Pesquisas de vistas em MISP
Você pode executar pesquisas de vistas em observáveis no MISP Instância para determinar com que frequência determinados tipos de ataques, como ataques de phishing ou comunicações com um IP ou URL mal-intencionado, ocorrem em sua rede. Cada ocorrência é considerada um avistamento.
Vistas em MISP
Alguns atributos são considerados falsos positivos, o que significa que não são avistamentos válidos. Outros atributos são válidos por apenas uma determinada duração, como uma campanha de phishing executada por apenas uma semana. Você pode atribuir uma data de expiração aos atributos que são válidos por uma determinada duração, mas cada organização pode atribuir apenas uma data de expiração válida a um atributo.
Vistas criadas em MISP Por usuários de organizações marcadas como locais no servidor MISP correspondente são conhecidas como vistas internas. Vistas criadas em MISP por usuários de organizações marcadas como remotas no correspondente MISP os servidores são conhecidos como vistas externas.
Pesquisas de vistas em SIR
. Integração de operações de segurança - Fluxo de trabalho de pesquisa de vistas executa a pesquisa de vistas. Isso o flow aceita uma lista de observáveis, encontra todos os recursos de implementação, cria as consultas baseadas nas configurações de pesquisa de vistas e executa as pesquisas baseadas no configurado fluxo.
As pesquisas de detecções ajudam os analistas a determinar a prevalência de uma ameaça ao longo do tempo. Você pode selecionar observáveis individuais ou vários observáveis e o intervalo de datas para sua pesquisa a partir de um incidente de segurança. Os resultados são incluídos no Incidente de segurança Vistas , Resultados da pesquisa de vistas e Detalhes da pesquisa de vistas listas relacionadas.
Ao começar a analisar um incidente, você pode configurar seu ServiceNow AI Platform. executar automaticamente uma pesquisa de vistas ou execute manualmente uma pesquisa de vistas observáveis identificar outros usuários em sua organização que são afetados pelo mesmo ataque de phishing.
Habilite pesquisas automáticas de vistas em MISP
Habilite a pesquisa de vistas em MISP Para ser executado automaticamente para que o fluxo de trabalho Integração de operações de segurança - Pesquisa de vistas seja acionado sempre que novos observáveis forem associados a um incidente de segurança.
Antes de Iniciar
Verifique se o Perfil de configuração de pesquisa de vistas para MISP ativo.
Função necessária: sn_si.analyst
Por Que e Quando Desempenhar Esta Tarefa
Procedimento
-
Revise as anotações de trabalho depois que novos observáveis forem associados ao incidente de segurança.
Uma anotação de trabalho é publicada quando Integração de operações de segurança - Fluxo de trabalho de pesquisa de vistas acionado.
O exemplo a seguir mostra a seção Anotações de trabalho.
-
Exiba as informações agregadas de observáveis que são vistos em todos os eventos (globais) e categorizados por suas vistas internas ou externas após a conclusão da execução do fluxo de trabalho.
Exiba as informações no Vistas , Resultados da pesquisa de vistas e. Detalhes da pesquisa de vistas Listas relacionadas.O exemplo a seguir mostra o registro de pesquisa de vistas que foi criado na lista relacionada Vistas.
Tabela 1. Registro de pesquisa de vistas Campo Descrição Criação em Data e hora em que o registro de pesquisa de vistas foi criado. Observável Observável pesquisado pela consulta. Contagem de detecções Contagem de avistamentos internos e externos. Origem Origem do observável. Se o observável for de um MISP organização, o registro é precedido pelas palavras MISP.É local Status que indica se a detecção foi relatada por um usuário interno. Link de pesquisa de detecção Link de pesquisa de vistas em MISP instância. Resumo Tipos de vistas associadas ao registro. Os três tipos de avistamentos são avistamento, falso-positivo e expiração. A coluna Resumo aparece somente quando MISP integration for Security Operations instalado. Se houver origens diferentes de MISP For exibida, a entrada da coluna Resumo está vazia para esse registro.
Execute uma pesquisa de detecção manual em MISP
Selecione observáveis individuais ou múltiplos e execute uma pesquisa de vista manual no ServiceNow AI Platform MISP integration for Security Operations aplicação para determinar a prevalência de uma ameaça ao longo do tempo.
Antes de Iniciar
- Revise MISP função e permissões do usuário para usar o. MISP recursos bidirecionais.
- Função necessária: sn_si.analyst
Procedimento
-
Clique em Pesquisar.
O exemplo a seguir mostra os resultados da pesquisa de vistas manuais nas anotações de trabalho.
Resultado
Relatar avistamentos para MISP
Relate detecções de dados de ameaças para que você possa reagir a falsos positivos em seus dados e aumentar sua conscientização quando ocorrer uma ameaça positiva verdadeira. Você também pode adicionar uma data de expiração para um observável ou atributo específico.
Antes de Iniciar
- Revise MISP função e permissões do usuário para usar o. MISP recursos bidirecionais.
- Função necessária: sn_si.analyst
Por Que e Quando Desempenhar Esta Tarefa
Para relatar uma observação MISP, o observável ou o atributo deve estar disponível em MISP instância.
Procedimento
-
Selecione o observável e, no menu Ações, selecione uma das seguintes opções.
Opção Descrição MISP: Relatar avistamento observável Relate o observável como avistado para MISP. Se o observável estiver associado a vários eventos, ele será atualizado em todos os eventos. MISP: Relatar observável como falso positivo Relate o observável como falso positivo para MISP. MISP: Relatar observável como expirado Relate o observável como expirado para MISP. Se você selecionar observáveis que não são específicos de um MISP Origem, o menu Ações mostra a contagem de relevantes MISP origens. O exemplo a seguir mostra quatro de oito observáveis como relevantes para MISP.O exemplo a seguir mostra o menu Ações e os observáveis relevantes para envio.Figura 1. Menu Ações que mostra os observáveis relevantes para envio - Opcional:
Se você selecionou MISP: Relatar avistamento observável , você deve preencher os campos da caixa de diálogo Relatar vista observável para MISP.
Tabela 3. Relatar avistamento observável para MISP caixa de diálogo Campo Descrição Origem Campo de origem que corresponde a. MISP origem do avistamento. Data Campo de data que corresponde à data em que o observável foi avistado. Se a data estiver vazia, a data e a hora atuais serão preenchidas em MISP. O exemplo a seguir mostra como navegar até a lista relacionada Observações no incidente de segurança. Nessa lista, você pode selecionar um observável e relatar a vista do observável para MISP. A mensagem de sucesso mostra que a detecção foi enviada com sucesso para MISP.
Figura 2. Relata vistas observáveis para o MISP - Clique em Relatar detecções .