Todos que já instalaram um único ArcSight SmartConnector conhecem o capítulo ‘Device Event Mapping to ArcSight Fields’ no guia de instalação onde você pode encontrar informações sobre o mapeamento de campos específicos do dispositivo para o Esquema de Eventos do ArcSight. É um capítulo essencial para os Analistas, certo? Certamente, você notou que para alguns […]
O que é hierarquia de rede e como usá-la no IBM QRadar
Hierarquia de rede é uma descrição do modelo interno da rede da organização. O modelo de rede permite que você descreva todos os segmentos internos da rede, incluindo segmento de servidor, DMZ, segmento de usuário, Wi-Fi e assim por diante. Esses dados são necessários para enriquecer os dados de Ofensas registradas; você pode usar os […]
Listas Ativas no ArcSight, limpeza automática. Parte 1
Iniciantes e usuários experientes de ArcSight frequentemente enfrentam uma situação em que precisam limpar automaticamente a Lista Ativa em um caso de uso. Pode ser o seguinte cenário: contar os logins de hoje para cada usuário em tempo real ou redefinir alguns contadores que estão na Lista Ativa no horário especificado.
Historical Correlation
E se eu implantei ou projetei novos Casos de Uso e quero saber se minha empresa foi exposta à ameaça no passado? Ao trabalhar com ArcSight, muitas pessoas se perguntam se há uma maneira de realizar a correlação histórica. Elas até têm vários cenários reais para isso. O primeiro são eventos em lote; por exemplo, […]
Como corrigir problemas de análise no QRadar sem suporte técnico
Todos os produtos QRadar podem ser divididos em dois grupos: versões antes de 7.2.8 e todas as versões mais recentes. Nas versões QRadar 7.2.8+, todas as alterações de análise são realizadas a partir do console WEB. Para corrigir um problema de análise, você precisa seguir os seguintes passos: Crie uma Pesquisa na página de Atividade […]
Fornecer feeds de TI para o ArcSight sem gatilhos de falso positivo
Todo usuário ou administrador do ArcSight enfrenta disparos falsos positivos de regras ao entregar feeds de inteligência de ameaças no ArcSight. Isso ocorre principalmente quando os eventos de fonte de inteligência de ameaças não são excluídos da condição da regra ou o conector tenta resolver todos os endereços IP e nomes de host que estão […]
Cenário simples de correlação para Splunk usando tabelas de consulta
A correlação de eventos desempenha um papel importante na detecção de incidentes e nos permite focar nos eventos que realmente importam para os serviços de negócios ou processos de TI/segurança.
Petya.A / NotPetya é uma arma cibernética alimentada por IA, TTPs levam ao grupo APT Sandworm
Tem sido um verão quente para a indústria de segurança: em menos de uma semana desde que o suposto ransomware Petya.A inicialmente foi descoberto, revelou-se muito mais do que aparenta. Pesquisadores de segurança ao redor do mundo corretamente o apelidaram de NotPetya e EternalPetya, pois o malware nunca foi projetado para pedir resgate – era […]
Acabou o WannaCry: indicadores de comprometimento do worm de ransomware, Tor C2 e análise técnica + regras de SIEM
Boas notícias a todos! Após um dia, noite e manhã bastante longos estudando as notícias, pesquisando e caçando o ransomware WannaCry, há algumas descobertas a serem compartilhadas. Isso inclui IOCs de Host e Rede, suas análises obtidas com a ajuda de colegas pesquisadores de segurança e praticantes, revisão da infraestrutura C2 e suas interações com […]
Conferência Internacional sobre Segurança Cibernética “Cyber For All”
24.11.2016 SOC Prime, Inc sediou a primeira conferência internacional sobre segurança cibernética “Cyber For All” em Kyiv, Ucrânia. A equipe da SOC Prime e parceiros de negócios fizeram apresentações e vários clientes compartilharam suas histórias de sucesso reais sobre o uso dos produtos da SOC Prime. A conferência foi frequentada principalmente por representantes da comunidade […]