Verwenden Sie die OSquery der externen Adresse im Datei „/etc/Hosts“-Playbook

Verwenden Sie dieses Playbook, um Incidents zu untersuchen, die darauf hinweisen, dass ein interner Hostname oder eine interne Domäne einer externen IP-Adresse im lokalen DNS (/etc/Hosts) eines Linux-Servers zugewiesen wurde. Die folgenden Schritte geben Ihnen einen Rundgang durch die Aktionen, Aufgaben und Subflows, die in der OSquery der externen Adresse im Datei-Playbook /etc/Hosts verfügbar sind.

Vorbereitungen

Erforderliche Rolle:

• sn_si.admin
• flow_designer

Prozedur

1. Wenn das Playbook ausgelöst wird und die Ausführung beginnt, identifizieren Sie in Aktion 1 den Hostnamen oder Domänennamen, der der externen IP-Übersetzung aus dem Rohprotokoll entspricht.
2. Erfassen Sie in Aktion 2 die Details der IP-Adresse und des Hostnamens.
3. Überprüfen Sie in Aktion 3, ob diese IP-Adresse zum öffentlichen/privaten IP-Bereich der internen Organisation gehört oder nicht.

   Abbildung : 1. OSquery der externen Adresse im Datei-Playbook „/etc/Hosts“

   

4. Führen Sie in Aktion 4 die folgenden Schritte aus, wenn die IP-Adresse zum öffentlichen/privaten IP-Bereich der internen Organisation gehört:
   1. Dokumentieren Sie in Aktion 5 die bisherigen Ergebnisse.
   2. Initiieren Sie in Aktion 6 eine Überprüfung nach Incident.
      In Aktion 7 endet der Flow nach der Überprüfung nach dem Incident.
5. Wenn die IP-Adresse nicht zum öffentlichen/privaten IP-Bereich der internen Organisation gehört, identifizieren Sie in Aktion 8 den Anwender, der sich während des Warnungszeitrahmens beim Server angemeldet hat.
6. Wenn die IP-Adresse in Aktion 9 verdächtig erscheint, erstellen Sie ein IT-Ticket an den Besitzer oder das Serverteam, um die Konfiguration so bald wie möglich zu ändern.
7. Überprüfen Sie in Aktion 10, ob vor und nach dem Hinzufügen des DNS-Eintrags schädliche Aktivitäten auf dem Server aufgetreten sind.
8. Überprüfen Sie in Aktion 11 auf Verbindungen mit der externen IP-Adresse vom Server.
9. Dokumentieren Sie in Aktion 12 die bisherigen Ergebnisse.
10. Überprüfen Sie in Aktion 13, ob die Besitzer- oder Teaminformationen verfügbar sind oder nicht.
11. Führen Sie in Aktion 14 die folgenden Schritte aus, wenn die Besitzer- oder Teaminformationen verfügbar sind:
    1. Wenden Sie sich in Aktion 15 an den Besitzer oder das Serverteam, um zu sehen, ob er die Aktivität erkennt.
       Sie können die bereitgestellte E-Mail-Vorlage verwenden, um sich an den Besitzer oder das Team des Servers zu wenden.
    2. Überprüfen Sie in Aktion 16, ob der Besitzer oder das Team eine gültige geschäftliche Begründung angegeben hat oder nicht.
    3. Wenn der angegebene Besitzer oder das angegebene Team in Aktion 17 keine gültige geschäftliche Begründung angegeben hat, endet der Flow.
       Wenn der Besitzer oder das Team jedoch eine gültige geschäftliche Begründung angegeben hat, führen Sie die folgenden Schritte aus:

       1. Dokumentieren Sie in Aktion 18 die bisherigen Ergebnisse.
       2. Initiieren Sie in Aktion 19 eine Überprüfung nach Incident.

          In Aktion 20 endet der Flow nach der Überprüfung nach dem Incident.

       Abbildung : 2. Verwendung der OSquery der externen Adresse im Datei-Playbook „/etc/Hosts“

       

12. Wenn in Aktion 21 die Besitzer- oder Teaminformationen nicht verfügbar sind, isolieren Sie das Hostsystem.
13. Setzen Sie in Aktion 22 die potenziell gefährdeten Anmeldeinformationen zurück.
14. Blockieren Sie in Aktion 23 den Netzwerkzugriff auf den gefährdeten Host.
15. In Aktion 24 patchen Sie die betroffenen Geräte.
16. Heben Sie in Aktion 25 die Eindämmung auf, und bringen Sie Systeme wieder auf Betriebsstandards zurück.
17. Schließen Sie in Aktion 26 die Überprüfung nach dem Incident ab, bevor Sie die Aufgabe schließen.