Pesquisas de detecções em MISP
Você pode realizar pesquisas de detecções em observáveis no MISPPara determinar com que frequência determinados tipos de ataques, como ataques de phishing ou comunicações com um IP ou URL malicioso, ocorrem em sua rede. Cada ocorrência é considerada um avistamento.
Vistas em MISP
Alguns atributos são considerados como falsos positivos, o que significa que não são detecções válidas. Outros atributos são válidos por apenas uma determinada duração, como uma campanha de phishing executada por apenas uma semana. Você pode atribuir uma data de expiração aos atributos que são válidos por uma determinada duração, mas cada organização pode atribuir apenas uma data de expiração válida a um atributo.
Detecções criadas em MISPPor usuários de organizações marcadas como locais no servidor MISP correspondente são conhecidas como detecções internas. Detecções criadas em MISPpor usuários de organizações marcadas como remotas no correspondente MISPo servidor é conhecido como detecções externas.
Pesquisas de detecções em SIR
. Integração de operações de segurança - Fluxo de trabalho de pesquisa de detecções executa a pesquisa de detecções. Isso o flow aceita uma lista de observáveis, encontra todos os recursos de implementação, cria as consultas baseadas nas configurações de pesquisa de detecções e executa as pesquisas baseadas no configurado fluxo.
As pesquisas de detecções ajudam os analistas a determinar a prevalência de uma ameaça ao longo do tempo. Você pode selecionar observáveis individuais ou vários observáveis e o intervalo de datas para sua pesquisa a partir de um incidente de segurança. Os resultados são incluídos no Incidente de segurança Detecções , Resultados da pesquisa de detecções e. Detalhes da pesquisa de detecções listas relacionadas.
Ao começar a analisar um incidente, você pode configurar seu Now Platformpara execute automaticamente uma pesquisa de detecções ou execute manualmente uma pesquisa de detecções observáveis para identificar outros usuários em sua organização que são afetados pelo mesmo ataque de phishing.
Habilite pesquisas de detecções automáticas em MISP
Habilite a pesquisa de detecções em MISPPara executar automaticamente para que o fluxo de trabalho Integração de operações de segurança - Pesquisa de detecções seja acionado sempre que novos observáveis forem associados a um incidente de segurança.
Antes de Iniciar
Verifique se Perfil de configuração de pesquisa de detecções para MISP está ativo.
Função necessária: sn_si.analista
Por Que e Quando Desempenhar Esta Tarefa
Procedimento
-
Revise as anotações de trabalho depois que novos observáveis forem associados ao incidente de segurança.
Uma anotação de trabalho é publicada quando Integração de operações de segurança - Fluxo de trabalho de pesquisa de detecções foi acionado.
O exemplo a seguir mostra a seção de anotações de trabalho.
-
Exiba as informações agregadas de observáveis que são vistos em todos os eventos (globais) e categorizados por suas detecções internas ou externas após a conclusão da execução do fluxo de trabalho.
Exiba as informações no Detecções , Resultados da pesquisa de detecções e. Detalhes da pesquisa de detecções Listas relacionadas.O exemplo a seguir mostra o registro de pesquisa de detecções que foi criado na lista relacionada detecções.
Tabela 1. Registro de pesquisa de detecções Campo Descrição Criação em Data e hora em que o registro de pesquisa de detecções foi criado. Observável Observável pesquisado pela consulta. Contagem de detecções Contagem de detecções internas e externas. Origem Origem do observável. Se o observável for de um MISPorganização, o registro é precedido pelas palavras MISP.É local Status que indica se a detecção foi relatada por um usuário interno. Link de pesquisa de detecção Link de pesquisa de detecções no MISPinstância. Resumo Tipos de detecções associados ao registro. Os três tipos de avistamentos são avistamento, falso-positivo e expiração. A coluna Resumo aparece somente quando MISP integration for Security Operationsestá instalado. Se origens diferentes de MISPFor exibida, a entrada da coluna Resumo está vazia para esse registro.
Execute uma pesquisa de detecção manual em MISP
Selecione observáveis individuais ou vários observáveis e execute uma pesquisa de detecção manual no Now Platform MISP integration for Security Operationsaplicação para determinar a prevalência de uma ameaça ao longo do tempo.
Antes de Iniciar
- Revise MISP permissões e função do usuário para usar o. MISPrecursos bidirecionais.
- Função necessária: sn_si.analista
Procedimento
-
Clique em Pesquisar.
O exemplo a seguir mostra os resultados da pesquisa de detecção manual nas anotações de trabalho.
Resultado
Relate detecções para MISP
Relate detecções de dados de ameaças para que você possa reagir a falsos positivos em seus dados e aumentar sua conscientização quando ocorrer uma ameaça positiva verdadeira. Você também pode adicionar uma data de expiração para um observável ou atributo específico.
Antes de Iniciar
- Revise MISP permissões e função do usuário para usar o. MISPrecursos bidirecionais.
- Função necessária: sn_si.analista
Por Que e Quando Desempenhar Esta Tarefa
Para relatar um avistamento para MISP, o observável ou o atributo deve estar disponível no MISPinstância.
Procedimento
-
Selecione o observável e, no menu Ações, selecione uma das seguintes opções.
Opção Descrição MISP: Relatar detectar detectável Relate o observável como observado para MISP. Se o observável estiver associado a vários eventos, ele será atualizado em todos os eventos. MISP: Relatar observável como falso positivo Relate o observável como falso positivo para MISP. MISP: Relatar observável como expirado Relate o observável como expirado para MISP. Se você selecionar observáveis que não são específicos de um MISPOrigem, o menu Ações mostra a contagem de relevantes MISPfontes. O exemplo a seguir mostra quatro de oito observáveis como relevantes para MISP.O exemplo a seguir mostra o menu Ações e os observáveis relevantes para envio.Figura 1. Menu Ações que mostra os observáveis relevantes para envio - Opcional:
Se você selecionou MISP: Relatar detectar detectável , você deve preencher os campos da caixa de diálogo Relatar detecção observável para MISP.
Tabela 3. Relatar detectável para MISPcaixa de diálogo Campo Descrição Origem Campo de origem que corresponde a. MISPorigem do avistamento. Data Campo de data que corresponde à data em que o observável foi detectado. Se a data estiver vazia, a data e hora atuais serão preenchidas em MISP. O exemplo a seguir mostra como navegar até a lista relacionada detecções no incidente de segurança. A partir dessa lista, você pode selecionar um observável e relatar a observação do observável para MISP. A mensagem de sucesso mostra que a detecção foi enviada com sucesso para MISP.
Figura 2. Relata a detecção observável ao MISP - Clique em Detectar relatório .