Cato Detection & Response es una nueva capa de seguridad que crea historias para amenazas. Cuando los motores de correlación avanzados de Cato analizan los datos de tráfico y encuentran una coincidencia para una amenaza potencial, generan una historia. La historia contiene datos de flujos de tráfico con propiedades comunes que se relacionan con la misma amenaza. El banco de trabajo de historias muestra los detalles de cada historia para ayudarle a comprender y analizar las amenazas. Puede ordenar y filtrar las historias para encontrar los ataques potenciales más importantes y, luego, profundizar en una historia para investigar más los detalles.
Estos son ejemplos de datos que una historia puede incluir:
-
Fuentes en su red
-
Objetivos externos del tráfico de red
-
Identificación y descripción de la amenaza
-
Geolocalizaciones relevantes
-
Aplicaciones relacionadas
-
Flujos de tráfico relevantes
-
Popularidad del objetivo según datos internos de Cato
-
Puntuación maliciosa del objetivo según algoritmos de inteligencia de amenazas de Cato
El banco de trabajo de historias muestra un resumen de las historias para las amenazas potenciales en su cuenta.
Para mostrar el banco de trabajo de historias:
-
Desde el menú de navegación, haz clic en Home> Stories Workbench.
|
Columna |
Descripción |
|---|---|
|
ID |
Cato ID único para esta historia |
|
Creado |
Fecha del primer flujo de tráfico para la historia |
|
Actualizado |
Fecha del flujo de tráfico más reciente para la historia |
|
Puntuación de riesgo |
Análisis de riesgo de Cato sobre la historia (los valores son de 1 a 10) |
|
IOA |
Indicador de ataque para la historia |
|
Fuente |
Dirección IP o nombre del dispositivo en su red afectado por la historia |
|
Tipo |
|
|
Estado |
|
Para proporcionar contexto al revisar las historias, puede mostrar las historias en grupos definidos por detalles, incluyendo Fuente, Indicación, Estado, y Tipo. Por ejemplo, puede mostrar juntas todas las historias relacionadas con una dirección IP de origen específica o todas las historias de ciberocupación. Esto le brinda una perspectiva más amplia al analizar las historias y puede ayudarle a llegar a conclusiones más rápidas y precisas.
Cada grupo resalta los niveles de criticidad para las historias en ese grupo, incluyendo el número de historias de alta, media y baja criticidad.
Hay dos formas de filtrar los datos en el banco de trabajo de historias: actualice automáticamente el filtro con el elemento seleccionado, o configure manualmente el filtro.
Al pasar el cursor sobre un elemento o campo donde esté disponible una opción de filtro, aparecerá el botón . Haga clic en el icono para mostrar las opciones de filtro:
-
Agregar al Filtro - Agrega el elemento al filtro, y el banco de trabajo de historias ahora solo muestra historias que incluyen este elemento. Por ejemplo, si filtras por una puntuación de riesgo específica, la pantalla solo muestra historias con esa puntuación de riesgo.
-
Excluir del Filtro - Actualiza el filtro para excluir este elemento, y el banco de trabajo de historias ahora solo muestra historias que NO incluyen este elemento.
Puede seguir agregando elementos al filtro, haga clic en nuevamente para actualizar el filtro y profundizar más.
El rango de tiempo predeterminado para el banco de trabajo de historias es los dos días anteriores. Puede seleccionar un rango de tiempo diferente para mostrar las historias en un período de tiempo más largo o más corto. Para más información, consulte Estableciendo el filtro de rango de tiempo.
El rango máximo de fechas para el banco de trabajo de historias es de 90 días.
Puede configurar manualmente el filtro de historias para obtener un mayor nivel de detalle al analizar las historias. Después de configurar el filtro, se agrega a la barra de filtro de historias y la pantalla se actualiza automáticamente para mostrar las historias que coinciden con el nuevo filtro.
Para crear un filtro:
-
En la barra de filtro, haga clic en
.
