IPS(침입 방지 시스템)로 의심스러운 활동 모니터링 (SAM)

Cato 보안 연구 팀은 의심스러워 보이는 비정상적인 행동 패턴에 대한 특정 시그니처를 만듭니다． SAM 서비스는 이러한 시그니처와 일치하는 트래픽을 감지하고, SOC 팀이 위협을 추적하고 조사할 수 있는 이벤트 및 데이터를 생성합니다． SAM 이벤트는 악성 IPS 이벤트와 합법적일 수 있는 비정상 트래픽을 구분하기 위해 의심스러운 활동 하위 유형으로 라벨링됩니다．

SAM은 계정의 모든 WAN, 인바운드 및 아웃바운드 트래픽을 모니터링하며, IPS 보호 범위 설정은 SAM에 영향을 주지 않습니다．

다음은 SAM 이벤트를 생성하는 시나리오의 예입니다：

SAM 기능은 이벤트를 높음, 중간, 낮음의 서로 다른 위험 수준으로 분류합니다． Cato는 여러 요인의 분석을 기반으로 위험 수준을 계산합니다． 예를 들어：

위험 수준은 트래픽을 평가하고, 공격의 일부일 가능성이 가장 높은 이벤트에 대한 분석에 집중하는 데 도움을 줍니다． 또한, 고위험 SAM 이벤트는 자동으로 XDR 스토리를 생성하며, 이는 XDR 발견 사건에서 조사할 수 있습니다．

위협 대시보드 페이지를 통해 네트워크에서 의심스러운 활동을 분석할 수 있습니다． IPS 섹션에서 위젯을 설정하여 의심스러운 활동을 표시하고 대시보드를 필터링하여 특정 SAM 위협 유형 및 관련 호스트 및 사용자의 데이터를 표시할 수 있습니다． 이벤트 페이지에서 SAM 이벤트를 볼 수 있으며, 이는 위협 유형, 호스트 및 사용자로 사전 필터링됩니다．

For more about how to filter the dashboard and view events from the Threats Dashboard widgets, see Using the Security Threats Dashboard.

MITRE ATT&CK® 대시보드는 MITRE ATT&CK® 프레임워크의 전술 및 기술을 사용하여 의심스러운 활동을 분석하는 데 도움을 줍니다． 대시보드를 IPS 모니터 이벤트, 포함하는 SAM 이벤트의 데이터를 표시하도록 설정할 수 있습니다． For more about using the MITRE ATT&CK® Dashboard, see Working with the MITRE ATT&CK® Dashboard.

특정 트래픽에 대한 이벤트 로그를 중단하려는 경우, IPS 허용 목록 페이지에서 해당 트래픽을 허용 목록에 추가할 수 있습니다． 의심스러운 활동 트래픽을 허용 목록에 추가하려면, 모니터링을 중지할 트래픽의 시그니처 ID를 사용하여 IPS 허용 목록 규칙을 생성하십시오． 이벤트 페이지에서 이벤트의 시그니처 ID를 클릭하여 의심스러운 트래픽을 허용 목록에 추가할 수도 있습니다． For more information, see Allowlisting IPS Signatures.

홈 > 이벤트에서 보안 이벤트를 검토하고 SAM에 의해 감지된 이상 행위 및 잠재적 위협을 찾을 수 있습니다． 이러한 이벤트는 의심스러운 활동 하위 유형으로 라벨이 부여되어 IPS 하위 유형으로 생성된 높은 위험도 이벤트와 구별할 수 있습니다．

관련 이벤트를 표시하려면 프리셋 없음 드롭다운 메뉴에서 의심스러운 활동 프리셋 필터를 선택하십시오. 기본적으로, 이 프리셋을 선택하면 페이지는 고위험 SAM 이벤트를 표시하도록 필터링됩니다. 모든 SAM 이벤트를 보려면 위험 수준: 높음 필터를 제거하십시오.

The Suspicious Activity Sub-Type is limited to 2,500,000 events per hour. See Cato Cloud Thresholds and Limits.

다음은 고위험 SAM 이벤트의 예시 분석입니다：