corelight/phantom-playbooksدفاتر تشغيل آلية للاستجابة للحوادث الأمنية لمنصة Splunk Phantom، تدمج سجلات Zeek وتحليل DNS واستخبارات التهديدات من VirusTotal للتحقيق في التنبيهات وتقليل النتائج الإيجابية الخاطئة.
هذا هو مستودع Corelight لدفاتر اللعب المجتمعية (Community Playbooks) المطوّرة لـ Splunk Phantom. توفر هذه بعض الأمثلة لمساعدتك في صياغة دفاتر اللعب الخاصة بك.
يأخذ دفتر اللعب هذا بحثًا محفوظًا أو آلية تنبيه لـ DNS من Splunk ويسحب Zeek UID للتنبيه (التنبيهات). ثم يستخدم منطقًا لتحديد النتائج الإيجابية الكاذبة من نتائج إجابات DNS. بعد ذلك، يأخذ المنطق عنوان DNS (IPv4/IPv6) ويبحث في سجلات Conn عن مجموعات IP مطابقة. تُستخدم الخدمات بعد ذلك للبحث عن حركة مرور HTTP أو SSL، ويتم سحب البيانات الوصفية المثيرة للاهتمام. إذا تم رصد ملفات أثناء هذه الاتصالات، يُستخدم SHA1 للملف للبحث عنه في VirusTotal. إذا تم تثبيت Corelight v19+ مع Suricata، فسيتم استخدام UID لتجميع جميع تنبيهات Suricata لتدفق معين. التغييرات والتحسينات على دفتر اللعب هذا مستمرة.
يُرجى الرجوع إلى الوثائق الخاصة بـ Splunk Phantom للحصول على جميع خيارات تثبيت Phantom، بما في ذلك:
يُرجى استخدام وظيفة الاستيراد في Splunk Phantom لرفع دفاتر اللعب بصيغة .tgz.
تم إنشاء دفاتر اللعب هذه بواسطة المجتمع لتسريع زمن استجابة المحللين وربما تقليل النتائج الإيجابية الكاذبة. الأمان يجب أن يكون جهدًا جماعيًا! لأي أسئلة، يرجى التواصل مع [email protected] بدلاً من فتح Issues هنا. نأمل أن تساعدك هذه في البدء.
