보안 인시던트 옵저버블 생성
보안 인시던트 내에서 옵저버블을 만들어 보고 적절한 조치를 취할 수 있습니다. 보안 인시던트에서 옵저버블을 사용할 수 있으면 확장 가능하며 응답시간이 단축됩니다.
시작하기 전에
필요한 역할:
- sn_ti_observable.write (쓰기)
- sn_ti_observable.read(읽기)
- sn_ti_observable.admin(삭제)
프로시저
-
보안 인시던트로 돌아가면 다음과 같은 정보를 사용할 수 있습니다.
주:보안 인시던트에 옵저버블을 추가하면 시스템은 이와 관련된 다른 구성 항목 또는 사용자를 확인합니다. 이에 따라 관련 구성 항목 및 관련 사용자 관련 목록 탭이 업데이트됩니다.
열 정의 옵저버블 옵저버블과 연결된 값(예: IP 주소 또는 해시)입니다. 관찰 대상 유형 옵저버블의 특정 유형입니다. 컨텍스트 사용자가 선택합니다. 선택 항목은 다음과 같습니다. - IP - 소스 또는 대상 주:가 활성화된 경우 위협 인텔리전스 이 필드에 값을 변경하거나 추가하면 로그 데이터 가져오기 워크플로우 Security Operations Palo Alto Networks - 로그 데이터 가져오기 워크플로우가 실행됩니다.Palo Alto Networks - Firewall 워크플로우는 방화벽에서 보강된 위협 로그 데이터를 검색하여 보안 인시던트에 첨부합니다. 이 정보는 Enrichment Data(보강 데이터) 탭의 Firewall Logs(방화벽 로그) 섹션에도 구문 분석되어 표시됩니다.
- URL - 리퍼러 주:사용자가 피싱 이메일의 링크를 클릭할 때 리퍼러는 멀웨어 URL에 액세스하기 전의 최종 점프 URL입니다.
인시던트 수 이 옵저버블이 나타나는 인시던트의 수입니다. 이 값은 옵저버블이 수동으로 또는 워크플로우를 통해 다른 인시던트에 추가될 때 자동으로 업데이트됩니다. 업데이트됨 목록이 마지막으로 업데이트된 데이터 및 시간입니다. 주:플러그인이 위협 인텔리전스 설치된 경우 IoC 리포지토리의 옵저버블 목록에서 옵저버블을 볼 수도 있습니다. - IP - 소스 또는 대상