Sichtungen sucht nach von Anwendern gemeldeten Phishing- und Malware-Angriffen

Führen Sie Sichtungssuchen für E-Mails oder erkennbare Elemente durch, um festzustellen, wie oft bestimmte Arten von Angriffen, z. B. Phishing-Angriffe oder Kommunikation mit einer schädlichen IP oder URL, in Ihrem Netzwerk auftreten. Jedes Vorkommen wird als Sichtung betrachtet. Sichtungssuchen nach erkennbaren Elementen müssen für Ihre Protokollspeicher oder das Security Information and Event Management (SIEM) konfiguriert werden.

Sehen Sie sich dieses dreiminütige Video an, um zu erfahren, wie Sie die Sichtungssuchfunktion verwenden, um Phishing-Anwender zu finden und erkennbare Phishing- und Malware-Elemente im Protokollspeicher in Ihrem Netzwerk nachzuverfolgen.

Die folgenden Begriffe werden verwendet, um von Anwendern gemeldete Phishing-Angriffe zu beschreiben:

• Phishing-Anwender: Ein Anwender, der eine Phishing-E-Mail erhalten hat.
• Opferanwender: Ein Anwender, der mit der Phishing-URL interagiert hat, normalerweise durch Klicken auf einen Link in der Phishing-E-Mail. Diese Aktion stellt dem Angreifer potenziell Anmeldeinformationen zur Verfügung.

Wenn Sie mit der Analyse eines Phishing-Incidents beginnen, können Sie dies Führen Sie eine E-Mail-Sichtungssuche durch Oder Führen Sie eine Sichtungssuche für erkennbare Elemente durch Um andere Anwender in Ihrer Organisation zu identifizieren, die von demselben Phishing-Angriff betroffen sind. Durchsuchen Sie Ihre Protokollspeicher, um Phishing- und Opferanwender zu identifizieren. Nachdem Sie die Liste der betroffenen Anwender identifiziert haben, erstellen Sie untergeordnete Security Incidents, um umfassende Verfahren zur Reaktion auf Incidents mit den in verfügbaren Tools durchzuführen Security Incident Response.

Hinweis:

Sie können auch den folgenden Ansatz verwenden, um eine Sichtungssuche durchzuführen:

• Navigieren zu Security Incidents > Alle Incidents anzeigen Und klicken Sie auf einen Security Incident.
• Klicken Sie Auf IOC anzeigen Unter zugehörige Links. Eine Liste der erkennbaren Elemente wird angezeigt.
• Wählen Sie ein erkennbares Element aus der Liste und aus Aktionen Wählen Sie eine der folgenden Optionen aus:
  • Sichtungssuche für Webdatenverkehr ausführen
  • Sichtungssuche für E-Mail-Datenverkehr ausführen
• Geben Sie den Zeitrahmen an, und klicken Sie auf Suchen Dient zum Durchführen einer Sichtungssuche.

Gespeicherte Konfigurationen der Sichtungssuche

Konfigurieren Sie Sichtungssuchen, und erstellen Sie gespeicherte Konfigurationen für SIEMs oder andere Protokollspeicher für Instanzen erkennbarer Elemente, um das Vorhandensein schädlicher erkennbarer Elemente in Ihrer Umgebung zu bestimmen.

Hinweis:

Gespeicherte Suchen und eingebrachte Abfragen werden nur für die Splunk-Integration unterstützt.

Zugehörige Tasks

• Erstellen Sie Konfigurationsdatensätze für Sichtungssuche

Führen Sie eine E-Mail-Sichtungssuche nach von Anwendern gemeldeten Phishing-Angriffen durch

Suchen Sie basierend auf erkennbaren Elementen wie E-Mail-Betreff, Absendername oder Nachrichten-ID nach Anwendern, die Phishing-E-Mails erhalten haben. Sie können diese Phishing-E-Mails dann in Ihrer Organisation eindämmen und löschen.

