MISP에서 이벤트 관리
에서 자동 또는 수동으로 이벤트를 MISP 생성할 수 있습니다 Now Platform. 에서 Now Platform이벤트 데이터를 MISP 편집할 수도 있습니다.
에서 자동으로 생성된 이벤트 확인 MISP
인스턴스에서 이벤트 생성 프로파일을 구성한 후에 자동으로 생성된 이벤트를 확인할 수 있습니다 Now Platform .
자동 이벤트 생성 프로파일
자동 이벤트 생성 프로필 구성 은 sn_si.admin 또는 sn_ti.admin 사용자 역할에 의해 수행됩니다. 모듈.
이벤트 데이터 보기 MISP
다음과 같은 방법으로 생성된 이벤트를 볼 수 있습니다.
- 생성된 이벤트에 대한 작업 메모를 봅니다. 다음 예시와 같이 인스턴스에서 Now Platform 이벤트 상세 정보를 볼 수 있으며 서버에 나타나는 MISP 이벤트 상세 정보도 볼 수 있습니다.
그림 1. 생성된 이벤트에 대한 작업 메모 - 연결된 MISP 이벤트 관련 목록을 클릭합니다. 여기서는 다음 예와 같이 보안 인시던트 및 MISP 리소스와 관련된 이벤트를 볼 수 있습니다.
그림 2. 연관된 이벤트 목록 - 다음 예와 MISP 같이 양식 뷰에서 이벤트 데이터를 보고 이벤트에 대한 MISP 자세한 정보를 검토합니다.
그림 3. 양식 뷰의 이벤트 데이터
MISP에서 수동으로 이벤트 작성
에서 수동으로 이벤트를 MISPNow Platform 생성하여 속성 및 객체로 표현된 상황별 관련 정보를 캡처합니다.
시작하기 전에
- 검토 MISP 사용자 역할 및 권한 양방향 기능 사용.MISP
- 필요한 역할: sn_sec_misp.write
프로시저
-
Create New MISP Event(새 MISP 이벤트 작성)를 클릭합니다.
다음 예제에서는 에서 이벤트를 MISP만들면 보안 인시던트의 결과를 볼 수 있음을 보여 줍니다. 또한 다음 예와 같이 작업 메모, 인스턴스의 Now Platform 이벤트 및 서버의 이벤트를 MISP 볼 수 있습니다.
그림 4. Now Platform에서 MISP의 이벤트를 수동으로 작성 다음과 같은 방법으로 결과를 볼 수 있습니다.- 보안 인시던트 페이지 상단에 성공 메시지가 나타납니다. 인스턴스에서 Now Platform 이벤트 상세 정보를 볼 수 있으며 서버에 나타나는 이벤트 상세 정보도 볼 수 있습니다 MISP .
- 작업 메모에서 성공 메시지와 자세한 내용을 볼 수 있습니다. 또한 인스턴스에서 Now Platform 이벤트 세부 정보를 볼 수 있으며 서버에 나타나는 이벤트 세부 정보도 볼 수 있습니다 MISP .
- 연결된 MISP 이벤트 관련 목록에서 보안 인시던트 및 자원과 관련된 이벤트를 볼 수 있습니다MISP.
이벤트에 속성 MISP 추가
유형에 대한 유형, 범주 및 이벤트에 대한 기타 상황별 정보와 같은 속성을 이벤트에 추가합니다.
시작하기 전에
- 검토 MISP 사용자 역할 및 권한 양방향 기능 사용.MISP
- 속성을 추가하거나 업데이트하는 이벤트가 사용자와 동일한 조직에 MISP 속해 있는지 확인합니다.
- 필요한 역할: sn_sec_misp.write
프로시저
-
이벤트에 속성 추가 대화 상자에서 세부 정보를 입력합니다.
