Cato Detection & Response est une nouvelle couche de sécurité qui crée des histoires pour les menaces. Lorsque les moteurs de corrélation avancée de Cato analysent les données de trafic et trouvent une correspondance pour une menace potentielle, ils génèrent une histoire. L'histoire contient des données de flux de trafic avec des propriétés communes liées à la même menace. L'Atelier des Histoires montre les détails de chaque histoire pour vous aider à comprendre et analyser les menaces. Vous pouvez trier et filtrer les histoires pour trouver les attaques potentielles les plus importantes, puis approfondir une histoire pour analyser davantage les détails.
Ce sont des exemples de données qu'une histoire peut inclure :
-
Sources dans votre réseau
-
Cibles externes du trafic réseau
-
Identification et description de la menace
-
Géolocalisations pertinentes
-
Applications associées
-
Flux de trafic pertinents
-
Popularité de la cible selon les données internes de Cato
-
Score malveillant de la cible selon les algorithmes d'intelligence des menaces de Cato
L'Atelier des Histoires montre un résumé des histoires pour les menaces potentielles dans votre compte.
Pour afficher l'Atelier des Histoires :
-
Dans le menu de navigation, cliquez sur Accueil > Atelier des Histoires.
|
Colonne |
Description |
|---|---|
|
ID |
ID Cato unique pour cette histoire |
|
Créé |
Date du premier flux de trafic pour l'histoire |
|
Mis à jour |
Date du flux de trafic le plus récent pour l'histoire |
|
Score de risque |
Analyse de risque de Cato sur l'histoire (les valeurs vont de 1 à 10) |
|
IOA |
Indicateur d'attaque pour l'histoire |
|
Source |
Adresse IP ou nom de l'appareil sur votre réseau impacté par l'histoire |
|
Type |
|
|
Statut |
|
Pour fournir un contexte lors de l'examen des histoires, vous pouvez afficher les histoires en groupes définis par des détails incluant Source, Indication, Statut, et Type. Par exemple, vous pouvez afficher ensemble toutes les histoires liées à une adresse IP source spécifique ou toutes les histoires de cybersquattage. Cela vous donne une perspective plus large lors de l'analyse des histoires et peut vous aider à tirer des conclusions plus rapides et plus précises.
Chaque groupe met en évidence les niveaux de criticité pour les histoires de ce groupe, y compris le nombre d'histoires de criticité élevée, moyenne et faible.
Il existe deux manières de filtrer les données dans l'Atelier des Histoires : mettre à jour automatiquement le filtre avec l'élément sélectionné, ou configurer le filtre manuellement.
Lorsque vous survolez un élément ou un champ où une option de filtre est disponible, le bouton apparaît. Cliquez sur l'icône pour afficher les options de filtre :
-
Ajouter au Filtre - Ajoute l'élément au filtre, et l'Atelier des Histoires n'affiche maintenant que les histoires incluant cet élément. Par exemple, si vous filtrez pour un score de risque spécifique, l'écran ne montre que les histoires avec ce score de risque.
-
Exclure du Filtre - Met à jour le filtre pour exclure cet élément, et l'Atelier des Histoires n'affiche maintenant que les histoires n'incluant PAS cet élément.
Vous pouvez continuer à ajouter des éléments au filtre, cliquez à nouveau pour mettre à jour le filtre et approfondir plus.
L'intervalle de temps par défaut pour l'Atelier des Histoires est les deux jours précédents. Vous pouvez sélectionner un autre intervalle de temps pour afficher les histoires sur une période de temps plus longue ou plus courte. Pour plus d'informations, consultez Setting the Time Range Filter.
L'intervalle de dates maximum pour l'Atelier des Histoires est de 90 jours.
Vous pouvez configurer manuellement le filtre d'histoire pour une plus grande granularité lors de l'analyse des histoires. Après avoir configuré le filtre, il est ajouté à la barre de filtre des histoires et l'écran est automatiquement mis à jour pour montrer les histoires qui correspondent au nouveau filtre.
Pour créer un filtre :
-
Dans la barre de filtre, cliquez sur
.
-
Commencez à taper ou sélectionnez le Champ.
