Usar dados aprimorados no contexto no UDM Search

Para permitir os analistas de segurança durante uma investigação, o Chronicle ingere dados contextuais de diferentes fontes, normaliza os dados ingeridos e fornece mais contexto sobre os artefatos em um ambiente de cliente. Este documento fornece exemplos de como os analistas podem usar dados enriquecidos por contexto na Pesquisa do UDM.

Para saber mais sobre o aprimoramento de dados, consulte Como o Chronicle aprimora os dados de eventos e entidades.

O exemplo a seguir encontra um módulo de processo que carrega um arquivo kernel32.dll em um processo específico.

metadata.event_type = "PROCESS_MODULE_LOAD" AND
target.file.file_type = "FILE_TYPE_PE_EXE" AND
target.file.pe_file.imports.library = "kernel32.dll"

O Chronicle aprimora eventos que contêm endereços IP externo com dados de geolocalização. Isso oferece mais contexto durante uma investigação. Este documento explica como você pode usar campos aprimorados de geolocalização ao realizar pesquisas investigativas.

Os campos do UDM aprimorados por geolocalização podem ser acessados pela pesquisa do UDM, conforme mostrado nos exemplos a seguir.

Pesquisar por nome de país (country_or_region)

target.ip_geo_artifact.location.country_or_region = "Netherlands" OR
principal.ip_geo_artifact.location.country_or_region = "Netherlands"

Pesquisar por estado

target.ip_geo_artifact.location.state = "North Holland" OR
principal.ip_geo_artifact.location.state = "North Holland"

Pesquisar por longitude e latitude

principal.location.region_latitude = 52.520588 AND principal.location.region_longitude = 4.788474

Pesquisar por regiões geográficas de destino não autorizadas

metadata.event_type = "NETWORK_CONNECTION" AND
(
    target.ip_geo_artifact.location.country_or_region = "Cuba" OR
    target.ip_geo_artifact.location.country_or_region = "Iran" OR
    target.ip_geo_artifact.location.country_or_region = "North Korea" OR
    target.ip_geo_artifact.location.country_or_region = "Russia" OR
    target.ip_geo_artifact.location.country_or_region = "Syria"
)

Pesquisar por número de sistema autônomo (ASN)

metadata.event_type = "NETWORK_CONNECTION" AND
(
    target.ip_geo_artifact.network.asn = 33915
)

Por nome da organização

metadata.event_type = "NETWORK_CONNECTION" AND
(
    target.ip_geo_artifact.network.organization_name = "google"
)

Por nome da transportadora

metadata.event_type = "NETWORK_CONNECTION" AND
(
    target.ip_geo_artifact.network.carrier_name = "google llc"
)

Por domínio DNS

metadata.event_type = "NETWORK_CONNECTION" AND
(
    target.ip_geo_artifact.network.dns_domain = "lightower.net"
)

Ver campos aprimorados por geolocalização na grade do UDM

Os campos aprimorados por geolocalização são exibidos em visualizações de grade do UDM, incluindo os do UDM Search, Detection View, User View e Event Viewer.

Dados aprimorados por geolocalização no visualizador de eventos Visualizador de eventos do UDM

Conferir imagem em uma nova janela

A seguir

Para saber mais sobre como usar dados enriquecidos com outros recursos do Chronicle, consulte: