THREATS - Threat Briefings

メソッドの説明

ネットワーク環境にリスクをもたらす可能性がある新たに出現する脅威に関連するセキュリティ侵害インジケータ(IPアドレス、ドメイン、Webページ、JA3フィンガープリントまたはサービスなどのIoC)との通信を検知するためのメソッドです。IoCは、Progress Flowmonによって管理されている脅威ブリーフィングの一部として配布されます。

メソッド設定でIgnoreUnreachableパラメータを設定すると、悪意のあるデバイスからのリクエストに対するICMPタイプ3 (宛先に到達不能)応答が無視されます。IgnoreUnsuccExtパラメータ(またはIgnoreUnsuccInt)がyesに設定されている場合、悪意のあるデバイス(または内部デバイス)によって開始された失敗した通信試行は報告されません。特定のポートでの通信を無視することもできます。これはIgnorePortsパラメータを使用して設定できます。

この検知メソッドのサブメソッドは固定されておらず、脅威ブリーフィングの新しい更新に伴い、時間の経過と共に変化する可能性があります。各脅威ブリーフィングは別々のサブメソッドを表しています。

メソッド設定

このメソッドは、IPアドレスに関係なく、ネットワーク全体にわたってすべてのネットワークトラフィックに対してアクティブ化することをお勧めします。トラフィックの適切な監視場所はインターネット接続回線です。脅威ブリーフィングを更新するには、デバイス(プローブ/コレクタ)からservices.flowmon.comサーバのポート443 (HTTPS、標準のセキュアなWebトラフィック)への通信をブロックしないようにする必要があります。

メソッドパラメータ

• IgnoreUnreachable: ICMPタイプ3レスポンス(宛先に到達不能)を無視します。

• IgnoreUnsuccExt: 外部の悪意のあるデバイスによって開始された失敗した通信試行を無視します。

• IgnoreUnsuccInt: 内部デバイスによって開始された失敗した通信試行を無視します。

• IgnorePorts: 検知時に無視されるポートのリスト。

フィルタの割り当て

送信元IPアドレスまたは宛先IPアドレスがフィルタの割り当てに一致するフローのみが処理されます。

結果の解釈

このメソッドは、Progress Flowmonが提供する脅威ブリーフィングを使用します。このメソッドで生成されたイベントは、デバイスが侵害されたか、悪意あるアクティビティに参加していることを示唆している可能性があります。どちらであるかは、脅威ブリーフィングのカテゴリによって異なります。組織IPアドレスの一部がイベント発生源である場合、ボットネットの一部となっているか、何らかの形態のマルウェアに感染している可能性があります。