Vorbereitungen

Erforderliche Rolle: sn_si.Analyst

Warum und wann dieser Vorgang ausgeführt wird

Durchsuchen Sie die Splunk-E-Mail-Datenverkehrsprotokolle, um die Liste der Empfänger einer verdächtigen E-Mail zu erfassen. Die Suche kann anhand des E-Mail-Absenders, der E-Mail-Nachrichten-ID oder des E-Mail-Betreffs durchgeführt werden, der einem Security Incident als Kriterien zugeordnet ist.

Hinweis:

• Diese Implementierung der Sichtungssuche nach E-Mail-basierten erkennbaren Elementen wurde nur mit dem Splunk Enterprise-Protokollspeicher getestet.
• Die Splunk-Protokollereignisse müssen mit dem Common Information Model (CIM) konform sein, damit die Sichtungssuchabfrage genaue Ergebnisse zurückgibt.

Prozedur

1. Navigieren Sie zu , um die Ihrem Team zugewiesenen Security Incidents anzuzeigen Security Incident > Incidents (neue UI)an.
2. Von Security Incidents Einen der Filter auswählen, z. B. alle Offene Incidents , Alle Ihnen zugewiesenen Incidents , Oder Alle Incidents .

   Um Security Incidents eines bestimmten Typs anzuzeigen, z. B. kritische Incidents oder Phishing-E-Mails, klicken Sie auf einen der Schnellfilter .

   

3. Klicken Sie auf den Security Incident, den Sie analysieren möchten.

   Die Registerkarte „Übersicht“ bietet einen Überblick über den Security Incident, einschließlich einer Liste erkennbarer Elemente, betroffener Anwender und ähnlicher Security Incidents.

   

4. Klicken Sie auf Erkunden Registerkarte.
5. Unter Incident-Daten , Navigieren Sie zu Ermittlung > Suchen Sie E-Mails Und Erkennbare Elementean.

   

6. Erweitern Sie den Abschnitt Suchkriterien.
7. Wählen Sie Aus E-Mail-Suche Als Typ der Suche, die Sie ausführen möchten, und geben Sie den Rest der Suchkriterien an.

   Tabelle : 1. Suchkriterienformular

   Feld	Beschreibung
   Integrationen	Integrationstyp. Wählen Sie Aus Protokollspeicher Aus der Liste. Hinweis: Diese Funktion wird nur mit dem Splunk-Protokollspeicher unterstützt.
   Von	Vollständige E-Mail-Adresse des Absenders (z. B. [e-mail]).
   Nachrichten-ID	E-Mail-Nachrichten-ID aus dem Protokollspeicher.
   Betreff	Betreff für die Phishing-E-Mail.
   Suchfenster	Zeitfenster für die Suche (z. B. die letzten 24 Stunden).

8. Von Wählen Sie Aktion Aus Liste, wählen Sie aus Suchen Und klicken Sie dann auf Ausführen .

   Der Splunk-Protokollspeicher wird anhand der von Ihnen eingegebenen Kriterien durchsucht, und die von dem Phishing-Angriff angegriffenen Anwender werden auf angezeigt E-Mail-Suchergebnisse Registerkarte. Die Gesamtzahl der Phishing-E-Mails und die Details jeder E-Mail, einschließlich Empfangsdatum, Empfänger und Nachrichten-ID, werden angezeigt.

9. Um die Liste der Anwender anzuzeigen, die die Phishing-E-Mail erhalten haben, klicken Sie auf > Symbol in der Spalte „Suchdatum“.

   

10. Um eine Liste der Anwender anzuzeigen, die die E-Mail erhalten haben, navigieren Sie zu Anwender > Betroffene Anwenderan.

    Die Spalte „Phishing-Anwender“ identifiziert die E-Mail-Empfänger.

