MISP integration for Security Operations

Mit MISP integration for Security Operations, Sie können Security Incidents mit Sichtungssuchen, Ergänzung erkennbarer Elemente untersuchen und Ereignisse in erstellen oder aktualisieren MISP. Verwenden MISP, Sie können zielgerichtete Angriffe schneller untersuchen, das Erkennungsverhältnis verbessern und die Anzahl der falsch positiven Ergebnisse in Ihrer Umgebung reduzieren.

Apps im Store anfordern

Besuchen Sie die ServiceNow Store-Website, um alle verfügbaren Apps anzuzeigen und Informationen zum Senden von Anforderungen an den Store zu erhalten. Kumulative Informationen zum Release für alle veröffentlichten Apps finden Sie in den Release-Hinweisen zum ServiceNow Store-Versionsverlauf.

MISP Übersicht

MISP, Die für steht Malware Information Sharing Platform, Ermöglicht es Ihnen, Bedrohungsinformationen und Indikatoren der Kompromittierung (Indicators of Commitment, IoCs) über die gezielte Malware und Angriffe in Ihrer Community vertrauenswürdiger Mitglieder auszutauschen und freizugeben. Sie können auch freigeben MISP Informationen mit privaten oder offenen Communities. Durch Austausch MISP Informationen können Sie zielgerichtete Angriffe schneller untersuchen, das Erkennungsverhältnis verbessern und die Anzahl der falsch positiven Ergebnisse in Ihrer Umgebung reduzieren.

MISP Und Security Operations

Im folgenden Beispiel erfahren Sie, wie es funktioniert MISP Informations-Flows mit Security Operations-Anwendungen.

Abbildung : 1. Übersicht über MISP und Security Operations

Schlüsselfunktionen

Diese Integration umfasst die Funktionen, die Sie mit ausführen können MISP Wichtige Funktionen:

• Stellen Sie eine Verbindung zu privat und öffentlich her MISP instancesan.
• Unterstützt die manuelle und automatische Sichtungssuche erkennbarer Elemente .
• Sichtungssuche über Fallmanagement ausführen .
• Melden oder aktualisieren Sie Sichtungen für ein Attribut :
  • Erkennbares Element als Sichtung melden (global)
  • Erkennbares Element als falsch positiv melden (global)
  • Melden Sie ein erkennbares Element als abgelaufen
• Unterstützt die manuelle und automatische Ergänzung erkennbarer Elemente . Ergebnisse umfassen MISP Attribut- und Ereignisinformationen, die den erkennbaren Elementen zugeordnet sind.
• Attributanreicherung in MISP Dies umfasst das Hinzufügen oder Aktualisieren Tags , Galaxien , Oder Kommentare .
• Ereigniserstellung in MISP von SIR: Unterstützt die manuelle und automatische Erstellung von Ereignissen in MISP Von SIR.
• Aktualisieren Sie ein MISP Ereignis von SIR Dies umfasst das Hinzufügen oder Aktualisieren Tags , Galaxien , Oder Attribute .
• Fügen Sie einem Security Incident zugeordnete erkennbare Elemente als Attribute hinzu MISP eventan.
• Automatisch extrahieren MITRE-ATT&CK™ Informationen von MISP Attribute Und ordnen Sie die Informationen zu SIR Security Incidents.
• Automatisch hinzufügen SIR MITRE-ATT&CK™ Informationen als Galaxien zu einem MISP eventan.

Schlüsselkonzepte

Diese Integration umfasst die folgenden Schlüsselkonzepte, die Sie kennen müssen:

