التعمق وتحليل قصص أمان XOps

ملخص القصة

تُظهر النظرة العامة ملخصًا للمعلومات الأساسية حول القصة، بما في ذلك:

• إشارة للهجوم المكتشف

• حالة القصة

• المنتج XOps الذي أنشأ القصة

• الأهمية - التأثير المحتمل لقضية المحرك XOps

• تسميات القصة - الوسم الذي عينته Cato للقصة للمساعدة في تصنيفها وتصفيةها

• تفاصيل القصة

  • عدد الإشارات (تدفقات الزيارات) المرتبطة بالهجوم

  • مدة القصة منذ إنشائها

• مراجعة المحلل

  • الحكم على التهديد كما تم تحديده من قبل المحلل

  • حدة التهديد كما تم تحديدها من قبل المحلل

  • نوع الهجوم (مثلاً، ملحق متصفح، تطبيق أصلي، ماسح ضوئي، تطبيق ويب)

  • تصنيف التهديد كما تم تحديده من قبل المحلل (مثل، فحص المنافذ، المجال المسجل حديثاً، فحص SMB)

  • التخفيف - الإجراءات المتخذة للحد من أو تحييد التهديد

استخدم القائمة المنسدلة الإجراءات واختر إدارة القصة لتغيير إعدادات القصة مثل قرار المحلل، درجة المحلل، الحالة والتصنيف.

تُوفر علامة التبويب القصص ذات الصلة سياقًا للقصة التي تقوم بالتحقيق فيها من خلال السماح لك سريعًا بمراجعة القصص التي لها نفس المصدر والقصص التي لها خصائص مماثلة تتضمن مصادر مختلفة على شبكتك.

خط زمني للقصة

يعرض الجدول الزمني للقصة، مثل التغييرات التي تم إجراؤها على حكم القصة وحدتها، ومتى تم تحديد أهداف جديدة تتعلق بالقصة

تفاصيل

المعلومات الرئيسية لتحليل القصة، بما في ذلك وصف التهديد، والتقنيات المحددة لـ MITRE ATT&CK® للتهديد.

• انقر فوق توليد ملخص AI للحصول على وصف القصة بلغة طبيعية يوفر سياقًا غنيًا ويساعدك على تقييم القصة بسرعة

تشمل التفاصيل الأخرى:

• الحتمية - النتيجة العامة للمخاطر للقصة كما تم حسابها من خلال خوارزمية تحليل المخاطر الخاصة بـ Cato (القيم تتراوح من 1 - 10)

  يقوم نموذج التعلم الآلي، المعروف باسم الغابة العشوائية، بحساب الحتمية عن طريق تحليل عوامل محددة من استخبارات التهديد (TI) والبيانات الناتجة عن تدفقات الشبكة والأحداث.

  الغابة العشوائية هي نوع من نماذج التعلم الآلي التي تجمع بين نتائج العديد من "أشجار القرار" الصغيرة لتحسين الدقة والموثوقية. إنه مفيد بشكل خاص في تقييم البيانات المعقدة متعددة العوامل مثل التهديدات الأمنية.

  لتقييم الحتمية، يأخذ النموذج في الاعتبار عوامل مهمة مثل:

  • نوع نظام التشغيل

  • شعبية النطاق ضمن Cato

  • تصنيف العميل

  • نوع محرك الأمن الذي ينشئ الأحداث (إذا كان ذا صلة)

  • الإجراءات المتخذة (قف، راقب، إلخ)

  • تقنيات MITRE

  • موقع IP

  • بيانات Whois

  بإجمالي، يُقيّم النموذج أكثر من 40 عاملاً لضمان تقييم شاملاً ودقيقًا لحتمية القصة.

• الحكم المتوقع والنوع المتوقع بناءً على توقعات التعلم الآلي للحكم المحتمل ونوع البرمجيات الخبيثة المحتمل تحديده. تحلل خوارزميات التعلم الآلي الأحكام النهائية للقصص المشابهة

للمزيد حول إطار عمل ATT&CK® لـ MITRE، انظر استخدام لوحة معلومات ATT&CK® لـ MITRE.

