Entwickelt von Trellix
Durch die Integration von Mimecast in Trellix ESM können Unternehmen gemeldete Phishing-Versuche innerhalb weniger Minuten analysieren und untersuchen – und Angriffe abwehren, bevor böswillige Akteure im Netzwerk Fuß fassen können. Sicherheitsteams können Zeit sparen, indem sie den Onboarding-Prozess beschleunigen, mithilfe eines intuitiven Dashboards die Erkennungszeit von Cyberangriffen verkürzen und durch vollständige Transparenz in die Kill Chain proaktiv reagieren.
1. E-Mails, die bei Mimecast eingehen, durchlaufen eine Reihe von Hygiene-Scans, um sicherzustellen, dass sie sicher sind, bevor sie an den Empfänger zugestellt werden.
2. Die von Mimecast bereitgestellten E-Mail-Informationen werden zur Normalisierung an Trellix gesendet.
3. Trellix nutzt die E-Mail-Informationen, um Analysten zu benachrichtigen und Daten aus anderen Quellen mit Kontext anzureichern.
Eine Phishing-E-Mail wird versendet; der Benutzer klickt auf den Link, woraufhin Mimecast den Link als bösartig identifiziert und den Zugriff des Benutzers blockiert. Das SIEM-System erfasst E-Mail-Telemetriedaten von Mimecast, einschließlich URL-Protokollen. Das SIEM-System analysiert den Phishing-Link auf weitere IOCs und identifiziert 10 übereinstimmende E-Mails. Ein Analyst führt einen Bereinigungsprozess durch, um die bösartige E-Mail zu entfernen.
Das SIEM löst aufgrund verdächtigen Nutzerverhaltens eine Warnmeldung aus. Das SIEM ergänzt die Indikatoren aus der Warnmeldung durch Informationen aus Mimecast und der Web-Sicherheit und sucht dabei nach URL-Ereignissen. Ereignisse im Zusammenhang mit bösartigen URLs werden in Mimecast und der Web-Sicherheit gefunden. Analysten setzen die Anmeldedaten des Nutzers zurück.
Der Laptop eines Benutzers ist mit einem offenen WLAN verbunden und mit Malware infiziert, die eine Verbindung zu einem C&C-Server herstellt. Der Angreifer nutzt ihn als Einfallstor, um Malware per E-Mail zu verbreiten. Mimecast identifiziert die Malware, blockiert die E-Mail und entfernt sie aus den Posteingängen der Benutzer. SIEM korreliert Ereignisse von Agenten und E-Mail-Aktivitäten, um einen vollständigen Zeitverlauf und die TTPs des Vorfalls zu erfassen. Der Analyst stellt den Laptop unter Quarantäne und erstellt eine Firewall-Blockiere-Regel für die IP-Adresse des C&C-Servers.
Informieren Sie sich über die Voraussetzungen, die API und die Konfigurationen für Mimecast-Integrationen.