• MISP Ist eine Threat Intelligence-Plattform (TIP). Sie verwenden Tipps, um Sicherheitsbedrohungsdaten in Echtzeit zu erfassen, zu korrelieren, zu kategorisieren, freizugeben und zu integrieren, um die Priorisierung von Aktionen zu unterstützen und die Angriffsprävention, -Erkennung und -Reaktion zu unterstützen.
• MISP Ist ein Threat Intelligence Management (TIM). Sie verwenden TIMs, um Bedrohungsdaten durch Kontext in Threat Intelligence umzuwandeln und Bedrohungen automatisch durch anwenderdefinierte Bewertung und Relevanz zu priorisieren.
• MISP Datenebene
  • Ereignisse sind Kapselungen für kontextbezogen verknüpfte Informationen.
  • Attribute sind einzelne Datenpunkte, die Indikatoren oder unterstützende Daten sein können.
  • Objekte sind anwenderdefinierte Vorlagenattribut-Zusammensetzungen.
  • Objektreferenzen sind die Beziehungen zwischen den anderen Bausteinen.
  • Sichtungen sind zeitspezifische Vorkommen eines erkannten Datenpunkts.
• MISP Kontextebene
  • Tags sind Bezeichnungen, die an Ereignisse oder Attribute angehängt sind und aus Taxonomien stammen können.
  • Galaxie-Cluster sind Knowledge Base-Elemente, mit denen Sie Ereignisse oder Attribute kennzeichnen können, die aus Galaxien stammen.
  • Clusterbeziehungen bezeichnen vordefinierte Beziehungen zwischen Clustern.
• Indikatoren enthalten ein Muster, mit dem Sie verdächtige oder böswillige Cyberaktivitäten erkennen können.
• Attribute in MISP Kann Netzwerkindikatoren (IP-Adresse), Systemindikatoren (eine Zeichenfolge im Arbeitsspeicher) oder sogar Bankkontodetails sein. Die Attribute in MISP Werden in anderen SIEMs oder Formaten wie als erkennbare Elemente bezeichnet STIX.
  • Ein Typ beschreibt das Attribut. Beispiel: MD5 oder eine URL.
  • Die Attributkategorie beschreibt ein Attribut. Zum Beispiel eine Nutzlastzustellung.
  • Ein IDS-Tag bestimmt, ob ein Attribut automatisch für die Erkennung verwendet werden kann.

Hinweis:

Weitere Informationen zu finden MISP Konzepte finden Sie unter MISP-Dokumentationswebsite

Wie Ihre Organisation davon profitieren kann MISP integration for Security Operations

Sicherheitsanalysten müssen ein situationsbezogenes Bewusstsein für die Bedrohungslandschaft erlangen und erhalten, was bedeutet, dass sie eine überwältigende Menge von Bedrohungsdaten manuell konsolidieren und integrieren müssen. Das Sammeln, Konsolidieren und Integrieren dieser Daten nimmt wertvolle Zeit in Anspruch, was die Erkennung und Analyse von Bedrohungen verlangsamt. MISP integration for Security Operations Ermöglicht Analysten, durch die Integration von mehr Bedrohungen zu erkennen und schneller zu reagieren MISP Security Intelligence in ein vorhandenes ServiceNow AI Platform Instanz.

Mithilfe von MISP integration for Security Operations, Ihre Organisation kann die folgenden Aktionen ausführen:

• Ermöglichen Sie Ihren Sicherheitsanalysten, schnell und mit dem richtigen Kontext zu reagieren.
• Verbessern Sie die Effizienz Ihres Sicherheitsteams, indem Sie die Incident-Flows für die Erkennung und Eindämmung von Bedrohungen automatisieren.
• Reduzieren Sie die Zeit für manuelle Forschung, und ermöglichen Sie Sicherheitsanalysten, Indikatoren innerhalb von zu operationalisieren und zu kuratieren ServiceNow AI Platform.

Weitere Informationen zu dieser Integration

Dokumentbezeichner	Dokumententitel
MISP Dokumentations-Website	MISP-Dokumentationswebsite
ServiceNow Produktdokumentations-Website	ServiceNow-Produktdokumentationswebsite

• MISP – Administration
  Sie können einrichten MISP Integration in ServiceNow AI Platform Dient zum Durchführen einer Sichtungssuche, zur Ergänzung erkennbarer Elemente und zum Erstellen und Aktualisieren von Ereignissen in MISP.
• Verwenden MISP Dient zur Untersuchung und Analyse von Bedrohungen
  Sie können verwenden MISP Daten im gesamten ServiceNow AI Platform Threat Intelligence Modul und ServiceNow AI Platform SIR Modul zum Untersuchen und Analysieren von Bedrohungen für Ihre Organisation.