-
Sélectionnez l'Opérateur, qui détermine la relation entre le Champ et la Valeur que vous recherchez.
-
Sélectionnez la Valeur.
-
Cliquez sur Ajouter Filtre. Le filtre est ajouté à la barre de filtre et l'Atelier des Histoires est mis à jour pour montrer les histoires basées sur les filtres.
Vous pouvez supprimer chaque élément dans le filtre séparément ou effacer tout le filtre.
Vous pouvez cliquer sur une histoire dans le Stories Workbench pour approfondir et examiner les détails sur un écran différent. Cet écran contient plusieurs widgets qui vous aident à évaluer la menace potentielle. Il y a des widgets spécialisés pour analyser les données pour les histoires de Threat Hunting ou d'Usage Anomaly.
Voici les widgets pour une histoire de Threat Hunting :
|
Élément |
Nom |
Description |
||||||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
1 |
Résumé de l'histoire |
Un résumé des informations de base sur l'histoire, y compris :
|
||||||||||||||||||||||||||||||||
|
2 |
Shows a timeline of the story, such as changes made to the story verdict and severity, and when new targets related to the story are identified |
|||||||||||||||||||||||||||||||||
|
3 |
Détails |
Informations clés pour analyser l'histoire, y compris une description de la menace, des signatures de menace Cato détectées dans le trafic pertinent, et des techniques MITRE ATT&CK® identifiées pour la menace. Pour plus d'informations sur le cadre MITRE ATT&CK®, consultez Travailler avec le tableau de bord MITRE ATT&CK®.
|
||||||||||||||||||||||||||||||||
|
4 |
Source |
Informations de base sur les dispositifs de votre réseau impactés par la menace |
||||||||||||||||||||||||||||||||
|
5 |
Géolocalisation de l'attaque |
Montre la géolocalisation pour les sources de votre réseau (emplacements oranges) et les sources externes (emplacements rouges) en relation avec la menace. Les flèches reliant les sources indiquent la direction du trafic |
||||||||||||||||||||||||||||||||
|
6 |
Distribution de l'attaque |
Distribution temporelle des flux liés à l'attaque.
|
||||||||||||||||||||||||||||||||
|
7 |
Cibles |
Montre des données pour les sources potentiellement malveillantes en dehors de votre site réseau relatives à l'histoire.
|
||||||||||||||||||||||||||||||||
|
8 |
Flux liés à l'attaque |
Montre des données pour un échantillon représentatif de flux de trafic liés à l'attaque.
|
Ce sont les widgets pour une histoire d'Anomalie d'Usage :
|
Élément |
Nom |
Description |
|---|---|---|
|
1 |
Résumé de l'Histoire |
Fournit un résumé des informations de base sur l'histoire, y compris :
|
|
2 |
Informations clés pour analyser l'histoire, y compris une description et un résumé de la menace, et les techniques MITRE ATT&CK® identifiées pour la menace. Pour plus d'informations sur le cadre MITRE ATT&CK®, voir Travailler avec le Tableau de Bord MITRE ATT&CK®.
|
|
|
3 |
Distribution d'Anomalies |
Graphique du comportement anormal des 14 derniers jours
|
|
4 |
Principaux Hôtes |
Principaux hôtes liés à l'anomalie, avec des détails pertinents. Par exemple, un hôte pour une anomalie de bande passante montante apparaît avec le nombre de téléchargements depuis l'hôte
|
|
5 |
Principales Applications |
Principales applications liées à l'anomalie, avec des détails pertinents. Par exemple, une application pour une anomalie de bande passante montante apparaît avec le nombre de téléchargements depuis l'application
|
|
6 |
Principaux Serveurs/Destinations |
Principaux serveurs et destinations liés à l'anomalie, avec des détails pertinents. Par exemple, un serveur pour une anomalie de bande passante montante apparaît avec le nombre de téléchargements vers le serveur
|
L'équipe MDR de Cato ouvre des tickets pour vous informer des histoires significatives. Lorsque vous recevez un ticket, vous pouvez facilement revoir l'histoire dans le Stories Workbench en cliquant sur le lien fourni dans le ticket. Ceci est un ticket d'échantillon :
0 commentaire
Vous devez vous connecter pour laisser un commentaire.