パスワードスプレーの可能性に関する Playbook

このプレイブックでは、複数のログイン失敗 (同じユーザーの複数の IP アドレスからの認証失敗が多すぎる) によってトリガーされたパスワード スプレー アラートを調査するための体系的な修復手順を提供します。

ワークフローは既存の Playbook に基づいて作成され、インシデント調査のための一貫した効率的なアプローチを提供します。Playbook の各意思決定ポイントは結果主導型のタスクに変換され、そのようなタスクの結果に基づいてフローの方向が変わります。

可能なパスワードスプレーの使用を開始する Playbook

1. sn_si.user および flow_designer ロールを持つユーザーとしてログインします。
2. 移動先 すべて > Flow Designer をクリックし、[ 可能なパスワードスプレー (Possible Password Spray)] Playbook を選択します。
3. (オプション)可能なパスワードスプレー Playbook フローのコピーを作成し、必要な変更を加えることができます。Playbook のフローのコピーを作成するには、[ アイコンをクリックし、[ フローのコピー] を選択します。このステップは、フローをカスタマイズまたは変更する場合にのみ実行します。

   図 : 1. 可能なパスワードスプレープレイブック

   

4. Playbook をアクティブ化します。
   • ベースシステムで利用可能な Playbook を使用するには、メインフローをアクティブ化します。
   • 必要な変更を行った後、コピーしたフローをアクティブ化します。

トリガー条件:この Playbook は、次の条件が満たされるとトリガーされ、セキュリティインシデントに関連付けられます。

• [カテゴリ ] は [無許可のアクセス] です。
• サブカテゴリ は、 ブルートフォースパスワードクラッキングの試行です。

• 可能なパスワードスプレー Playbook を使用する
  次のステップでは、可能なパスワードスプレー Playbook で利用可能なアクション、タスク、およびサブフローのウォークスルーを示します。