Hace aproximadamente una semana recibimos esta información de uno de nuestros socios “Estamos viendo correos electrónicos de phishing volando en nuestro entorno (Interno a Interno)” junto con el envío de una muestra de correo. Hoy vamos a analizar los recientes ataques de phishing dirigidos a empresas Fortune 500 y Global 2000 apodados “Stealthphish”, cuyo objetivo […]
Integración de QRadar con VirusTotal
Hola. En el último artículo consideramos crear reglas, y hoy quiero describir el método que ayudará a los administradores de SIEM a responder más rápidamente a posibles incidentes de seguridad. Cuando se trabaja con incidentes de seguridad de la información en QRadar, es extremadamente importante aumentar la velocidad de operación de los operadores y analistas […]
Splunk: Cómo colorear filas de tabla basadas en condiciones.
En el artículo anterior he demostrado cómo crear un sencillo panel de control que monitorea la accesibilidad de las fuentes en Splunk. Hoy quiero mostrarte cómo hacer que cualquier tabla en el panel sea más evidente y conveniente. Veamos mi último artículo y continuemos mejorando la funcionalidad de la tabla que obtuve como resultado con […]
Listas Activas en ArcSight, Limpieza Automática. Parte 2
Una tarea muy común para todos los desarrolladores de contenido de ArcSight es limpiar listas activas de forma programada o bajo demanda automáticamente. En el post anterior he descrito cómo limpiar Listas Activas de forma programada usando tendencias: https://socprime.com/en/blog/active-lists-in-arcsight-automatic-clearing-part-1/Hoy te mostraré otras dos formas de lograrlo. Limpieza automática de Listas Activas basada en comandos de […]
Creando un panel simple que monitorea la accesibilidad de fuentes en Splunk
En el artículo anterior, hemos examinado el uso de paneles dependientes para crear visualizaciones convenientes en los tableros. Si te lo perdiste, sigue el enlace: https://socprime.com/blog/using-depends-panels-in-splunk-for-creating-convenient-drilldowns/Muchas personas que comienzan a estudiar Splunk tienen preguntas sobre el monitoreo de la disponibilidad de los datos entrantes: cuándo fue la última vez que llegaron datos de una fuente […]
Creación de Reglas en IBM QRadar
En mi artículo anterior, escribí sobre cómo actualizar tu IBM QRadar. Pero el correcto funcionamiento de cualquier SIEM no es solo actualizar la versión, o la recopilación y almacenamiento de eventos de diversas fuentes de datos. La tarea principal del SIEM es identificar incidentes de seguridad. El proveedor ofrece reglas de detección preconfiguradas para IBM […]
Uso de paneles dependientes en Splunk para crear desgloses convenientes
En el artículo anterior, hemos examinado la integración simple con recursos web externos usando drilldowns. Si te lo perdiste, sigue el enlace: https://socprime.com/en/blog/simple-virus-total-integration-with-splunk-dashboards/Hoy nos familiarizaremos con una variante más interesante de drilldowns en Splunk: usando paneles dependientes. Paneles dependientes en Splunk: una forma interesante de usar drilldowns en paneles de control Muy a menudo, se […]
Aviso de Seguridad. Gusano de ransomware Bad Rabbit.
La investigación se basa en el análisis de evidencia OSINT, evidencia local, comentarios de las víctimas del ataque y la metodología MITRE ATT&CK utilizada para la atribución de actores. SOC Prime quisiera expresar su gratitud a los investigadores de seguridad independientes y las empresas especializadas en seguridad que compartieron los informes de ingeniería inversa y […]
Actualización de IBM QRadar
La operación eficiente de SIEM depende directamente de la corrección de vulnerabilidades detectadas y problemas en su funcionamiento. El método principal para esto es actualizar el sistema a la versión más reciente. Las actualizaciones pueden incluir la corrección de problemas de seguridad, lanzar nueva funcionalidad, mejorar el rendimiento del sistema, parches, etc. En mi artículo […]
ArcSight. Optimización de EPS (Agregación y Filtración)
Casi todos los principiantes de ArcSight enfrentan una situación en la que hay un alto EPS entrante de las fuentes de registro, especialmente cuando es crítico para los límites de licencia o causa problemas de rendimiento. Para reducir el EPS entrante, ArcSight tiene dos métodos nativos para el procesamiento de eventos: Agregación de Eventos y […]