• انقر على تقنية ATT&CK® لـ MITRE لقراءة وصفها على موقع MITRE ATT&CK®

الكيانات

الكيانات التي حدثت فيها القصص. قد تكون هذه الكيانات مستخدمين، مواقع، مخازن بيانات، تطبيقات، إلخ.

التنبيهات/الحوادث/

الاكتشافات

يعرض تفاصيل للتنبيهات المتعلقة بالقصة.

• قم بتوسيع التنبيه لعرض شجرة العملية الزمنية للأدلة المتعلقة بالتنبيه، بما في ذلك العمليات، الملفات، وقيم التسجيل

• انقر على عنصر في شجرة العمليات للمتابعة بشكل أعمق وعرض بيانات قياسية حول الدليل

هذه هي الأعمدة في الجدول:

• وصف للنشاط المشبوه

• الأهمية - درجة المخاطرة الإجمالية للتنبيه كما تم حسابها بواسطة خوارزمية تحليل المخاطر للتعلم الآلي في Cato (القيم من 1 - 10)

• تقنيات MITRE - تقنيات MITRE ATT&CK® المحددة للتهديد

  للمزيد حول إطار عمل ATT&CK® لـ MITRE، انظر استخدام لوحة معلومات ATT&CK® لـ MITRE.

• الحالة - يظهر ما إذا كان التنبيه جديداً أو تم حله بالفعل

• تاريخ أول نشاط - تاريخ النشاط المشبوه الأول الذي تم اكتشافه للتنبيه

• تاريخ آخر نشاط - تاريخ النشاط المشبوه الأخير الذي تم اكتشافه للتنبيه

• اسم التهديد - اسم البرمجيات الخبيثة المكتشفة. على سبيل المثال: Trojan:Win32/Startpage

• الوصف والإجراءات الموصى بها - انقر على عرض للحصول على وصف موجز للتنبيه وخطوات موصى بها للتحقيق والتخفيف من التهديد

• الهدف - عنوان URL المطلوب في التنبيه

• عنوان IP الوجهة - عنوان IP البعيد المتورط في القصة

أدلة

يجمّع تفاصيل لكل العمليات والملفات وقيم التسجيل المحددة في الأدلة للقصص المختلفة للتنبيهات.

بعض الأعمدة في جدول الأدلة مشتركة بين جميع أنواع الأدلة، وبعضها خاص لكل نوع.

هذه هي الأعمدة التي تظهر لكل أنواع الأدلة:

• الحكم - الحكم الذي أنشأته "Defender" للقطعة من الأدلة (ضار، مشبوه، أو لا تهديدات وجدت)

• حالة العلاج - يوضح ما إذا تم معالجة التهديد

• تم الإنشاء - تاريخ ووقت تسجيل الحدث

هذه هي الأعمدة المحددة لنوع كل دليل:

• العمليات:

  • اسم العملية - اسم الملف القابل للتنفيذ للعملية

  • معرف العملية - رقم الهوية المعين من Windows للعملية

  • سطر أوامر العملية - الوسيطات التي تم تمريرها للعملية في Windows. يمكن أن يكشف هذا عن سياق مهم حول تنفيذ عملية مشبوهة

  • مسار الملف - موقع الملف القابل للتنفيذ للعملية على جهاز نقطة النهاية

• ملفات:

  • مسار الملف - موقع الملف على جهاز النقطة النهائية

  • اسم الملف - اسم الملف بما في ذلك الامتداد

  • حجم الملف - حجم الملف بالبايت أو الكيلوبايت أو الميجابايت

• التسجيل:

  • مفتاح التسجيل الاسم

  • نوع قيمة السجل - تنسيق البيانات المخزنة في قيمة التسجيل

  • قيمة السجل - قيمة الإدخال في السجل

موقع جغرافي للهجوم

يعرض الموقع الجغرافي للمصادر داخل شبكتك (المواقع البرتقالية) والمصادر الخارجية (المواقع الحمراء) المتعلقة بالتهديد. تشير الأسهم التي تربط المصادر إلى اتجاه الحركة

إجراءات الهدف

الأحداث المتعلقة بكل هدف، بما في ذلك المعلومات التالية:

توزيع الهجوم

توزيع الوقت للتدفقات المتعلقة بالهجوم.

