Detecta pesquisas sobre ataques de phishing e malware relatados pelo usuário
Execute pesquisas de vistas em e-mails ou observáveis para determinar com que frequência determinados tipos de ataques, como ataques de phishing ou comunicações com um IP ou URL mal-intencionado, ocorrem em sua rede. Cada ocorrência é considerada um avistamento. As pesquisas de vistas de observáveis devem ser configuradas para seus armazenamentos de log ou gestão de eventos e informações de segurança (SIEM).
Assista a este vídeo de três minutos para saber como usar o recurso de pesquisa de avistamentos para localizar usuários com phishing e rastrear observáveis de phishing e malware no armazenamento de logs em sua rede.
- Usuário com phishing: Um usuário que recebeu um e-mail de phishing.
- Usuário vítima: Um usuário que interagiu com o URL de phishing, normalmente clicando em um link no e-mail de phishing. Potencialmente, esta ação expõe credenciais ao invasor.
- Navegar até e clique em um incidente de segurança.
- Clique em Mostrar IOC Em Links relacionados. Uma lista de observáveis é exibida.
- Selecione um observável na lista e no Ações , selecione uma das seguintes opções:
- Executar pesquisa de detecções de tráfego na web
- Executar pesquisa de detecções de tráfego de e-mails
- Especifique o intervalo de tempo e clique em Pesquisa para executar uma pesquisa de vistas.
Configurações de pesquisa de vistas salvas
Execute uma pesquisa de vistas de e-mail para ataques de phishing relatados pelo usuário
PESQUISE usuários que receberam e-mails de phishing com base em observáveis, como assunto do e-mail, nome do remetente ou ID da mensagem. Você pode conter e erradicar esses e-mails de phishing da sua organização.
Antes de Iniciar
Função necessária: sn_si.analyst
Por Que e Quando Desempenhar Esta Tarefa
- Esta implementação da pesquisa de vistas para observáveis baseados em e-mail foi testada somente com o armazenamento de logs do Splunk Enterprise.
- Os eventos de log do Splunk devem ser compatíveis com CIM (Common Information Model, Modelo de informações comuns) para que a consulta de pesquisa de vistas retorne resultados precisos.
Procedimento
-
Em Incidentes de segurança , selecione um dos filtros, como todos incidentes em aberto , todos os incidentes atribuídos a você ou todos os incidentes .
Para exibir incidentes de segurança de um tipo específico, como incidentes críticos ou e-mails de phishing, clique em um dos Filtros rápidos .
-
Clique no incidente de segurança que você deseja analisar.
A guia Visão geral fornece uma visão geral do incidente de segurança, incluindo uma lista de observáveis, usuários afetados e incidentes de segurança semelhantes.
-
Em Dados do incidente , navegue até .
-
Para exibir a lista de usuários que receberam o e-mail de phishing, clique em > Símbolo na coluna Data de pesquisa.
Resultado
Execute uma pesquisa de avistamentos observáveis para ataques de phishing e malware relatados pelo usuário
Execute pesquisas de vistas em observáveis para descobrir quantos usuários visitaram um site malicioso ou suspeito em um período específico.
Antes de Iniciar
Função necessária: sn_si.analyst
Por Que e Quando Desempenhar Esta Tarefa
- Esta implementação da pesquisa de vistas para observáveis foi testada somente com o armazenamento de logs do Splunk Enterprise.
- Os eventos de log do Splunk devem ser compatíveis com CIM (Common Information Model, Modelo de informações comuns) para que a consulta de pesquisa de vistas retorne resultados precisos.
Procedimento
-
Em Incidentes de segurança , selecione um filtro diferente, como todos Incidentes atribuídos a mim , Todos os incidentes em aberto ou Todos os incidentes .
Para exibir incidentes de segurança de um tipo específico, como incidentes críticos ou e-mails de phishing, clique em um dos Filtros rápidos .
-
Clique no incidente de segurança que você deseja analisar.
Você pode ver uma visão geral do incidente de segurança, incluindo uma lista de observáveis, usuários afetados e incidentes de segurança semelhantes.
Na seção Observáveis, observe que a coluna Observável mostra o endereço de e-mail, o assunto e o URL. Observe também que a coluna Descoberta mostra que o URL foi verificado automaticamente quando o e-mail de phishing foi enviado e determinado como um URL mal-intencionado conhecido. A coluna Contagem de incidentes mostra os outros incidentes que compartilham o mesmo observável. Esses artefatos indicam que você provavelmente está pronto para prosseguir para os procedimentos de contenção desse ataque de phishing, incluindo a determinação de quantos usuários na organização foram afetados.
-
Expanda a seção Critérios de pesquisa e clique em Pesquisa de observável .
-
Em Selecione Ação , selecione Pesquisa .
O armazenamento de logs do Splunk é pesquisado usando os critérios inseridos e os principais usuários visados pelo ataque mal-intencionado são mostrados no Resultados da Pesquisa observável guia.
Resultado
Criar registros de configuração de pesquisa de vistas
Crie vários registros de configuração de pesquisa de vistas e use-os ao consultar vários armazenamentos de log ou variar os parâmetros de pesquisa.
Antes de Iniciar
Função necessária: sn_si.admin
- O complemento CIM deve ser instalado na instância do Splunk.
- Pesquisas salvas e consultas no local são compatíveis somente com a Integração Splunk.
Por Que e Quando Desempenhar Esta Tarefa
- Crie pesquisas personalizadas que combinam vários registros de evento.
- Pesquisas eficientes e eficazes.
- Use entradas com parâmetros na pesquisa salva do Splunk.
O sistema de base inclui as configurações de amostra mostradas nesta imagem:
Para verificar se a configuração de pesquisa salva corresponde à configuração definida em sua instância do Splunk:
- Navegar até .
- Mudança Contexto da aplicação . Todos .
Uma lista de relatórios de pesquisa é exibida.
- Confirme se a consulta de pesquisa salva está presente na lista.
Em sua instância do Splunk, defina a pesquisa salva com o mesmo nome, Pesquisa salva padrão - E-mails e os mesmos parâmetros de pesquisa para o endereço de e-mail e o assunto do e-mail. Se o nome e os parâmetros de pesquisa não forem os mesmos, a pesquisa de vistas não gerará um resultado preciso.
Procedimento
Resultado
O que Fazer Depois
Depois de definir a consulta de pesquisa, clique em Gerar consulta de teste de pesquisa de vistas e especificam uma lista de valores observáveis para gerar uma consulta de teste com base nesta configuração de pesquisa salva.