锐客网

  1. 首页 > 睿知 > >

arcsight事件关联分析

经验分享睿知

Sigmarepo包含一个转换器，它允许通用规则的转换，如弹性搜索，Windows防御(WDA TP)和ArcSight 。要实现这些功能，常规的监控软件Cacti和Zabbix是做不到的，SPARK在事件 log扫描中使用适马规则 ， 适马是日志文件中用于威胁检测的规则格式 。

1、服务器监控软件有哪些(监控平台服务器是什么东西一个好的安全运维平台需要关联事件与IT流程 。一旦监控系统发现性能超标或发生停机，就会触发相关的事件和预先定义的流程，自动启动故障响应和恢复机制 。还需要能够筛选出运维人员完成日常重复性工作，提高运维效率 。要实现这些功能，常规的监控软件Cacti和Zabbix是做不到的 。同时还要求能够在故障发生前预测网络蠕虫的威胁并报警 ， 以便运维人员将故障消灭在萌芽状态，将损失降到最低 。

2、如何建立主动企业安全突发 事件响应方案突发信息安全事件已经成为生活的事实 。我们通过新闻 ， 甚至我们自己组织里发生的事情，见证了它的存在 。攻击者渗透网络，窃取企业机密信息和客户数据 。为了保证为下一次突发事件做好准备，企业有必要建立一套主动的突发事件响应方法 。应急预案可以帮助企业在应对突发事件时保持可控和有效的反应 。与其期待一个理想化的方案来帮助企业彻底避免突发事件事件，不如面对现实，时刻做好准备，积极应对安全突发事件事件 。
【arcsight事件关联分析】
建立应急事件响应计划和团队为了建立一个经管理层批准的有组织的计划 ， 安全应急事件响应团队应具有安全应急事件响应计划 。管理层必须支持这个团队，制定正式的组织结构和职能，签署并公布它们 。公告必须宣布应急事件响应计划的任务、范围和目标 。除了处理突发事件的技术人员事件 ， 应急响应团队还应该得到IT、法务、人力资源等部门在运维管理方面的支持 。

3、SPARK在 事件日志扫描中使用Sigma规则适马是日志文件中用于威胁检测的规则格式 。对于日志数据，“Snort规则”适用于网络流量，“YARA签名”适用于文件数据 。很容易写和读 。编写适马规则只需要几分钟 。在右边，您可以看到一个简单的六适马规则，检查“系统”事件 log的线索，以及密码转储活动 。检测部分包含1 个标识符(选择、关键字、quarkspwdump)，可以由规则作者自由定义 。
它还包含描述、参考、可能的误报和评级 。分析人们使用适马为他们的SIEM或日志管理解决方案生成搜索查询，Sigmarepo包含一个转换器，它允许通用规则的转换 ， 如弹性搜索、splunk、qradar、logpoint、Windows Defender (WDA TP)和ArcSight 。将于7月底发布的SPARK1.14版本1.14正是这么做的 。

    推荐阅读


    上一篇：iptool分析

    下一篇：微信分析包失败的原因是什么原因是什么原因