Анализ <span class="phrase">XOps</span> UEBA Статьи на использование и аномалии событий

Эта статья объясняет, как использовать XOps Рабочая область историй и страница детального просмотра истории для анализа XOps историй на аномальное поведение, обнаруженное механизмами Usage Anomaly и Events Anomaly.

Для получения дополнительной информации о использовании Рабочей области историй, см. Reviewing Detection & Response XOps Stories in the Stories Workbench.

Обзор

Сервис Cato XOps обнаруживает аномальные активности на основе анализа поведения пользователя и сущности (UEBA), что может указывать на угрозу безопасности. Механизмы Usage Anomaly и Events Anomaly мониторят и анализируют сетевой трафик для выявления необычного поведения, которое может быть признаком компрометированных учетных записей, внутренних угроз и продвинутых атак. Эти механизмы используют методы машинного обучения и статистического моделирования с обучением на сетевом трафике для создания моделей базового поведения для пользователей и сущностей в вашей учетной записи. На основе этих моделей механизмы могут выявлять разные типы аномалий.

Это краткие описания XOps UEBA аномальных механизмов и типов аномалий, которые они выявляют:

Usage Anomaly - Выявляет аномалии, связанные с необычным использованием в приложениях. Например, пользователь загружает больше данных в приложение, чем обычно
Events Anomaly - Обнаруживает аномалии, которые включают сущность в сети, вызывающую необычное количество событий безопасности. Например, сайт в сети вызывает значительно больше событий блокировки Интернет Межсетевым Экраном, чем обычно

Когда аномальные механизмы XOps UEBA создают историю, вы можете рассмотреть её в Рабочей области историй и углубиться для более детального анализа данных истории.

Необходимые условия

Истории Usage Anomaly и Events Anomaly доступны только для клиентов XOps и MDR. Для получения дополнительной информации о покупке XOps или подписке на сервис MDR свяжитесь с вашим представителем Cato.

Углубление и анализ истории аномалий UEBA

Вы можете щелкнуть на историю Usage Anomaly или Events Anomaly в Рабочей области историй, чтобы углубиться и исследовать детали на другой странице. На этой странице содержится несколько виджетов, которые помогают оценить потенциальную угрозу.

Отображение истории безопасности

Щелкните историю безопасности на странице Рабочая область историй, чтобы отобразить подробности по истории UEBA.

To view the Stories Workbench page:

From the navigation menu, click Home > Stories.
Select the Workbench tab.

Генерация сводок историй ИИ

Углубление в Рабочей области Историй включает инструмент, который позволяет вам создать описание истории на естественном языке, сгенерированное ИИ, что предоставляет богатый контекст и помогает быстро оценить историю. Сводка истории создается динамически, чтобы отображать текущее состояние истории. Если история обновляется с новой информацией, вы можете сгенерировать сводку заново, чтобы отразить изменения.

Генерация сводки истории ИИ производится только по требованию администратором

Защита конфиденциальных данных с помощью токенизации

Для обеспечения надежной безопасности данных во время передачи данных истории третьим лицам, Cato использует токенизацию, чтобы все конфиденциальные данные оставались в платформе Cato XOps. Это включает замену конфиденциальной информации уникальными идентификаторами, или "токенами", что делает данные бессмысленными для несанкционированных лиц. Конфиденциальные данные никогда не выставляются посторонним службам. Этот подход гарантирует конфиденциальность деталей истории, что соответствует нашему обязательству по высоким стандартам приватности и безопасности данных.

Заметка:
Из-за ограничений генеративного ИИ информация, представленная в сводках историй, может иногда содержать неточности.

Понимание виджетов аномалий UEBA

Это виджеты для истории Usage Anomaly или Events Anomaly:

Item	Название	Description
1	Резюме истории	Краткое описание основной информации о истории, включая: Название аномалии Указание на Обнаружение атаки Механизм Создатель (engine), который сгенерировал историю Аналитическая важность - Важность угрозы Вердикт аналитика для угрозы Тип атаки Детальная классификация угрозы, определенная аналитиком Статус историй
2	Хронология историй	Отображает временную линию истории, такие как изменения, внесенные в вердикт истории и её важность, а также когда обновляется статус
3	Детали	Основные детали о истории, включая Описание и резюме угрозы Нажмите Сгенерировать Сводку ИИ для создания описания истории на естественном языке, предоставляющего контекст и помогающего быстро оценить историю Первый сигнал - Время первого сигнала (поток трафика), связанного с аномалией Дата создания - Время, когда была сгенерирована история Последнее обновление - Время последнего обновления истории, например, новая цель или измененный вердикт Критичность - Общий балл риска для истории, рассчитываемый алгоритмом анализа риска на базе машинного обучения от Cato (значения от 1 (наименее критичное) до 10 (наиболее критичное)) Период обучения - Период обучения для модели машинного обучения для определения аномального поведения ID указания - Идентификатор для указания, используемого двигателями XOps. Вы можете использовать ID для поиска указания в Каталог указаний Теги MITRE - Техники MITRE ATT&CK®, идентифицированные для угрозы. Для получения дополнительной информации о фреймворке MITRE ATT&CK®, см. Использование панели управления MITRE ATT&CK®. Нажмите на технику MITRE ATT&CK® для прочтения ее описания на веб-сайте MITRE ATT&CK® Прогнозируемый вердикт и Предполагаемый тип на основе прогнозов машинного обучения для вероятного вердикта и потенциального типа вредоносного кода, который может быть идентифицирован. Алгоритмы машинного обучения анализируют окончательные вердикты подобных историй Подобные истории - Показывает истории с подобными целями. Подробности показанные для каждой истории, включают: тип угрозы истории, вердикт истории (если доступен), и уровень схожести, рассчитанный моделью машинного обучения (указан в процентах). Наведите курсор мыши на историю, чтобы показать более детальную классификацию угрозы
4	Распределение аномалии	График аномального поведения за последние 14 дней. Для историй Usage Anomaly график показывает данные для соответствующих приложений. Для историй Events Anomaly график показывает данные для соответствующих событий. Чтобы показать детали аномалии, наведите курсор мыши на график Чтобы подробнее исследовать разные приложения или события, обнаруженные в аномалии, нажмите кнопку включения приложения или события, чтобы включить или отключить его график. Щелкните Просмотреть все, чтобы открыть экран аналитики приложений, предварительно отфильтрованный по приложениям, связанным с аномалией
5	Источник	Основная информация об устройстве в вашей сети, связанная с аномалией
6	Лучшие приложения	Найдено лучших приложений, связанных с аномалией, с соответствующими подробностями. Например, приложение для аномалии восходящей пропускной способности появляется с общим объемом загрузки из приложения Щелкните Просмотреть все, чтобы открыть экран аналитики приложений, предварительно отфильтрованный по приложениям, связанным с аномалией
7	Лучшие серверы/назначения	Лучшие серверы и назначения, участвующие в аномалии, с соответствующими деталями. Например, сервер для аномалии восходящей пропускной способности появляется с общим объемом загрузки на сервер Щелкните Просмотреть все, чтобы открыть экран аналитики приложений и показать назначения, предварительно отфильтрованные по приложениям, связанным с аномалией
8	Лучшие хосты	Лучшие хосты, связанные с аномалией, с соответствующими деталями. Пример: Хост для аномалии восходящей пропускной способности появляется с количеством загрузок с хоста Хосты для аномалии в поведении пользователя показывают IP-адреса пользователя в подключениях, связанных с аномалией Щелкните Просмотреть все, чтобы открыть экран аналитики приложений и показать хосты, предварительно отфильтрованные по приложениям, связанным с аномалией
9	Цели	Показывает данные для потенциально вредоносных источников вне вашего сетевого участка, связанных с историей. Это описания столбцов целевой таблицы: Цель - Домены или IP-адреса внешних источников, обнаруженные в потоках трафика, связанных с историей Дата создания - Дата регистрации целевого домена Целевые ссылки - Ссылки для поиска цели в различных внешних источниках разведки угроз. Для дополнительной информации нажмите на иконку VirusTotal или выберите другие ресурсы из выпадающего меню. Зловредная оценка - Оценка зловредности цели по алгоритмам разведки угроз Cato. Оценки варьируются от 0 (безвредно) до 1 (вредоносно) Популярность - Как часто цель появляется во внутренних источниках данных Cato. Значения: Непопулярно, Низко, Средне, Высоко Категории - Категории Cato для целевого домена Ленты угроз - Количество источников разведки угроз Cato, которые обнаружили цель как вредоносную Движки - Количество сторонних систем безопасности, которые обнаружили цель как вредоносную Страна регистратора - Страна, где зарегистрирован целевой домен Попадания в Google Search - Количество результатов поиска Google для целевой цели
10	Лучшие соединения	Данные по лучшим соединениям, связанным с аномалией. Например, для аномалии Upstream Bandwidth пользователя SDP, соединения с наиболее используемой пропускной способностью загрузки. Это описания столбцов таблицы: Приложение - Приложение, обнаруженное в потоке трафика для соединения Источник IP - IP-адрес источника в вашей сети, отправляющий или получающий поток Назначение - IP-адрес или домен внешней цели, отправляющий или получающий поток Потоки - Количество потоков, связанных с соединением Скачивание - Использование пропускной способности для загрузки Загрузка - Использование пропускной способности для загрузки Использование - Общее использование пропускной способности

Предварительные условия для историй аномалий UEBA

Некоторые индикаторы, обнаруженные механизмом обнаружения аномалий, требуют настройки коннектора, определенной лицензии или обоих. Эта таблица перечисляет предварительные условия для этих индикаторов. Если индикатор не указан в таблице, дополнительных предварительных условий нет.

Указание	Необходимые условия
Аномалия неудачных попыток входа пользователя	Лицензия CASB и хотя бы один из этих коннекторов: Salesforce GitHub. Azure ID
Массовая загрузка (Аномалия событий загрузки пользователя)	Лицензия CASB
Массовая загрузка (Аномалия событий загрузки сайта)	Лицензия CASB
Массовая загрузка (Аномалия событий загрузки пользователя)	Лицензия CASB
Массовая загрузка (Аномалия событий загрузки сайта)	Лицензия CASB
Массовое удаление (Необычная активность удаления - пользователь)	Лицензия CASB
Массовое удаление (Необычная активность удаления - сайт)	Лицензия CASB
Массовое создание (Необычная активность создания файлов - пользователь)	Лицензия CASB
Первое использование устаревших или неавторизованных протоколов - сайт	Лицензия на предотвращение угроз
Первое использование устаревших или неавторизованных протоколов - пользователь	Лицензия на предотвращение угроз
Аномалия C&C трафика - пользователь	Лицензия на предотвращение угроз
Первичная загрузка в корзину S3C C&C трафика - сайт	Лицензия на предотвращение угроз
Первичная загрузка в корзину S3	Лицензия CASB и Антивирусная лицензия
Аномалия удаления почты	Лицензия CASB и эти коннекторы M365-Exchange Аудит активности Microsoft Exchange