    Hinweis:

    Auf der Seite „Betroffene Anwender“ werden nur die Anwenderdatensätze angezeigt, die in der ServiceNow-Instanz vorhanden sind.
11. Führen Sie die folgenden Schritte aus, um die Anwender, die Ziele des Phishing-Angriffs sind, weiter zu untersuchen:
    1. Aktivieren Sie die Kontrollkästchen neben den Anwendernamen.
    2. Wählen Sie in der Liste aus Erstellen Sie Einen Untergeordneten Security Incident , Und klicken Sie auf Ausführen .
    Eine Nachricht wird angezeigt, um anzuzeigen, dass ein untergeordneter Security Incident erstellt wurde. Klicken Sie auf, um die untergeordneten Security Incidents anzuzeigen, die einem übergeordneten Incident zugeordnet sind Erkunden Registerkarte und navigieren Sie zu Incidents > Untergeordnete Security Incidentsan.

Ergebnisse

Die Liste der Phishing-Anwender wird angezeigt.

Führen Sie eine Sichtungssuche für erkennbare Elemente nach von Anwendern gemeldeten Phishing- und Malware-Angriffen durch

Führen Sie Sichtungssuchen nach erkennbaren Elementen durch, um herauszufinden, wie viele Anwender innerhalb eines bestimmten Zeitraums eine schädliche oder verdächtige Website besucht haben.

Vorbereitungen

Erforderliche Rolle: sn_si.Analyst

Warum und wann dieser Vorgang ausgeführt wird

Sie können eine Netzwerkdatenverkehrssuche für erkennbare Elemente wie die URL, den Zielhost oder die Ziel-IP-Adresse durchführen, die einem Security Incident zugeordnet ist.

Hinweis:

• Diese Implementierung der Sichtungssuche nach erkennbaren Elementen wurde nur mit dem Splunk Enterprise-Protokollspeicher getestet.
• Die Splunk-Protokollereignisse müssen mit dem Common Information Model (CIM) konform sein, damit die Sichtungssuchabfrage genaue Ergebnisse zurückgibt.

Prozedur

1. Navigieren Sie zu , um die Security Incidents anzuzeigen, die Ihrem Team zugewiesen sind Security Incident > Incidents (neue UI)an.
2. Von Security Incidents Einen anderen Filter auswählen, z. B. alle Mir zugewiesene Incidents , Alle Offenen Incidents , Oder Alle Incidents .

   Um Security Incidents eines bestimmten Typs anzuzeigen, z. B. kritische Incidents oder Phishing-E-Mails, klicken Sie auf einen der Schnellfilter .

   

3. Klicken Sie auf den Security Incident, den Sie analysieren möchten.

   Sie können eine Übersicht über den Security Incident anzeigen, einschließlich einer Liste erkennbarer Elemente, betroffener Anwender und ähnlicher Security Incidents.

   

   Beachten Sie im Abschnitt „erkennbare Elemente“, dass die Spalte „erkennbares Element“ die E-Mail-Adresse, den Betreff und die URL anzeigt. Beachten Sie auch, dass die Ergebnisspalte zeigt, dass die URL beim Senden der Phishing-E-Mail automatisch gescannt und als schädliche URL ermittelt wurde. Die Spalte „Incident-Anzahl“ zeigt die anderen Incidents an, die dasselbe erkennbare Element teilen. Diese Artefakte zeigen an, dass Sie wahrscheinlich bereit sind, mit Eindämmungsverfahren für diesen Phishing-Angriff fortzufahren, einschließlich der Bestimmung, wie viele Anwender in der Organisation betroffen waren.

   

4. Navigieren zu Untersuchen > Ermittlung > Suchen Sie E-Mails Und Erkennbare Elementean.
5. Erweitern Sie den Abschnitt Suchkriterien, und klicken Sie auf Suche Erkennbarer Elemente .
   
