Execute a análise de link e a busca de ameaças usando MITRE-ATT&CK filtros específicos

Correlacione e execute a análise de link de observáveis, incidentes de segurança e. MITRE-ATT&CK informações relacionadas para que sua organização possa começar a caçar ameaças.

Antes de Iniciar

Função necessária: sn_ti.miter_analyst, sn_si.read

Por Que e Quando Desempenhar Esta Tarefa

Depois de associar os incidentes de segurança ao MITRE-ATT&CK, você pode usar MITRE-ATT&CK filtros específicos para busca de ameaças. Use MITRE-ATT&CK filtros com o existente Resposta a incidentes de segurança filtros para correlacionar e executar análise de link.

Procedimento

1. Navegar até Tudo > Incidentes de segurança > Mostrar todos os incidentes.
2. Clique em Atualizar lista personalizada para adicionar MITRE colunas.
3. Selecione uma condição de filtro para que você possa exibir MITRE associações e informações relacionadas a incidentes de segurança ou observáveis:
   • MITRE-ATT&CK Grupo adversário
   • MITRE-ATT&CK Fonte de dados
   • MITRE-ATT&CK Procedimento (malware)
   • MITRE-ATT&CK Procedimento (Ferramentas)
   • MITRE-ATT&CK Tática
   • MITRE-ATT&CK Técnica
4. Crie uma condição de filtro baseada nos critérios acima e clique em Executar para executar uma análise de link ou correlação entre incidentes de segurança, observáveis e MITRE-ATT&CK informações relacionadas.
   Nota:

   . MITRE-ATT&CK os dados são armazenados como uma cadeia de caracteres e você só pode usar contém como o operador para condições de filtro.

   Por exemplo, se você quiser revisar se um item de configuração (IC) está comprometido, selecione um IC. Em seguida, você correlaciona o IC com as técnicas que estão presentes adicionando um MITRE-ATT&CK ID da técnica. Você pode continuar a criar seus critérios de filtro para correlacionar as informações e para a busca de ameaças.

   

Conceitos relacionados

• MITRE-ATT&CK mapa de calor e navegador
• Usando o. MITRE-ATT&CK painel

Tarefas relacionadas

• Associar MITRE-ATT&CK informações com incidentes de segurança
• Associar MITRE-ATT&CK informações com observáveis
• Associar MITRE-ATT&CK informações com caso de segurança
• Acúmulo MITRE-ATT&CK Informações que usam resultados da Pesquisa de ameaças
• Acúmulo MITRE-ATT&CK informações das regras de detecção
• Acúmulo MITRE-ATT&CK informações de incidentes de segurança secundários