Von der Erkennung bis hin zu Sicherheitserkenntnissen mit CrowdStrike LogScale und Mimecast
Durch die Integration von Mimecast und CrowdStrike LogScale erhalten Unternehmen Such- und Korrelationsfunktionen für alle Protokolltypen, um Cyberangriffe zu erkennen und darauf zu reagieren. Live-Suchen und Dashboards in nahezu Echtzeit verkürzen die Erkennungszeiten, und die blitzschnelle Suche ermöglicht es Incident-Response- und Threat-Hunting-Teams, die gesamte Kill-Chain aufzudecken und potenziell böswillige Aktivitäten proaktiv zu identifizieren. Die blitzschnelle Suchleistung von LogScale ermöglicht es Threat-Hunters, ihre Mimecast-Daten schnell zu analysieren, einschließlich komplexer Korrelationssuchen über mehrere Datenquellen hinweg.
Lösungsübersicht
1. Von Mimecast empfangene E-Mails durchlaufen eine Reihe von Hygiene-Scans, um sicherzustellen, dass sie sicher sind, bevor sie an den Empfänger zugestellt werden.
2. Die von Mimecast bereitgestellten E-Mail-Informationen werden zur Normalisierung und Korrelation an CrowdStrike LogScale gesendet.
3. CrowdStrike LogScale nutzt die E-Mail-Informationen, um Analysten zu benachrichtigen und Daten aus anderen Sicherheits-Tool-Quellen mit Kontext anzureichern.
Anwendungsfälle für Mimecast und CrowdStrike Logscale:
- Phishing: Eine Phishing-E-Mail wird versendet, der Benutzer klickt auf den Link, woraufhin Mimecast den Link als bösartig identifiziert und den Zugriff des Benutzers blockiert. Das SIEM-System nimmt E-Mail-Telemetriedaten von Mimecast einschließlich URL-Protokollen auf. Das SIEM-System analysiert den Phishing-Link auf weitere IOCs und identifiziert 10 übereinstimmende E-Mails. Ein Analyst führt einen Bereinigungsprozess durch, um die bösartige E-Mail zu entfernen.
- Kompromittierte Konten: Das SIEM löst aufgrund verdächtigen Nutzerverhaltens eine Warnmeldung aus. Das SIEM ergänzt die Indikatoren aus der Warnmeldung durch Informationen aus Mimecast und der Web-Sicherheit und sucht dabei nach URL-Ereignissen. Ereignisse im Zusammenhang mit bösartigen URLs werden in Mimecast und der Web-Sicherheit gefunden. Der Analyst setzt die Anmeldedaten des Nutzers zurück.
- Laterale Bewegung: Der Laptop eines Benutzers ist mit einem offenen WLAN verbunden und mit Malware infiziert, die eine Verbindung zu einem C&C-Server herstellt. Der Angreifer nutzt ihn als Einfallstor, um Malware per E-Mail zu verbreiten. Mimecast identifiziert die Malware, blockiert die E-Mail und entfernt sie aus den Posteingängen der Benutzer. SIEM korreliert Ereignisse von Agenten und E-Mail-Aktivitäten, um einen vollständigen Zeitverlauf und die TTPs des Vorfalls zu erfassen. Der Analyst stellt den Laptop unter Quarantäne und erstellt eine Firewall-Blockiere-Regel für die IP-Adresse des C&C-Servers.
Wichtige Vorteile
- Die einzigartige Architektur von CrowdStrike Logscale ermöglicht es Kunden, alles zu protokollieren, um nichts zu übersehen.
- Schöpfen Sie mehr Nutzen aus den IOC-Erkennungen von Mimecast, indem Sie diese in anderen Protokollquellen suchen.
- Eindämmen Sie Angriffe früher durch schnelle Erkennung und Reaktion auf Phishing- und Business-E-Mail-Compromise-Taktiken.
- Unterstützen Sie Threat Hunter mit blitzschnellen Suchvorgängen in den Protokollen des wichtigsten Angriffsvektors: E-Mail.
- Ermöglichen Sie Untersuchungen, um die gesamte Kill-Chain bis zurück zum ursprünglichen E-Mail-Kompromittierung zu aufdecken