표 2. 이벤트에 속성 추가 대화 상자 필드 설명 값 속성의 실제 값입니다. 선택한 속성 유형에 유효한 값을 기반으로 하는 값에 대한 데이터를 입력합니다. 예를 들어 ip-src(소스 IP 주소) 유형의 속성의 경우 11.11.11.11이 유효한 값입니다. 주:이벤트와 컨텍스트를 공유하는 속성 또는 옵저버블만 선택할 수 있습니다. 옵저버블은 이미 에 MISP속성을 가질 수 없습니다.범주 속성의 범주입니다. 이 범주는 이 특성에 대한 맬웨어의 측면을 설명합니다. 예를 들어 맬웨어 또는 네트워크 활동의 지속성 메커니즘이 있습니다. 유형 범주를 설명하는 유형입니다. 예를 들어 공격자가 공격에 IP 주소를 사용하는 경우 원본 이메일 주소 또는 첨부 파일을 통해 전송된 파일은 모두 맬웨어의 페이로드 전달을 설명할 수 있습니다. 이러한 유형의 속성에는 페이로드 제공 범주가 있습니다. 배포 이 속성을 볼 수 있는 사용자입니다. 분포는 속성에 의해 상속됩니다. 가장 제한적인 설정이 우선합니다. 속성을 IDS 서명으로 사용 에서 SIR악성으로 표시된 옵저버블입니다. 의 MISP 해당 속성도 true로 표시됩니다. 설명 속성에 대해 추가하는 코멘트입니다. 다음 예에서는 연결된 MISP 이벤트 목록에서 탐색하여 이벤트 기록 5627을 보고 이벤트에 속성을 추가할 수 있음을 보여줍니다. 속성에는 값(testdomain.com), 외부 분석인 범주, 도메인인 유형이 포함됩니다. IDS를 활성화할 수도 있습니다. 이벤트 기록의 성공 메시지는 다음 예와 같이 이벤트에 속성이 추가되었음을 보여줍니다.
그림 5. MISP 이벤트에 속성 추가
결과
이벤트에 태그 MISP 추가
에 태그를 Now Platform MISP 추가하여 이벤트 또는 속성을 분류합니다. 전역적으로 태그 지정을 사용하여 분류를 활성화하거나, 분류 중에 이벤트를 수정하지 않으려는 MISP 경우 로컬에서 태그를 사용할 수 있습니다.
시작하기 전에
- 검토 MISP 사용자 역할 및 권한 양방향 기능 사용.MISP
- 편집 중인 이벤트가 사용자와 동일한 조직에 MISP 속해 있는지 확인합니다.
- 사용할 수 있는 태그와 은하계는 원본과 해당 배포 권한을 기반으로 MISP 합니다.
- 필요한 역할: sn_sec_misp.write
프로시저
-
로컬 또는 전역 태그를 편집하려면 다음 옵션 중 하나에서 편집
- 태그(로컬)
- 태그(전역)
-
Update Tags to MISP Event(MISP 이벤트에 태그 업데이트)를 클릭합니다.
다음 예에서는 로컬 태그의 편집 아이콘을 클릭하여 C3, Adware, C2 및 Botnet 3101 태그를 검색 및 추가하고 해당 태그로 MISP 서버를 업데이트할 수 있음을 보여줍니다. 확인 메시지는 에서 모든 태그가 업데이트 MISP되었음을 보여줍니다.
그림 6. MISP 이벤트에 대한 태그 업데이트
결과
은하계를 이벤트 또는 속성으로 MISP 업데이트
인스턴스에서 MISP 이러한 객체를 클러스터로 분류하고 이벤트나 속성에 MISP 연결할 수 있도록 갤럭시를 Now Platform MISP 추가하거나 제거합니다.
시작하기 전에
- 검토 MISP 사용자 역할 및 권한 양방향 기능을 사용하는 MISP 데 필요합니다.
- 로컬 갤럭시를 추가하려면 통합을 구성한 사용자가 해당 MISP 서버의 호스트 조직에 속해야 합니다.
- 사용할 수 있는 태그와 은하계는 원본 및 해당 배포 권한을 기반으로 MISP 합니다.
- 필요한 역할: sn_sec_misp.write
프로시저
-
다음 옵션 중 하나에서 편집 클릭합니다.
- 갤럭시(로컬)
- 갤럭시(글로벌)
-
Update Galaxies to MISP Event(갤럭시를 MISP 이벤트로 업데이트)를 클릭합니다.
다음 예제에서는 로컬 갤럭시에 대한 편집 아이콘을 클릭하고, 사용되지 않는 네임스페이스를 선택하고, Enterprise Attack - Attack Pattern 갤럭시를 선택하고, 클러스터 정보를 추가하는 방법을 보여 줍니다. 은하계 정보가 업데이트된 후 성공 메시지를 볼 수 있습니다.
그림 7. 은하 정보를 MISP 이벤트로 업데이트 서버에서 갤럭시가 성공적으로 업데이트되었습니다 MISP .