명합니다. 예를 들어, MD5 또는 URL입니다.
- 속성 범주는 속성을 설명합니다. 예를 들어, 페이로드 게재가 있습니다.
- IDS 태그는 속성을 감지에 자동으로 사용할 수 있는지 여부를 결정합니다.
조직의 이점을 활용할 수 있는 방법 MISP Integration for Security Operations
보안 분석가는 위협 환경에 대한 상황 인식을 확보하고 유지해야 하며, 이는 엄청난 양의 위협 데이터를 수동으로 통합하고 통합해야 함을 의미합니다. 이 데이터를 수집, 통합 및 통합하는 데는 귀중한 시간이 소요되므로 위협 탐지 및 분석 속도가 느려집니다. MISP Integration for Security Operations 를 사용하면 보안 인텔리전스를 MISP 기존 Now Platform 인스턴스에 통합하여 분석가가 더 많은 위협을 탐지하고 더 빠르게 대응할 수 있습니다.
를 사용하면 MISP Integration for Security Operations조직에서 다음 작업을 수행할 수 있습니다.
- 보안 분석가가 올바른 컨텍스트로 신속하게 대응할 수 있도록 지원합니다.
- 위협을 탐지하고 억제하기 위한 인시던트 워크플로우를 자동화하여 보안 팀의 효율성을 향상시킵니다.
- 수동 조사 시간을 줄이고 보안 분석가가 Now Platform.
이 통합에 대해 알아보기
| 문서 식별자 | 문서 제목 |
|---|---|
| MISP 설명서 웹 사이트 | MISP 설명서 웹 사이트 |
| ServiceNow 제품 설명서 웹 사이트 | ServiceNow 제품 설명서 웹 사이트 |