本剧本描述了如何使用XDR 发现事件工作台来调查使用钓鱼网站的攻击事件。
在事件中使用详细信息小部件收集潜在威胁的基本信息。 查看事件的描述和其他数据，以决定是否需要进一步调查。 另外，类似事件部分展示了其他具有相似指示器和可观察指标的事件。
点击生成 AI 摘要获取提供丰富背景的自然语言事件描述，帮助您快速评估事件。
使用来源小部件查看此攻击影响的设备数据。
您还可以使用指示目录获取更多信息（如指示 ID），并根据查询集中进行调查。
要正确调查潜在的钓鱼攻击，首先要确定攻击检测的阶段。 Cato的安全性服务在以下不同阶段检测钓鱼攻击：
-
阻止访问 - Cato识别浏览目的地为钓鱼站并阻止访问。
-
阻止凭证提交 - 当用户访问钓鱼站且该站点在浏览器中呈现时，Cato可以阻止用户输入凭证。
-
后妥协检测 - 可疑活动监控 (SAM) 服务可以识别用户在风险站点提交凭证的情况，并创建事件提醒管理员可能的泄露。
使用目标操作部件查看与事件相关的事件并找到信息以确定钓鱼尝试被检测到的阶段以及是否被阻止。 威胁名称字段可以指示攻击被检测的时间点。
这是一个显示IPS在钓鱼站点凭证提交被阻止的事件示例：
确定潜在攻击检测阶段后，按照下述调查步骤进行检测。
本节描述了验证被阻止的网站是否为钓鱼网站的一种方法。 本部分调查主要集中在目标上。
目标部分让您检查已识别的目标，以了解其潜在意图和目标的恶意可能性：
-
评估Cato的恶意评分
-
检查Cato的普及度
-
考虑相关的Cato类别
-
查看与目标链接的威胁情报源数量
对钓鱼攻击特别重要的一个指示器是域的创建时间。 如果日期较新，则站点更有可能是恶意的。
使用目标链接搜索外部来源
到现在，此事件中的活动应该有了一个牢固的把握，目标链接帮助您在可信来源进行历史背景和恶意行为迹象的外部搜索。 将此数据相关联，以识别与其他实体的连接和可能的已知威胁行为者、活动或技术的链接。
本节描述了验证是否存在向钓鱼网站提交凭证尝试的方法。 本部分调查主要集中在检测到的目标和URL上。
目标部分让您检查已识别的目标，以了解其潜在意图和目标的恶意可能性：
-
评估Cato的恶意评分
-
检查Cato的普及度
-
考虑相关的Cato类别
-
查看与目标链接的威胁情报源数量
对钓鱼攻击特别重要的一个指示器是域的创建时间。 如果日期较新，则站点更有可能是恶意的。
使用目标链接搜索外部来源
到现在，此事件中的活动应该有了一个牢固的把握，目标链接帮助您在可信来源进行历史背景和恶意行为迹象的外部搜索。 将此数据相关联，以识别与其他实体的连接和可能的已知威胁行为者、活动或技术的链接。
识别推荐人
在钓鱼攻击中，最先沟通的目标往往不是恶意站点本身，而是推荐站点，即包含恶意站点链接的网站。 推荐站点出现在攻击相关流量部分的推荐人列。
使用域查找检查推荐人
识别推荐人后，您可以使用域查找研究该域。 低普及度和高恶意评分表明恶意域。
使用攻击相关流量部分检查与事件相关的未处理数据流。
分析这些流的附加数据点，包括URL、用户代理、文件名和其他相关属性，并将它们与上一步的调查结果进行比较，以揭示潜在关系。
当调查URL时，重要的是检查它是否包含任何敏感数据（注意，在许多情况下URL是编码的，需解码以访问其包含的所有数据）。 我们还建议检查外部工具的相似URL模式，以获得对检测流量的进一步洞察。
注意：在进行调查时，我们建议不要访问可疑的钓鱼相关网站。
本节描述了验证是否存在向钓鱼网站提交凭证的方法。 本部分调查主要集中在检测到的目标和推荐人（一个包含恶意站点链接的网站）。
目标部分让您检查已识别的目标，以了解其潜在意图和目标的恶意可能性：
-
评估Cato的恶意评分
-
检查Cato的普及度
-
考虑相关的Cato类别
-
查看与目标链接的威胁情报源数量
对钓鱼攻击特别重要的一个指示器是域的创建时间。 如果日期较新，则站点更有可能是恶意的。
使用目标链接搜索外部来源
到现在，此事件中的活动应该有了一个牢固的把握，目标链接帮助您在可信来源进行历史背景和恶意行为迹象的外部搜索。 将此数据相关联，以识别与其他实体的连接和可能的已知威胁行为者、活动或技术的链接。
识别推荐人
在钓鱼攻击中，最先沟通的目标往往不是恶意站点本身，而是推荐站点，即包含恶意站点链接的网站。 推荐站点出现在攻击相关流量部分的推荐人列。
使用域查找检查推荐人
识别引用者后，您可以使用域名查询来研究该域名。 低受欢迎程度和高恶意得分表明该域名具有恶意。
使用攻击相关流量部分来检查与事件相关的未处理数据流。
分析这些流量中的补充数据点，包括URL、用户代理、文件名和其他相关属性，并将其与上一步调查的发现进行比较，以揭示潜在的相关性。
调查URL时，检查是否包含任何敏感数据是很重要的（注意，在许多情况下，URL是编码的，需要解码以访问其包含的所有数据）。 我们还建议检查外部工具以获取类似的URL模式，以深入了解检测到的流量。
注意：进行调查时，建议您不要访问可疑的网络钓鱼相关网站。
-
如果敏感数据泄露，请更改相关服务的密码，并考虑启动所有服务的强制注销。
-
确保没有下载和执行恶意文件。
-
与受害者核实攻击是否为鱼叉式网络钓鱼尝试，并是否专门针对他们（使用私人名称、私人信息等）。
如果不是，请确保没有其他员工成为同一网络钓鱼活动的受害者。
-
如果网络钓鱼尝试的来源是基于电子邮件并已被用户知晓，则使用您的组织电子邮件平台报告并阻止源地址以减轻攻击。
-
如果网络钓鱼尝试的来源未知，执行完整的终端防护扫描（如防病毒、EPP、EDR等），并从感染的设备中移除任何未知程序和浏览器扩展。
-
如果检测到的流量未被阻止，请创建Internet Firewall规则来阻止目标。
0 条评论
请登录写评论。