Flow-basierte Playbooks

Mit Flow Designer können Sicherheitsadministratoren und Flow Design-Autoren einfacher von manuellen oder undokumentierten Playbooks zu automatisierten und wiederholbaren Playbooks wechseln. Die Drag-and-Drop-Funktion bietet Flexibilität beim Verschieben von Objekten, Bedingungsprüfungen, parallelen Verzweigungen, Entscheidungstabellen und mehr.

Security Incident Response Stellt die folgenden Playbooks mit dem Basissystem bereit.

Neben den aufgeführten Playbooks gibt es auch Subflows in der Security Operations-Spoke, die über das Flows-Playbook aufgerufen werden können. Ransomware ist einer dieser Subflows.

Aktivieren Sie diese Flows, bevor Sie sie verwenden. Weitere Informationen finden Sie unter Aktivieren Sie einen Security Incident Response-Flow .

• Playbook für automatisiertes Phishing
  Das Playbook für automatisiertes Phishing hilft Ihnen, bestimmte Arten von Sicherheitsbedrohungen Schritt für Schritt zu lösen. Mit den Flow Designer-Vorlagen können Sie die Schritte im Phishing-Antwort-Playbook automatisieren und Incidents schnell und effizient lösen.
• Playbook für automatisierte Malware
  Das automatisierte Malware-Playbook bietet eine Sequenz automatisierter Schritte, mit denen Sie Malware-Warnungen schnell und effizient lösen können.
• Playbook für fehlgeschlagene Anmeldung – Handbuch
  Wenn ein Anwender bestimmte nicht erfolgreiche Anmeldeversuche (gemäß der SIM-Konfiguration) unternimmt, wird ein Security Incident erstellt.
• Playbook für die Automatisierung untergeordneter Security Incidents
  Doppelte Security Incidents werden als untergeordnete Security Incidents kategorisiert und in den übergeordneten Security Incidents zusammengefasst.
• Playbook für Office 365 – schädliche Datei erkannt
  Dieses Playbook bietet systematische Korrekturschritte für die Untersuchung schädlicher Dateien, die in Office 365 erkannt wurden.
• Playbook für Wiederholungserkennung
  Mit diesem Playbook können Sie feststellen, ob die Reaktion auf Incidents in der Vergangenheit für einen genauen oder ähnlichen Phishing-Bericht bereitgestellt wurde und automatisch ähnlich am neuen Bericht arbeitet.
• Playbook für gefälschte E-Mails (mit demselben Anzeigenamen)
  Dieses Playbook bietet systematische Korrekturschritte zur Untersuchung gefälschter E-Mails, die ausgelöst werden, wenn gefälschte Namen für E-Mails an die Mitarbeiter der Organisation gesendet werden.
• Playbook für Endpunkterkennung
  Dieses Playbook bietet systematische Korrekturschritte zur Untersuchung von Malware-Warnungen, die auf einem Host oder Endpunkt ausgelöst wurden (z. B. Erkennung schädlicher Dateien).
• Playbook für mögliches Passwortspray
  Dieses Playbook bietet systematische Korrekturschritte zur Untersuchung von Passwortspray-Warnungen, die durch mehrere fehlgeschlagene Anmeldungen ausgelöst wurden (zu viele Authentifizierungsfehler von mehr als einer IP-Adresse für denselben Anwender).
• Playbook für T1003 – Tools zum Entwerfen von Anmeldeinformationen erkennen
  Dieses Playbook bietet systematische Korrekturschritte zur Untersuchung eines Incident mit Aktivitäten zum Dumping von Anmeldeinformationen.
• Playbook für Spoofing-Erkennung der E-Mail-Domäne
  Dieses Playbook hilft bei der frühzeitigen Selektierung von von von Anwendern gemeldeten Phishing-Übermittlungen, indem es den Analysten auf die Möglichkeit einer Look-like-Domäne in der E-Mail-Adresse des Phisher aufmerksam macht.
• Playbook für Tippfehler besetzte Domäne
  Dieses Playbook bietet systematische Verfahren für die Untersuchung falsch geschriebener Domänen und die Zusammenarbeit mit der Rechtsabteilung der Organisation bei Abnahmen. Tippfehlerdomänen sind absichtlich falsch geschriebene Domänennamen, die legitimen Domänen sehr ähnlich sind. Angreifer nutzen Rechtschreibfehler, um sie zu einer ungewollten Website zur finanziellen Ausnutzung oder anderen böswilligen Aktivitäten zu leiten.