6. Geben Sie das erkennbare Element, nach dem Sie suchen, und ein Zeitfenster für die Suche ein (z. B. letzte 24 Stunden).
7. Von Wählen Sie Aktion Aus Liste, wählen Sie aus Suchen .
   Der Splunk-Protokollspeicher wird anhand der von Ihnen eingegebenen Kriterien durchsucht, und die wichtigsten Anwender, die von dem böswilligen Angriff betroffen sind, werden auf angezeigt Suchergebnisse Erkennbarer Elemente Registerkarte.
8. Um die Anwender anzuzeigen, die die E-Mail erhalten haben, navigieren Sie zu Anwender > Betroffene Anwenderan.

   Die Spalte „Phishing-Anwender“ identifiziert die Empfänger der Phishing-E-Mail, und die Spalte „Anwenderinteraktion“ identifiziert Anwender, die auf eine Phishing-URL geklickt oder mit einer verdächtigen E-Mail-Adresse interagiert haben. Die Spalte „Anwenderinteraktion“ ist auf „wahr“ oder „falsch“ festgelegt, je nachdem, ob der Anwender auf den schädlichen Link oder die schädliche IP geklickt hat.

   Hinweis:

   Auf der Seite „Betroffene Anwender“ werden nur die Anwenderdatensätze angezeigt, die in der ServiceNow-Instanz vorhanden sind.
9. So untersuchen Sie die Anwender, die auf die Phishing-E-Mail geklickt und ihre Anmeldeinformationen möglicherweise gefährdet haben:
   1. Aktivieren Sie sowohl in den Spalten „Phishing-Anwender“ als auch „Anwenderinteraktion“ die Kontrollkästchen neben den angezeigten Anwendernamen Wahr .
   2. Klicken Sie Auf Erstellen Sie Einen Untergeordneten Security Incident Und klicken Sie dann auf Ausführen .
      Eine Nachricht wird angezeigt, um anzuzeigen, dass ein untergeordneter Security Incident erstellt wurde. Klicken Sie auf, um die untergeordneten Security Incidents anzuzeigen, die einem übergeordneten Incident zugeordnet sind Erkunden Registerkarte und navigieren Sie zu Incidents > Untergeordnete Security Incidentsan.

Ergebnisse

Die Liste der Phishing-Anwender wird angezeigt.

Erstellen Sie Konfigurationsdatensätze für Sichtungssuche

Erstellen Sie mehrere Sichtungssuchkonfigurationsdatensätze, und verwenden Sie sie, wenn Sie mehrere Protokollspeicher abfragen oder die Suchparameter ändern.

Vorbereitungen

Erforderliche Rolle: sn_si.admin

• Das CIM-Add-on muss auf der Splunk-Instanz installiert werden.
• Gespeicherte Suchen und eingebrachte Abfragen werden nur für die Splunk-Integration unterstützt.

Warum und wann dieser Vorgang ausgeführt wird

Sie können auch Konfigurationsdatensätze für Sichtungssuche erstellen, die aufgerufen werden sollen Gespeicherte Suchen Im Splunk Enterprise-Protokollspeicher.

Hinweis:

Die Suchkonfigurationsabfragen basieren auf Splunk-Protokolldaten, um Splunk Common Information Model (CIM)-konform zu sein.

Mit gespeicherten Suchkonfigurationen können Sie:

• Erstellen Sie anwenderdefinierte Suchen, die mehrere Ereignisdatensätze kombinieren.
• Designeffiziente und effektive Suchen.
• Verwenden Sie parametrisierte Eingaben in der gespeicherten Splunk-Suche.

Das Basissystem enthält die Beispielkonfigurationen.

Die gespeicherten Such- und Einfügekonfigurationsabfragen sind Beispielabfragen und können durch entsprechende Parameter für Ihre Umgebung ersetzt werden. Erstellen Sie nach Bedarf zusätzliche gespeicherte Suchkonfigurationen. Wenn Sie eine gespeicherte Suchkonfiguration definieren, müssen der Name und die Parameter in der Suchabfrage mit der gespeicherten Konfiguration übereinstimmen, die in Ihrer Splunk-Instanz definiert ist. Wenn der Name und die Parameter nicht identisch sind, werden bei einer Sichtungssuche möglicherweise keine genauen Ergebnisse angezeigt.

