#تجربه جدید
استفاده از فید های GrayNoise با اسپلانک
بعنوان یک فعالیت جدید تمرکزم رو روی شناخت GrayNoise بعنوان منبع هوش تهدید گذاشته ام . براتون از تجربه ام مینویسم
منبع GreyNoise Intelligence یک پلتفرم تحلیل «نویز اینترنتی» (Internet Background Noise) است که با استقرار هزاران حسگر غیرفعال در سراسر جهان، داده‌های مربوط به رفتار اسکن و شناسایی سرویس‌ها را جمع‌آوری و طبقه‌بندی می‌کند. ویژگی منحصربه‌فرد آن، تمرکز بر تحلیل رفتاری IPها به‌جای صرفاً ارائه‌ی Reputation یا امضای تهدید است. GreyNoise می‌تواند تشخیص دهد آیا یک IP در حال انجام فعالیت عادی (مانند اسکن خودکار موتورهای جست‌وجوی امنیتی) است یا درگیر رفتار مشکوک و هماهنگ برای شناسایی آسیب‌پذیری‌ها.
و اما بررسی من :
در اسپلانک استفاده از GreyNoise ارزش بالایی در کاهش هشدارهای کاذب و اولویت‌بندی رویدادها دارد. یکی از راهکارهای عملی، ایجاد یک Lookup Job روزانه برای Noise IP Filtering هست ؛ به این معنا که Splunk به‌صورت خودکار لیست IPهای شناسایی‌شده به‌عنوان “benign scanner” در GreyNoise را فراخوانی کرده و در فرایند تحلیل آلارم‌ها، آن‌ها را از فهرست هشدارهای واقعی حذف می‌کند. این اقدام باعث کاهش میانگین زمان تجزیه‌وتحلیل (MTTA) و تمرکز تحلیل‌گران بر تهدیدهای واقعی می‌شود.
همچنین در چارچوب Splunk SOAR ، افزودن مرحله‌ی “Check with GreyNoise” در Playbookهای خودکار بسیار مؤثر است. با این گام، قبل از ارجاع حادثه به لایه ۲، سامانه به‌صورت خودکار اعتبار IP مظنون را از GreyNoise استعلام می‌گیرد؛ چنانچه IP در دسته‌ی نویز شناخته‌شده باشد، Incident به‌صورت خودکار کاهش یا بسته می‌شود و اگر رفتار آن جدید یا ناشناخته باشد، هشدار به سطح بالاتر منتقل می‌گردد. این مدل باعث ارتقای بازده کل SOC، کاهش حجم کار لایه ۲ و افزایش دقت تصمیم‌های پاسخ‌گویی می‌شود
#نشر_دانش
#انتقال_تجربه
مرکز راهبری SOC شرکت هامون
با مجوز افتا
Www.haumoun.com
ثبت نام دوره های سطح ۱ و ۲
واتس اپ 09902857290
با امکان اشتغال
استفاده از فید های GrayNoise با اسپلانک
بعنوان یک فعالیت جدید تمرکزم رو روی شناخت GrayNoise بعنوان منبع هوش تهدید گذاشته ام . براتون از تجربه ام مینویسم
منبع GreyNoise Intelligence یک پلتفرم تحلیل «نویز اینترنتی» (Internet Background Noise) است که با استقرار هزاران حسگر غیرفعال در سراسر جهان، داده‌های مربوط به رفتار اسکن و شناسایی سرویس‌ها را جمع‌آوری و طبقه‌بندی می‌کند. ویژگی منحصربه‌فرد آن، تمرکز بر تحلیل رفتاری IPها به‌جای صرفاً ارائه‌ی Reputation یا امضای تهدید است. GreyNoise می‌تواند تشخیص دهد آیا یک IP در حال انجام فعالیت عادی (مانند اسکن خودکار موتورهای جست‌وجوی امنیتی) است یا درگیر رفتار مشکوک و هماهنگ برای شناسایی آسیب‌پذیری‌ها.
و اما بررسی من :
در اسپلانک استفاده از GreyNoise ارزش بالایی در کاهش هشدارهای کاذب و اولویت‌بندی رویدادها دارد. یکی از راهکارهای عملی، ایجاد یک Lookup Job روزانه برای Noise IP Filtering هست ؛ به این معنا که Splunk به‌صورت خودکار لیست IPهای شناسایی‌شده به‌عنوان “benign scanner” در GreyNoise را فراخوانی کرده و در فرایند تحلیل آلارم‌ها، آن‌ها را از فهرست هشدارهای واقعی حذف می‌کند. این اقدام باعث کاهش میانگین زمان تجزیه‌وتحلیل (MTTA) و تمرکز تحلیل‌گران بر تهدیدهای واقعی می‌شود.
همچنین در چارچوب Splunk SOAR ، افزودن مرحله‌ی “Check with GreyNoise” در Playbookهای خودکار بسیار مؤثر است. با این گام، قبل از ارجاع حادثه به لایه ۲، سامانه به‌صورت خودکار اعتبار IP مظنون را از GreyNoise استعلام می‌گیرد؛ چنانچه IP در دسته‌ی نویز شناخته‌شده باشد، Incident به‌صورت خودکار کاهش یا بسته می‌شود و اگر رفتار آن جدید یا ناشناخته باشد، هشدار به سطح بالاتر منتقل می‌گردد. این مدل باعث ارتقای بازده کل SOC، کاهش حجم کار لایه ۲ و افزایش دقت تصمیم‌های پاسخ‌گویی می‌شود
#نشر_دانش
#انتقال_تجربه
مرکز راهبری SOC شرکت هامون
با مجوز افتا
Www.haumoun.com
ثبت نام دوره های سطح ۱ و ۲
واتس اپ 09902857290
با امکان اشتغال
Comments
Be the first to add a comment
Log in to comment