Integración simple de Virus Total con paneles de Splunk

La integración simple ayuda a buscar procesos maliciosos

¡Saludos a todos! Continuemos convirtiendo Splunk en una herramienta multipropósito que pueda detectar rápidamente cualquier amenaza. Mi último artículo describió cómo crear eventos de correlación usando Alertas. Ahora te contaré cómo hacer una integración simple con la base de Virus Total.

Muchos de nosotros usamos Sysmon en el entorno para monitorear conexiones de red, creación de procesos y cualquier cambio en el tiempo de creación de archivos. Este controlador del sistema proporciona monitoreo y registro de la actividad del sistema en el Event Log. Una de las características más solicitadas de Sysmon es el cálculo y registro de los hashes de los procesos en ejecución. Así, podemos utilizar estos datos, Splunk y la base de Virus Total para detectar procesos maliciosos que posiblemente se ejecuten en tu entorno.

Así que comencemos

1. Recolectar registros de Sysmon con Splunk.

Para configurar la recolección de registros de Sysmon desde sistemas Windows, necesitamos instalar el Add-on para Microsoft Sysmon en Splunk. Puedes encontrar la descripción de este proceso en https://splunkbase.splunk.com/app/1914/.

2. En este punto ya hemos instalado el Add-on para Microsoft Sysmon y los registros se están recopilando en nuestro Splunk:

3. Ahora necesitamos realizar una búsqueda y crear una tabla con los procesos que se ejecutan en nuestro servidor de pruebas.

Evento de Sysmon con ID 1:

index=* source=»WinEventLog:Microsoft-Windows-Sysmon/Operational» EventCode=1

Construcción de la tabla de estadísticas:

index=* source=»WinEventLog:Microsoft-Windows-Sysmon/Operational» EventCode=1 | stats count by Computer Hashes Image

4. Luego guardamos esta búsqueda como un panel de dashboard:

5. Ahora, para el panel guardado, necesitamos crear un drilldown en la página de VirusTotal para verificar el hash de la tabla. Para hacer esto, abrimos el panel Edit Source, añadimos la opción de drilldown y etiqueta:

<option name=»drilldown»>cell</option>

<drilldown target=»Mi Nueva Ventana»>

<eval token=»hash»>$row.Hashes$</eval>

<link>https://www.virustotal.com/latest-scan/$hash$</link>

</drilldown>

6. Después de guardar el dashboard, podremos hacer clic en la celda Hashes para verificar el hash en la página de Virus Total con este drilldown:

En este artículo, mostré una manera simple de hacer una integración usando drilldown. Puedes aprovechar este método para integrar muchos cheques diferentes y convenientes en recursos web externos. Con un solo clic, obtendrás la información que necesitas. También puedes usar Sysmon Framework de SOC Prime para la detección y análisis más profundo de actividades maliciosas. Mi próximo artículo tratará sobre el aprovechamiento de los paneles dependientes, la herramienta que ayuda a hacer los dashboards más informativos.