Sichtungssuchen in MISP
Sie können Sichtungssuchen für erkennbare Elemente in durchführen MISP Instanz, um zu bestimmen, wie oft bestimmte Arten von Angriffen, z. B. Phishing-Angriffe oder Kommunikation mit einer schädlichen IP oder URL, in Ihrem Netzwerk auftreten. Jedes Vorkommen wird als Sichtung betrachtet.
Sichtungen in MISP
Einige Attribute werden als falsch positive Werte betrachtet, was bedeutet, dass sie keine gültigen Sichtungen sind. Andere Attribute sind nur für eine bestimmte Dauer gültig, z. B. eine Phishing-Kampagne, die nur eine Woche lang ausgeführt wird. Sie können den Attributen, die für eine bestimmte Dauer gültig sind, ein Ablaufdatum zuweisen, aber jede Organisation kann einem Attribut nur ein gültiges Ablaufdatum zuweisen.
Sichtungen, die in erstellt werden MISP Anwender von Organisationen, die auf dem entsprechenden MISP-Server als lokal markiert sind, werden als interne Sichtungen bezeichnet. Sichtungen, die in erstellt werden MISP Von Anwendern von Organisationen, die in der entsprechenden als Remote markiert sind MISP Server werden als externe Sichtungen bezeichnet.
Sichtungssuchen in SIR
Die Integration von Security Operations – Sichtungssuche-Workflow Führt die Sichtungssuche aus. Dies Der Flow akzeptiert eine Liste erkennbarer Elemente, sucht nach Implementierungsfähigkeiten, erstellt die Abfragen, die auf den Sichtungssuchkonfigurationen basieren, und führt die Suchen aus, die auf der konfigurierten basieren Flow.
Sichtungssuchen helfen Analysten, die Verbreitung einer Bedrohung im Zeitverlauf zu bestimmen. Sie können einzelne oder mehrere erkennbare Elemente und den Datumsbereich für Ihre Suche aus einem Security Incident auswählen. Ergebnisse sind im Security Incident enthalten Sichtungen , Sichtungssuchergebnisse , Und Sichtungssuchdetails Zugehörige Listen.
Wenn Sie mit der Analyse eines Incident beginnen, können Sie einrichten ServiceNow AI Platform Bis Führt automatisch eine Sichtungssuche durch Oder Führen Sie manuell eine Sichtungssuche für erkennbare Elemente durch Um andere Anwender in Ihrer Organisation zu identifizieren, die von demselben Phishing-Angriff betroffen sind.
Automatische Sichtungssuchen in aktivieren MISP
Aktivieren Sie die Sichtungssuche in MISP Wird automatisch ausgeführt, damit der Workflow „Security Operations Integration – Sichtungssuche“ ausgelöst wird, wenn neue erkennbare Elemente einem Security Incident zugeordnet werden.
Vorbereitungen
Überprüfen Sie, ob Sichtungssuchkonfigurationsprofil für MISP Ist aktiv.
Erforderliche Rolle: sn_si.Analyst
Warum und wann dieser Vorgang ausgeführt wird
Prozedur
-
Überprüfen Sie die Arbeitsnotizen, nachdem dem Security Incident neue erkennbare Elemente zugeordnet wurden.
Eine Arbeitsnotiz wird veröffentlicht, wenn Integration von Security Operations – Sichtungssuche-Workflow Wurde ausgelöst.
Das folgende Beispiel zeigt den Abschnitt „Arbeitsnotizen“.
-
Zeigen Sie die zusammengefassten Informationen von erkennbaren Elementen an, die in allen Ereignissen (global) angezeigt und nach ihren internen oder externen Sichtungen kategorisiert werden, nachdem die Workflow-Ausführung abgeschlossen wurde.
Zeigen Sie die Informationen in an Sichtungen , Sichtungssuchergebnisse Und Sichtungssuchdetails Zugehörige Listen.das folgende Beispiel zeigt den Sichtungssuchdatensatz, der in der zugehörigen Liste Sichtungen erstellt wurde.
