Caccia alle minacce

Panoramica

Seqrite Universal Agent monitora costantemente tutte le attività sul tuo computer e genera eventi in EDR. Questi eventi vengono valutati in base alle regole definite in EDR. Se un evento corrisponde a una regola, viene generato un avviso. Gli eventi che non corrispondono ad alcuna regola non vengono ignorati, ma vengono memorizzati in Threat Hunting per ulteriori analisi.

Threat Hunting consente il rilevamento e il monitoraggio di eventi non ancora documentati in Seqrite o incluso nel generatore di regole. Questa funzionalità aiuta a monitorare attività dannose nuove o sconosciute che emergono nel mondo informatico.

Gli avvisi generati da eventi non corrispondenti vengono visualizzati nella scheda Avvisi.

Gli eventi non elaborati vengono memorizzati nella scheda Processi.

Indipendentemente dalla creazione di regole o dalla generazione di avvisi, gli utenti possono individuare in modo proattivo le minacce utilizzando questa funzionalità.

Interfaccia di ricerca delle minacce

La schermata Threat Hunting offre due opzioni di ricerca:

• Ricerca manuale
• Ricerca basata su file

Conservazione Dei Dati

• Eventi segnalati: conservati per 30 giorni
• Eventi grezzi: conservati per 7 giorni

Ricerca manuale

La scheda Ricerca manuale consente di cercare eventi utilizzando filtri e parametri.

• Utilizzare la barra di ricerca con Visualizzare and ospite filtri.
• Aggiungi parametri, seleziona il periodo di visualizzazione e scegli un host dal menu a discesa.
• I risultati della ricerca vengono visualizzati sotto Avvisi and Processi schede.

Azione

• Esporta risultati: utilizza i pulsanti "Pianifica esportazione" o "Esporta" per scaricare i risultati della ricerca.

• Visualizza i dettagli dell'evento:

  • Seleziona un evento non elaborato per aprirne i dettagli nel pannello di destra.
  • Clicchi Vedi dettagli per accedere timeline .
  • La sequenza temporale mostra una struttura ad albero della cronologia di generazione dell'evento.
  • Applica filtri nella barra di ricerca per evidenziare informazioni specifiche.

Questo dettaglioled La visualizzazione aiuta a determinare se un evento è dannoso e supporta un'analisi più approfondita.

Ricerca basata su file

La scheda Ricerca basata su file consente di effettuare ricerche in blocco utilizzando un file CSV.

1. Scarica il modello CSV di esempio.

2. Aggiungere i dettagli desiderati sotto le seguenti intestazioni:

   • Indirizzo IP
   • URL
   • Domini
   • Valori hash

3. Carica il file CSV per effettuare la ricerca.
4. I file caricati vengono elencati nella schermata Ricerca basata su file e possono essere utilizzati per eseguire ricerche.

Creazione di una query

Per creare una query, segui questi passaggi:

1. Sulla Seqrite EDR portale, fai clic sulla pagina Threat Hunting nel riquadro di navigazione a sinistra. La scheda Threat Hunting è evidenziata con un quadrato giallo. Puoi effettuare una ricerca diretta utilizzando i parametri di ricerca appropriati o creare una nuova query utilizzando il generatore di query.
2. Fai clic sul pulsante Aggiungi + per aggiungere i valori del filtro. Viene visualizzata la finestra di dialogo Filtri.
3. Nella casella di testo Cerca, fai clic e seleziona uno dei filtri visualizzati.
4. Inserisci il valore del filtro che vuoi usare nella query di ricerca. Ad esempio, Nome. Il filtro è selezionato e visualizzato nella casella Cerca, inserisci un valore per l'indicatore. Ad esempio, aggiungeremo Nome: Powershell.exe
5. Fai clic su Aggiungi+ per aggiungere l'IOC selezionato e il valore di ricerca. Il valore viene selezionato e visualizzato sotto Filtri selezionati.
6. Fai clic nella casella Cerca e ripeti i passaggi precedenti per aggiungere altri valori IOC per la query di ricerca. Ad esempio, e indirizzo IP IP:”202.145.202.114”.
7. Aggiungere altro IOC se necessario. Per rimuovere un filtro particolare, fare clic sul segno x corrispondente per quel valore.
8. Fai clic su Applica per applicare i criteri di ricerca.
9. Una volta aggiunti i filtri e i relativi valori, fai clic su Salva query. La query verrà salvata con data e ora e spostata nella scheda Query salvate.
10. Inserisci un nome per la query nella colonna Nome query (evidenziata nel riquadro giallo). Ad esempio, Powershell+IP, e fai clic su Salva. Verrà visualizzato un messaggio di conferma e la query verrà salvata.