-
Comience a escribir o seleccione el Campo.
-
Seleccione el Operador, que determina la relación entre el Campo y el Valor que está buscando.
-
Seleccione el Valor.
-
Haga clic en Agregar Filtro. El filtro se agrega a la barra de filtro y el Stories Workbench se actualiza para mostrar historias basadas en los filtros.
Puede eliminar cada elemento en el filtro por separado o limpiar todo el filtro.
Puede hacer clic en una historia en el banco de trabajo de historias para profundizar e investigar los detalles en una pantalla diferente. Esta pantalla contiene una serie de widgets que le ayudan a evaluar la amenaza potencial. Hay widgets especializados para analizar datos de historias de Threat Hunting o Anomalía de Uso.
Estos son los widgets para una historia de Threat Hunting:
|
Elemento |
Nombre |
Descripción |
||||||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
1 |
Resumen de la historia |
Un resumen de información básica sobre la historia, incluyendo:
|
||||||||||||||||||||||||||||||||
|
2 |
Muestra una cronología de la historia, como los cambios realizados en el veredicto y severidad de la historia, y cuándo se identifican nuevos objetivos relacionados con la historia |
|||||||||||||||||||||||||||||||||
|
3 |
Detalles |
Información clave para analizar la historia, incluyendo una descripción de amenazas, firmas de amenazas de Cato detectadas en el tráfico relevante y técnicas MITRE ATT&CK® identificadas para la amenaza. Para más información sobre el marco de MITRE ATT&CK®, consulte Trabajando con el Dashboard MITRE ATT&CK®.
|
||||||||||||||||||||||||||||||||
|
4 |
Fuente |
Información básica sobre los dispositivos en su red afectados por la amenaza |
||||||||||||||||||||||||||||||||
|
5 |
Geolocalización del ataque |
Muestra la geolocalización para las fuentes en tu red (ubicaciones anaranjadas) y fuentes externas (ubicaciones rojas) relacionadas con la amenaza. Las flechas que conectan las fuentes indican la dirección del tráfico |
||||||||||||||||||||||||||||||||
|
6 |
Distribución del Ataque |
Distribución temporal de los flujos relacionados con el ataque.
|
||||||||||||||||||||||||||||||||
|
7 |
Objetivos |
Muestra datos para las fuentes potencialmente maliciosas fuera del sitio de tu red relacionadas con la historia.
|
||||||||||||||||||||||||||||||||
|
8 |
Flujos Relacionados con el Ataque |
Muestra datos para una muestra representativa de flujos de tráfico relacionados con el ataque.
|
Estos son los widgets para una historia de Anomalía de Uso:
|
Ítem |
Nombre |
Descripción |
|---|---|---|
|
1 |
Resumen de la Historia |
Proporciona un resumen de la información básica sobre la historia, incluyendo:
|
|
2 |
Información clave para analizar la historia, incluyendo una descripción y resumen de la amenaza, y técnicas de MITRE ATT&CK® identificadas para la amenaza. Para más sobre el marco MITRE ATT&CK®, consulte Trabajo con el Panel MITRE ATT&CK®.
|
|
|
3 |
Distribución de Anomalías |
Gráfico del comportamiento anómalo de los últimos 14 días
|
|
4 |
Principales Hosts |
Principales hosts relacionados con la anomalía, con detalles relevantes. Por ejemplo, un host para una anomalía de ancho de banda ascendente aparece con el número de subidas desde el host
|
|
5 |
Principales Aplicaciones |
Principales aplicaciones relacionadas con la anomalía, con detalles relevantes. Por ejemplo, una aplicación para una anomalía de ancho de banda ascendente aparece con el número de subidas desde la aplicación
|
|
6 |
Principales Servidores/Destinos |
Principales servidores y destinos relacionados con la anomalía, con detalles relevantes. Por ejemplo, un servidor para una anomalía de ancho de banda ascendente aparece con el número de subidas al servidor
|
0 comentarios
Inicie sesión para dejar un comentario.