Hinweis:

Navigieren Sie auf Ihrer Splunk-Instanz zur Seite „Suchen, Berichte und Warnungen“, und suchen Sie Ihre gespeicherte Suchabfrage. Wählen Sie aus Berechtigungen Link zum Navigieren zur Seite „Berechtigungen“. Wählen Sie aus Alle Apps Optionsschaltfläche und aktivieren Leseberechtigung Option für Jeder . Dadurch wird der Wert der Spalte „Freigeben“ für Ihre gespeicherte Suchabfrage von „Privat“ in „App“ geändert. Wenn dies nicht festgelegt ist, gibt die gespeicherte Suchabfrage möglicherweise keine Ergebnisse zurück.

So überprüfen Sie, ob die gespeicherte Suchkonfiguration mit der in Ihrer Splunk-Instanz definierten Konfiguration übereinstimmt:

1. Navigieren zu Einstellungen > Suchen, Berichte und Warnungenan.
2. Ändern App-Kontext Bis Alle .

   Eine Liste von Suchberichten wird angezeigt.

3. Bestätigen Sie, dass die gespeicherte Suchabfrage in der Liste vorhanden ist.

Beispielsweise enthält das Formular „Konfiguration der Sichtungssuche“ die E-Mail-Adresse und den E-Mail-Absender als Suchparameter:

Abbildung : 1. Konfigurationsformular für Sichtungssuche

Definieren Sie in Ihrer Splunk-Instanz die gespeicherte Suche mit dem gleichen Namen, der gespeicherten Standardsuche – E-Mails und den gleichen Suchparametern für die E-Mail-Adresse und den E-Mail-Betreff. Wenn der Name und die Suchparameter nicht identisch sind, generiert die Sichtungssuche kein genaues Ergebnis.

Prozedur

1. Navigieren zu Security Operations > Integrationen > Sichtungssuche – Konfiguration Und erstellen Sie einen neuen Datensatz (Feldbeschreibungen finden Sie in der Tabelle).

   Tabelle : 2. Konfigurationsformular für Sichtungssuche

   Feld	Beschreibung
   Name	Name der Konfiguration
   Ist gespeicherte Suche	Die gespeicherte Suchkonfiguration wird erstellt, wenn Sie diese Option auswählen.
   Sichtungssuchquelle	Die Quelle für die Sichtungssuche. Wählen Sie den Splunk-Protokollspeicher als Quelle aus.
   Aktiv	Option für den gespeicherten Suchstatus. Nur aktive Suchkonfigurationen können verwendet werden, um eine Sichtungssuche durchzuführen.
   Erkennbarer Typ	Der Typ des erkennbaren Elements kann ein beliebiger Typ des erkennbaren Elements sein, z. B. IP, Hash-Wert, URL, Domänenname usw.
   Maximale erkennbare Elemente pro Suche	Maximale Anzahl erkennbarer Elemente, die von der Suche zurückgegeben werden sollen.
   Suchen	Die Standardsuchzeichenfolge ist $(erkennbares Element) , Aber Sie können Ihre eigene Suchabfrage definieren, indem Sie Parameter angeben, die vom Splunk-Protokollspeicher unterstützt werden.

2. Wählen Sie Absenden.

Ergebnisse

Sie haben einen Konfigurationsdatensatz für die Sichtungssuche erstellt.

Nächste Maßnahme

Wählen Sie nach dem Definieren der Suchabfrage aus Testabfrage Für Sichtungssuche Generieren , Und geben Sie eine Liste erkennbarer Werte an, um eine Testabfrage basierend auf dieser gespeicherten Suchkonfiguration zu generieren.