• لتسهيل قراءة الرسوم البيانية، في الأهداف، انقر على هدف لإخفاء تلك البيانات من الرسم البياني

• لعرض تفاصيل الهجوم، قم بتمرير الماوس فوق الرسم البياني

الأهداف

يعرض البيانات للمصادر المحتملة الخبيثة خارج موقع شبكتك المتعلقة بالقصة.

تدفقات مرتبطة بالهجوم

يعرض بيانات لعينة تمثيلية من الأحداث المتعلقة بالهجوم.

أحداث تسجيل الدخول

(يتطلب هذا الواجهة توصيل معرف Microsoft Entra)

الرسوم البيانية حسب تفصيل البيانات من أحداث تسجيل الدخول للمستخدم من يوم التنبيه بالإضافة إلى اليومين السابقين. استخدم القائمة المنسدلة لاختيار نوع البيانات المعروضة على الرسوم البيانية. هذه هي الخيارات:

• IP المصدر - عنوان IP للمصدر المكتشف في حدث تسجيل الدخول

• موقع تسجيل الدخول - الموقع الجغرافي الذي تم منه إجراء تسجيل الدخول

• تصنيف العميل - نوع العميل المستخدم لتسجيل الدخول (على سبيل المثال، اسم المتصفح وإصداره)

• وكيل المستخدم - وكيل المستخدم المستخدم في تسجيل الدخول كما يظهر في حقل وكيل المستخدم في رأس HTTP للمرور. هذه أمثلة لقيم وكيل المستخدم:

  • Chrome/90.0.4430.212

  • Safari/537.36

  • Mozilla/5.0 (Windows NT 10.0; Win64; x64)

• نوع نظام التشغيل - نوع نظام التشغيل على الجهاز المستخدم لتسجيل الدخول (على سبيل المثال، Windows، macOS)

• إصدار نظام التشغيل - رقم الإصدار لنظام التشغيل على الجهاز المستخدم لتسجيل الدخول

أحداث تسجيل الدخول على المستخدم

(يتطلب هذا الواجهة توصيل معرف Microsoft Entra)

يُظهر البيانات من أحداث تسجيل الدخول الخاصة بالمستخدم من يوم التنبيه واليومين السابقين.

هذه هي الأعمدة في الجدول:

• الوقت لحدث تسجيل الدخول

• اسم المستخدم لتسجيل الدخول

• IP المصدر - عنوان IP للمصدر المكتشف في حدث تسجيل الدخول

• موقع تسجيل الدخول - الموقع الجغرافي الذي تم منه إجراء تسجيل الدخول

• الإجراء - نتيجة محاولة تسجيل الدخول (القيم: فشل، نجح، تم رفض الوصول)

• سبب الفشل - تفسير لنتائج تسجيل الدخول عندما تكون فشلت أو تم رفض الوصول

• التطبيق - التطبيق الذي حاول المستخدم تسجيل الدخول إليه

• تصنيف العميل - نوع العميل المستخدم لتسجيل الدخول (على سبيل المثال، اسم المتصفح وإصداره)

• نوع نظام التشغيل - نوع نظام التشغيل على الجهاز المستخدم لتسجيل الدخول (على سبيل المثال، Windows، macOS)

• إصدار نظام التشغيل - رقم الإصدار لنظام التشغيل على الجهاز المستخدم لتسجيل الدخول

• وكيل المستخدم - وكيل المستخدم المستخدم في تسجيل الدخول كما يظهر في حقل وكيل المستخدم في رأس HTTP للمرور. هذه أمثلة لقيم وكيل المستخدم:

  • Chrome/90.0.4430.212

  • Safari/537.36

  • Mozilla/5.0 (Windows NT 10.0; Win64; x64)