Alle QRadar-Produkte können in zwei Gruppen unterteilt werden: Versionen vor 7.2.8 und alle neuesten Versionen. In QRadar-Versionen 7.2.8+ werden alle Parsing-Änderungen über die WEB-Konsole durchgeführt. Um ein Parsing-Problem zu beheben, müssen Sie die folgenden Schritte ausführen: Erstellen Sie eine Suche auf der Seite Log-Aktivität in QRadar, wo Sie Ereignisse mit Parsing-Problemen abrufen können. Wählen Sie […]
TI-Feeds in ArcSight einspielen ohne Fehlalarme auszulösen
Jeder ArcSight-Benutzer oder Administrator steht vor der Herausforderung, falsche positive Regeltriggers zu erleben, während er einen Bedrohungsnachrichten-Feed in ArcSight einspeist. Dies geschieht meist, wenn Ereignisse aus Bedrohungsquellen nicht von der Regelbedingung ausgeschlossen werden oder der Connector versucht, alle verarbeiteten IP-Adressen und Hostnamen aufzulösen.
Einfache Korrelationsszenario für Splunk mit Verwendung von Lookup-Tabellen
Ereigniskorrelation spielt eine wichtige Rolle bei der Vorfallerkennung und ermöglicht es uns, uns auf die Ereignisse zu konzentrieren, die für die Geschäftsservices oder IT/Sicherheitsprozesse wirklich relevant sind.
Petya.A / NotPetya ist eine KI-gestützte Cyberwaffe, TTPs führen zur Sandworm APT-Gruppe
Es war ein heißer Sommer für die Sicherheitsbranche: In weniger als einer Woche seit dem anfänglich verdächtigten Ransomware Petya.A stellte sich heraus, dass sie viel mehr als es auf den ersten Blick scheint. Sicherheitsforscher weltweit haben es zu Recht NotPetya und EternalPetya genannt, da die Malware nie darauf ausgelegt war, ein Lösegeld zu fordern – […]
WannaCry nein mehr: Ransomware-Wurm IOC’s, Tor C2 und technische Analyse + SIEM-Regeln
Gute Neuigkeiten, alle zusammen! Nach einem recht langen Tag, einer Nacht und einem Morgen voller Recherche über die Nachrichten und das Jagen der #WannaCry Ransomware-Wurm gibt es einige Entdeckungen zu berichten. Dazu gehören Host- und Netzwer-IOCs, deren Analyse mit Hilfe von Sicherheitsexperten und Praktikern gewonnen wurde, die Überprüfung der C2-Infrastruktur und deren Interaktionen mit Tor. […]
Internationale Konferenz zur Cybersicherheit Cyber For All
Am 24.11.2016 veranstaltete SOC Prime, Inc die erste internationale Konferenz zur Cybersicherheit „Cyber For All“ in Kiew, Ukraine. Mitarbeiter von SOC Prime und Geschäftspartner hielten Präsentationen, und mehrere Kunden berichteten über ihre erfolgreichen Erfahrungen mit den Produkten von SOC Prime. Die Konferenz wurde hauptsächlich von Vertretern der Telekommunikations- und Finanzwirtschaft der Ukraine besucht. Kiew war […]
Mirai-Botnet-Digest: Bedrohungsübersicht, Analysen und Abhilfemaßnahmen
Ein Zitat eines berühmten Professors „Gute Nachrichten, alle zusammen!“ würde am besten zu den jüngsten Ereignissen passen, als das Internet der Dinge Dinge die Hölle in der gesamten digitalen Welt entfesselt hat, wobei das Mirai-Botnet einer seiner berüchtigten Handlanger ist. Vor kaputten Sarkasmus-Detektoren: Die Situation ist tatsächlich angespannt, angesehene Forscher im Sicherheitsbereich glauben, dass wir […]
Phishing der DHL-Konten: «DHL & PASSWÖRTER»
Hallo zusammen! Heute konzentrieren wir uns auf ein frisches Beispiel für einfaches Phishing aus der Praxis wie immer. Lassen Sie uns den folgenden Brief analysieren:
Infrastruktureindringung über RTF
Lassen Sie uns zu einem Angriffsstadium übergehen, das als „Delivery“ innerhalb der Lockheed Martin Cyber Kill Chain bekannt ist.Über diese Phase lässt sich viel sagen, aber heute werde ich einfach die Analyse einer Probe teilen, die ich kürzlich zur Analyse erhalten habe. Die Probe erregte meine Aufmerksamkeit aufgrund ihrer Einfachheit auf der einen Seite und […]
Angriff auf die Domain-Controller-Datenbank (NTDS.DIT)
Wie versprochen beginnen wir mit der Analyse der einzelnen Phasen der Cyber Kill Chain des zuvor beschriebenen Angriffs. Heute werden wir einen der Angriffsvektoren auf die Unternehmensinfrastruktur überprüfen, den wir als zwei Phasen zählen können: «Action on Objectives» und «Reconnaissance». Unsere Ziele sind: