Конфигурация параметров сервиса IOC Watcher

Mon, 01 Jan 0001 00:00:00 +0000

Для настройки параметров сервиса IOC Watcher на странице "IoC" выберите элемент "IOC Watcher". В форме редактирования параметров заполните периоды актуальности IOC и достоверности IOC для поиска в поступающем потоке событий.

Таблица 1. Параметры конфигурации IOC Watcher
Поле	Описание
IocWatcher URL	URL адрес расположения самого сервиса. Задается администратором при установке сервиса
Включить режим отладки	Изменение уровня логирования событий о работе сервиса: Управление источниками индикаторов компрометации (IOC) Mon, 01 Jan 0001 00:00:00 +0000 Формирование справочника IOC в базе данных может выполняться тремя способами: интеграция с MISP, загрузка индикаторов компрометации из различных источников, ручной ввод. Платформа позволяет собирать информацию об угрозах из множества различных типов источников. Аналитик настраивает подключение источников данных, вносит временные параметры, сохраняет настройку. Сервис начинает работу по загрузке данных. Для управления источниками данных выберите операцию "Источники IoC". В списке источников хранятся все данные о загруженных IoC, их статусе и порядке их обновления. Ручной ввод индикаторов компрометации Mon, 01 Jan 0001 00:00:00 +0000 Для добавления IOC вручную на странице "IoC" нажмите на кнопку "Добавить" и в открывшемся окне заполните поля формы: IoC - наименование IOC в зависимости от его типа (ip-адрес, доменное имя, url-адрес, hash, email); Тип – выбор типа IOC; Категория - дополнительная характеристика IOC, ключевые слова описания, например, malware, fishing и т.п.; Достоверность - значение достоверности IOC, т.е. вероятность, насколько можно доверять конкретному IOC; Источник - внешний (наименование Отчета об атаке, где указан список IOC), внутренний (IOC найден в системе в результате внутреннего расследования); Удалять автоматически - признак автоматического удаления IOC из БД через период времени, заданный в настройках сервиса IoC Watcher: Да/Нет; Описание - произвольная информация про IOC. Ретроспективный поиск Mon, 01 Jan 0001 00:00:00 +0000 В Платформе есть возможность выполнять ретроспективный поиск по отдельным индикаторам компрометации с целью выявления фактов заражения инфраструктуры в прошлом (например, за месяц). Для поиска событий, содержащих выбранный IOС, выполните следующие шаги: В списке IOC, добавленных вручную, выберите индикатор компрометации. Нажмите на кнопку ретроспективного поиска . На открывшейся странице в поисковой строке нажмите кнопку и выберите даты начала и окончания (предустановленный диапазон времени равен 4 часам от текущего времени). Нажмите кнопку "Поиск".

Управление источниками индикаторов компрометации и ручной ввод IOC on Alertix

Конфигурация параметров сервиса IOC Watcher

Управление источниками индикаторов компрометации (IOC)

Ручной ввод индикаторов компрометации

Ретроспективный поиск