Muchos usuarios de SIEM hacen una pregunta: ¿En qué se diferencian las herramientas SIEM de Splunk y HPE ArcSight? Los usuarios de ArcSight están seguros de que los eventos de correlación en ArcSight son un argumento de peso a favor del uso de este SIEM porque Splunk no tiene los mismos eventos. Vamos a desmontar […]
Datos adicionales en ArcSight ESM
Todos los que alguna vez instalaron un solo ArcSight SmartConnector conocen el capítulo ‘Mapeo de Eventos del Dispositivo a Campos de ArcSight’ en la guía de instalación donde se puede encontrar información sobre el mapeo de campos específicos del dispositivo al esquema de eventos de ArcSight. Es un capítulo esencial para los analistas, ¿verdad? Ciertamente, […]
¿Qué es la jerarquía de red y cómo usarla en IBM QRadar
La jerarquía de red es una descripción del modelo interno de la red de la organización. El modelo de red te permite describir todos los segmentos internos de la red, incluidos el segmento de servidores, DMZ, segmento de usuarios, Wi-Fi, etc. Estos datos son necesarios para enriquecer los datos de los delitos registrados; puedes utilizar […]
Listas Activas en ArcSight, limpieza automática. Parte 1
Los principiantes y usuarios experimentados de ArcSight a menudo se enfrentan a una situación cuando necesitan borrar automáticamente la Lista Activa en un caso de uso. Podría ser el siguiente escenario: contar los inicios de sesión de hoy para cada usuario en tiempo real o reiniciar algunos contadores que están en la Lista Activa a […]
Correlación Histórica
¿Qué pasa si implemento o diseño un nuevo Caso de Uso y quiero saber si mi empresa estuvo expuesta a la amenaza en el pasado? Mientras trabajaba con ArcSight, muchas personas se preguntan si hay una forma de realizar correlación histórica. Incluso tienen varios escenarios de la vida real para esto. El primero son los […]
Cómo solucionar problemas de análisis en QRadar sin soporte técnico
Todos los productos QRadar se pueden dividir en dos grupos: versiones antes de la 7.2.8 y todas las versiones más recientes. En las versiones de QRadar 7.2.8+, todos los cambios de análisis se realizan desde la consola WEB. Para solucionar un problema de análisis, debes seguir los siguientes pasos: Crea una búsqueda en la página […]
Entregar feeds de TI en ArcSight sin disparadores de falsos positivos
Cada usuario o administrador de ArcSight se enfrenta a disparadores falsos positivos de reglas mientras integra el feed de inteligencia de amenazas en ArcSight. Esto sucede principalmente cuando los eventos de la fuente de inteligencia de amenazas no están excluidos de la condición de la regla o cuando el conector intenta resolver todas las direcciones […]
Escenario de correlación simple para Splunk usando tablas de búsqueda
La correlación de eventos juega un papel importante en la detección de incidentes y nos permite centrarnos en los eventos que realmente importan a los servicios de negocio o procesos de TI/seguridad.
Petya.A / NotPetya es un arma cibernética potenciada por IA, los TTPs indican al grupo APT Sandworm
Ha sido un verano caluroso para la industria de la seguridad: en menos de una semana desde que se sospechó inicialmente que el ransomware Petya.A resultó ser mucho más de lo que parece. Los investigadores de seguridad de todo el mundo lo han denominado con razón NotPetya y EternalPetya, ya que el malware nunca pretendió […]
No más WannaCry: IOC’s de gusano ransomware, Tor C2 y análisis técnico + reglas SIEM
¡Buenas noticias a todos! Después de un día, noche y mañana bastante largos de estudiar las noticias, investigar y rastrear el #WannaCry ransomwareworm, hay algunos descubrimientos que compartir… Esto incluye Host y Network IOCs, su análisis obtenido con la ayuda de colegas investigadores de seguridad y practicantes, revisión de la infraestructura C2 y sus interacciones […]