Der effiziente Betrieb eines SIEM hängt direkt davon ab, erkannte Schwachstellen und Probleme in seiner Funktionsweise zu beheben. Die primäre Methode hierfür ist das Aktualisieren des Systems auf die neueste Version. Updates können die Behebung von Sicherheitsproblemen, die Einführung neuer Funktionen, die Verbesserung der Systemleistung, Patches und so weiter umfassen. In meinem jüngsten Artikel haben […]
ArcSight. Optimierung von EPS (Aggregation und Filterung)
Fast alle ArcSight-Anfänger stehen vor der Situation, dass eine hohe eingehende EPS von den Protokollquellen vorliegt, insbesondere wenn dies kritisch für die Lizenzgrenzen ist oder Leistungsprobleme verursacht. Um die eingehende EPS zu reduzieren, bietet ArcSight zwei einheimische Methoden zur Ereignisverarbeitung: Ereignisaggregation und Filterung. In diesem Artikel werde ich versuchen zu erklären, wie man die eingehende […]
Veranstaltungen mit zusätzlichen Daten anreichern
Im vorherigen Artikel haben wir untersucht Zusätzliche Datenfelder und wie man sie verwendet. Aber was, wenn Ereignisse nicht die benötigten/erforderlichen/notwendigen Informationen selbst in den zusätzlichen Datenfeldern enthalten? Sie können immer auf die Situation stoßen, in der Ereignisse in ArcSight nicht alle benötigten Informationen für Analysten enthalten. Zum Beispiel Benutzer-ID statt Benutzername, Host-ID statt Hostname usw. […]
Konfiguration, Ereignisse und Content-Backup in IBM QRadar
Bei der Arbeit mit SIEM stoßen Sie irgendwann auf eine Situation, in der Ihr Tool aktualisiert werden muss, um die neueste Version zu erhalten, in ein anderes Rechenzentrum verlegt oder zu einer produktiveren Installation migriert werden muss. Ein integraler Bestandteil davon ist die Erstellung von Backups und der anschließende Transfer von Daten, Konfigurationen oder benutzerdefinierten […]
Einfache VirusTotal-Integration mit Splunk-Dashboards
Einfache Integration hilft bei der Suche nach bösartigen Prozessen Grüße an alle! Lassen Sie uns weiterhin Splunk in ein multifunktionales Tool verwandeln, das schnell jede Bedrohung erkennen kann. In meinem letzten Artikel habe ich beschrieben, wie man Korrelationsevents mit Alerts erstellt. Jetzt erzähle ich Ihnen, wie man eine einfache Integration mit der VirusTotal-Datenbank herstellt. Viele […]
DNSmasq kann einen Cyberangriff größer als WannaCry und Mirai entfachen
Gute Nachrichten, alle zusammen! Es sind jetzt 10 Tage vergangen, seit Google Security 7 kritische Sicherheitslücken zusammen mit Exploit-Beispielcode für den beliebten dnsmasq-Dienst veröffentlicht hat, und die Welt lebt immer noch, wie wir sie kennen. Wie lange wird das anhalten? Wenn wir uns auf den WannaCry-Ausbruch beziehen, dauert es eine Weile von der Veröffentlichung des […]
Ereignisfilterung in IBM QRadar
Bei der Konfiguration eines SIEM-Tools (einschließlich IBM QRadar) treffen Administratoren oft die falsche Entscheidung: „Schicken wir alle Logs an das SIEM und schauen dann, was wir damit machen.“ Solche Maßnahmen führen meist zu enormer Lizenznutzung, hoher Arbeitslast für das SIEM-Tool, Auftreten einer Cache-Warteschlange und manchmal zum Verlust von Ereignissen. Dies führt dazu, dass das SIEM […]
Vermögenswerte und Beschreibung kritischer Infrastrukturobjekte
Bei der Implementierung und Nutzung von IBM QRadar stellen die Benutzer häufig folgende Fragen: Was sind Assets? Wofür werden sie benötigt? Was können wir mit ihnen tun? Wie kann man das Ausfüllen des Asset-Modells automatisieren? ‚Assets‘ ist ein Modell, das die Infrastruktur beschreibt und dem IBM QRadar-System ermöglicht, unterschiedlich auf die Ereignisse zu reagieren, die […]
Erstellung von Korrelationsereignissen in Splunk mithilfe von Alerts
Viele SIEM-Nutzer stellen eine Frage: Wie unterscheiden sich die SIEM-Tools von Splunk und HPE ArcSight? ArcSight-Nutzer sind zuversichtlich, dass Korrelationsereignisse in ArcSight ein gewichtiges Argument für die Nutzung dieses SIEM sind, da Splunk diese Ereignisse nicht hat. Lassen Sie uns diesen Mythos zerstören. Splunk hat viele Möglichkeiten, Ereignisse zu korrelieren. In diesem Artikel werden wir […]
Zusätzliche Daten in ArcSight ESM
Jeder, der jemals einen einzelnen ArcSight SmartConnector installiert hat, kennt das Kapitel ‚Zuordnung von Gerätereignissen zu ArcSight-Feldern‘ im Installationshandbuch, in dem Informationen zur Zuordnung gerätespezifischer Felder zum ArcSight-Ereignisschema zu finden sind. Es ist ein wesentliches Kapitel für Analysten, oder? Sicherlich haben Sie bemerkt, dass es für einige SmartConnectors ‚Zusätzliche Daten‘-Felder gibt. Zum Beispiel:Woher kommen sie? […]