Tabelle : 1. Sichtungssuchdatensatz Feld Beschreibung Erstellt Datum und Uhrzeit der Erstellung des Sichtungssuchdatensatzes. Erkennbares Element Erkennbares Element, das von der Abfrage gesucht wird. Sichtungsanzahl Anzahl der internen und externen Sichtungen. Quelle Quelle des erkennbaren Elements. Wenn das erkennbare Element aus einem stammt MISP Organisation, dem Datensatz sind die Wörter vorangestellt MISP.Ist lokal Status, der angibt, ob die Sichtung von einem internen Anwender gemeldet wurde. Sichtungssuchlink Sichtungssuchlink in MISP Instanz. Zusammenfassung Typ der Sichtungen, die dem Datensatz zugeordnet sind. Die drei Arten von Sichtungen sind Sichtungen, falsch-positiv und Ablauf. Die Spalte Zusammenfassung wird nur angezeigt, wenn MISP integration for Security Operations Ist installiert. Wenn-Quellen andere als MISP Wird angezeigt, ist der Spalteneintrag „Zusammenfassung“ für diesen Datensatz leer.
Führen Sie eine manuelle Sichtungssuche in durch MISP
Wählen Sie einzelne oder mehrere erkennbare Elemente aus, und führen Sie eine manuelle Sichtungssuche in durch ServiceNow AI Platform MISP integration for Security Operations Anwendung zur Bestimmung der Verbreitung einer Bedrohung im Zeitverlauf.
Vorbereitungen
- Überprüfung des folgenden Elements: MISP Anwenderrolle und Berechtigungen Zur Verwendung von MISP bidirektionale Funktionen.
- Erforderliche Rolle: sn_si.Analyst
Prozedur
-
Klicken Sie auf Suche.
Das folgende Beispiel zeigt die Ergebnisse der manuellen Sichtungssuche in den Arbeitsnotizen.
Ergebnisse
Sichtungen melden an MISP
Melden Sie Sichtungen von Bedrohungsdaten, damit Sie auf falsch positive Ergebnisse in Ihren Daten reagieren und Ihr Bewusstsein erhöhen können, wenn eine wirklich positive Bedrohung auftritt. Sie können auch ein Ablaufdatum für ein bestimmtes erkennbares Element oder Attribut hinzufügen.
Vorbereitungen
- Überprüfung des folgenden Elements: MISP Anwenderrolle und Berechtigungen Zur Verwendung von MISP bidirektionale Funktionen.
- Erforderliche Rolle: sn_si.Analyst
Warum und wann dieser Vorgang ausgeführt wird
Um eine Sichtung an zu melden MISP, Das erkennbare Element oder das Attribut muss in verfügbar sein MISP Instanz.
Prozedur
-
Wählen Sie das erkennbare Element aus, und wählen Sie im Menü Aktionen eine der folgenden Optionen aus.
Option Beschreibung MISP: Sichtungen erkennbarer Elemente melden Melden Sie das erkennbare Element als gesehen an MISP. Wenn das erkennbare Element mehreren Ereignissen zugeordnet ist, wird es in allen Ereignissen aktualisiert. MISP: Erkennbares Element als falsch positiv melden Melden Sie das erkennbare Element als falsch positiv an MISP. MISP: Erkennbares Element als abgelaufen melden Melden Sie das erkennbare Element als abgelaufen bis MISP. Wenn Sie erkennbare Elemente auswählen, die nicht spezifisch für sind MISP Quelle: Im Menü Aktionen wird die Anzahl der relevanten angezeigt MISP Quellen. Das folgende Beispiel zeigt vier von acht erkennbaren Elementen als relevant für MISP.Das folgende Beispiel zeigt das Aktionsmenü und die relevanten erkennbaren Elemente für die Übermittlung.Abbildung : 1. Aktionsmenü, das die relevanten erkennbaren Elemente für die Übermittlung anzeigt - Wahlweise:
Wenn Sie ausgewählt haben MISP: Sichtungen erkennbarer Elemente melden Option sollten Sie die Felder des Dialogfelds Sichtungen erkennbarer Elemente an MISP melden ausfüllen.
Tabelle : 3. Sichtungen erkennbarer Elemente melden an MISP Dialogfeld Feld Beschreibung Quelle Quellfeld, das dem entspricht MISP Quelle der Sichtung. Datum Datumsfeld, das dem Datum entspricht, an dem das erkennbare Element gesehen wird. Wenn das Datum leer ist, werden das aktuelle Datum und die aktuelle Uhrzeit in eingetragen MISP. Das folgende Beispiel zeigt, wie Sie im Security Incident zur zugehörigen Liste „Sichtungen“ navigieren. In dieser Liste können Sie ein erkennbares Element auswählen und die Sichtung erkennbarer Elemente an melden MISP. Die Erfolgsmeldung zeigt an, dass die Sichtung erfolgreich an übermittelt wurde MISP.
Abbildung : 2. Meldet Sichtungen erkennbarer Elemente an MISP - Klicken Sie Auf Melden Sie Die Sichtung .