Utilizzo della query salvata per creare una nuova query

1. Sulla Seqrite EDR Nel portale, nel riquadro di navigazione a sinistra, fai clic sulla pagina Ricerca minacce. Fai clic su Aggiungi+. Viene visualizzata la finestra di dialogo Filtro.
2. Fai clic sulla scheda Query salvate. Le query salvate vengono visualizzate in ordine cronologico di creazione.
3. Scorri verso il basso l'elenco delle query, oppure usa le icone di ordinamento accanto alle colonne Time Stamp e Query Name per ordinare le voci come richiesto. Seleziona la query che desideri cliccando sulla query. I tag della query vengono visualizzati nella sezione Query tags per la query selezionata.
4. Per aggiungere i filtri della query selezionata a una nuova query, fai clic su Aggiungi filtri. La query verrà spostata nella scheda Aggiungi filtro e verranno visualizzati due pulsanti aggiuntivi: Aggiorna query e Salva query.
5. Per aggiornare la query, aggiungi/rimuovi i filtri secondo necessità e fai clic su Aggiorna query.
6. Per salvare una nuova query, fai clic su Salva query. Facendo clic su Salva query, la query verrà spostata nella scheda Query salvate.
7. Inserisci un nome per la query nella colonna Nome query e fai clic su Salva. Verrà visualizzato un messaggio di conferma e la query verrà salvata.

Eliminazione della query salvata

È possibile eliminare le query salvate se non sono necessarie.

1. Sulla Seqrite EDR portale, fare clic sulla pagina Threat Hunting nel riquadro di navigazione a sinistra.
2. Fare clic su Aggiungi +.
3. Nella finestra di dialogo Filtro, fare clic su Query salvateVengono elencate le query salvate.

Esecuzione di una query

È possibile creare una nuova query con gli indicatori richiesti e applicare la query per ottenere risultati oppure è possibile utilizzare query salvate in precedenza per cercare minacce nell' Seqrite EDR Banca dati.

1. Sulla Seqrite EDR portale, fare clic sulla pagina Threat Hunting nel riquadro di navigazione a sinistra.
2. Fai clic su Aggiungi+. Viene visualizzata la finestra di dialogo del filtro delle query.
3. Crea una nuova query oppure fai clic sulla scheda Query salvate per visualizzare le query salvate e seleziona quella che desideri eseguire. In questo esempio, facciamo clic sulla scheda Query salvate e selezioniamo la prima query nell'elenco.
4. Fai clic su Aggiungi filtri per aggiungere o modificare i filtri nella query selezionata.

Come risultato dell'azione precedente, vengono visualizzati alcuni filtri indicatori. Aggiungere o rimuovere i filtri indicatori come richiesto.

5. Fai clic su Applica per eseguire la query finale. I risultati vengono visualizzati in due schede: Avvisi e Processi. La scheda Avvisi mostra gli avvisi che corrispondono alla query, mentre la scheda Processi mostra in modo analogo i processi corrispondenti.
6. Esecuzione di una query salvata
7. Per ottenere maggiori informazioni su un avviso, fai clic sulla riga dell'avviso.
8. Per visualizzare i dettagli del processo per quell'host, fai clic sulla scheda Processi nell'angolo in alto a sinistra. Vengono visualizzati solo i dettagli dei processi che corrispondono alla query.
9. Per avviare l'indagine relativa a un processo, fare clic sul processo specifico.

la cronologia di ricerca

La scheda Cronologia ricerche mostra tutte le query di ricerca eseguite di recente. Puoi usare una query dalle query recenti o dalle query applicate.

1. Sulla Seqrite EDR portale, clicca sul Caccia alle minacce pagina nel riquadro di navigazione a sinistra.
2. Clicchi Aggiungi +.
3. Nella finestra di dialogo Filtro, fare clic su la cronologia di ricercaVengono elencate le query eseguite di recente.
4. Seleziona la query che vuoi applicare. Modifica la query se necessario.
5. Clicchi APPLICALa query viene applicata e vengono visualizzati i risultati della ricerca.

Note::
C'è un elenco fisso di parametri per cui puoi fare threat hunting. Se tali parametri sono presenti come attributi chiave per uno qualsiasi degli incidenti o degli avvisi, puoi fare threat hunting dalla pagina di quell'incidente o dalla pagina dell'avviso rispettivamente.