O propósito deste blog é explicar a necessidade de métodos de análise manual (não baseados em alertas) na caça de ameaças. Um exemplo de análise manual eficaz por meio de agregações/contagem de pilhas é fornecido. A Automação é Necessária A automação é absolutamente crítica e, como caçadores de ameaças, devemos automatizar onde for possível o […]
Introdução Muitos times azuis estão usando MITRE ATT&CK para avançar na maturidade de suas detecções e respostas. O arsenal do time azul de ferramentas EDR, logs de eventos e ferramentas de triagem estão todos revelando o que está ocorrendo nos endpoints. No entanto, anomalias são normais e esses alertas e fontes de dados precisam ser […]
Muitas coisas são escritas sobre SIEM, mas minha experiência pessoal com essas ferramentas maravilhosas começou em 2007. Hoje, a tecnologia tem mais de 18 anos e o SIEM é, sem dúvida, um mercado maduro. Junto com clientes, equipe e parceiros, tive o privilégio de participar ativamente de mais de cem projetos de SIEM em todo […]
Olá. No último artigo, consideramos criar regras, e hoje quero descrever o método que ajudará os administradores de SIEM a responder mais rapidamente a possíveis incidentes de segurança. Ao lidar com incidentes de segurança da informação no QRadar, é extremamente importante aumentar a velocidade de operação dos operadores e analistas no SOC. O uso de […]
No artigo anterior, demonstrei como criar um painel simples que monitora a acessibilidade das fontes no Splunk. Hoje quero demonstrar como fazer qualquer tabela no painel se tornar mais evidente e conveniente. Vamos dar uma olhada em meu último artigo e continuar a melhorar a funcionalidade da tabela que obtive como resultado com linhas de […]
Uma tarefa muito comum para todos os desenvolvedores de conteúdo do ArcSight é limpar listas ativas de forma programada ou sob demanda automaticamente. No post anterior, descrevi como limpar Listas Ativas de maneira programada usando tendências: https://socprime.com/en/blog/active-lists-in-arcsight-automatic-clearing-part-1/Hoje vou mostrar outras duas maneiras de como isso pode ser alcançado. Limpeza automática de Listas Ativas com base em […]
No artigo anterior, examinamos o uso de painéis de dependência para criar visualizações convenientes em dashboards. Se você perdeu, siga o link: https://socprime.com/blog/using-depends-panels-in-splunk-for-creating-convenient-drilldowns/Muitas pessoas que começam a estudar Splunk têm dúvidas sobre o monitoramento da disponibilidade dos dados recebidos: quando foi a última vez que os dados vieram de uma fonte específica, quando os dados […]
No meu artigo anterior, escrevi sobre como atualizar seu IBM QRadar. Mas o funcionamento correto de qualquer SIEM não é apenas a atualização da versão, ou a coleta e armazenamento de eventos de várias fontes de dados. A tarefa principal de um SIEM é identificar incidentes de segurança. O fornecedor fornece regras de detecção predefinidas […]
No artigo anterior, examinamos a integração simples com recursos web externos usando drilldowns. Se você perdeu, siga o link: https://socprime.com/en/blog/simple-virus-total-integration-with-splunk-dashboards/Hoje vamos nos familiarizar com mais um interessante variante de drilldowns no Splunk: usando painéis dependentes. Painéis dependentes no Splunk: uma maneira interessante de usar drilldowns em dashboards Muito frequentemente há a necessidade de obter informações […]
A operação eficiente do SIEM depende diretamente da correção de vulnerabilidades detectadas e problemas em seu funcionamento. O método principal para isso é atualizar o sistema para a versão mais recente. As atualizações podem incluir correção de problemas de segurança, lançamento de novas funcionalidades, melhoria do desempenho do sistema, patches, e assim por diante. No […]