• Playbook für Anmeldeinformations-Sniffing
  Dieses Playbook bietet Systemkorrekturschritte zum Untersuchen eines Incidents mit Aktivitäten zum Sniffing von Anmeldeinformationen, die über durchgeführt werden sys_installation_exitTabelle in einer ServiceNow-Instanz.
• Playbook für T1070 – Windows-Ereignisprotokolle gelöscht
  Dieses Playbook bietet Korrekturschritte zur Untersuchung von Incidents, die Ereignistypen nachverfolgen, bei denen der Anwender Sicherheitsprotokolle entfernt. Wenn das Sicherheitsprotokoll gelöscht wird, werden die Ereignisse 517 und 1102 unabhängig vom Status der Audit-Systemereignisrichtlinie protokolliert.
• Playbook für OSquery der externen Adresse in der Datei „/etc/Hosts“
  Dieses Playbook bietet systematische Korrekturschritte zur Untersuchung von Incidents, die darauf hinweisen, dass ein interner Hostname oder eine interne Domäne einer externen IP-Adresse im lokalen DNS (/etc/Hosts) eines Linux-Servers zugewiesen wurde.
• Playbook für Anwender, der Bash-Verlauf löscht – Cloud
  Dieses Playbook bietet systematische Korrekturschritte zur Untersuchung von Incidents, die darauf hinweisen, ob jemand versucht hat, den Bash-Verlauf zu entfernen ( .Bash_history ) Datei von einem Linux-Server.
• Playbook für erfolgreiche VPN-Versuche aus den Service-Accounts – Corp/Cloud
  Dieses Playbook bietet systematische Korrekturschritte zur Untersuchung von Incidents, die erfolgreiche Anmeldeversuche von Service-Accounts über VPN nachverfolgen. Service-Accounts dürfen keine Anmeldungsereignisse aus einem VPN haben, und solche Ereignisse können Indikatoren für Brute Force oder mögliche Offenlegung der Anmeldeinformationen des Accounts sein.
• Playbook für versuchten Zugriff auf deaktivierte Accounts
  Dieses Playbook wird ausgelöst, wenn ein Mitarbeiter, dessen Account beendet, deaktiviert oder getrennt wird, versucht, sich mit seinen Anmeldeinformationen anzumelden. Der Identitätsstatus des Anwenders in Sail Point wird im Allgemeinen am Kündigungsdatum in „deaktiviert“ aktualisiert.
• Playbook für T1003 – Verteidigungsflucht – Mimikatz DCShadow
  Dieses Playbook bietet systematische Korrekturschritte zur Untersuchung von Incidents, bei denen vermutet wird, dass sie durch Mimikatz DCShadow verursacht wurden. DCShadow ist eine Funktion in Mimikatz, die das Verhalten eines Domänencontrollers (eines Servers, der Active Directory steuert) simuliert, um seine eigenen Daten einzufügen, wobei die meisten Standardsicherheitskontrollen (einschließlich SIEMs) umgangen werden.
• Playbook für T1003 – Dumping von Anmeldeinformationen – Mimikatz DCSync
  Dieses Playbook bietet systematische Korrekturschritte zur Untersuchung von Incidents, bei denen vermutet wird, dass sie durch Mimikatz DCSync verursacht wurden. Dieses Playbook wird ausgelöst, wenn einer der Mimikatz-Funktionen funktioniert (Lsadump::dcsync ) Wird verwendet. Die Funktion wird normalerweise auf angegriffenen Domänencontrollern (DC) verwendet.
• Playbook für Fehler bei der Okta-Anwenderanmeldung über mehrere IPs
  Dieses Playbook bietet systematische Korrekturschritte zur Untersuchung von Incidents für Fehler bei der Anwenderanmeldung in Okta.
• Playbook für ModSec-Brute-Force nach IP-Burst
  Dieses Playbook bietet systematische Korrekturschritte zur Untersuchung von Incidents von Brute-Force-Versuchen auf den Anmeldeseiten von mehreren von ModSec erkannten IPs. Die Ereignisbedingungen können in der ModSec-Richtlinie selbst festgelegt werden und löst eine Warnung in Splunk aus, wenn das Ereignis in ModSec erstellt wird.

Zugehörige Konzepte

• Prozessbasierte Playbooks