De la detección a la información de seguridad con CrowdStrike LogScale y Mimecast
Al integrar Mimecast y CrowdStrike LogScale, las organizaciones obtienen capacidades de búsqueda y correlación en todos los tipos de registros para detectar y responder a los ciberataques. Las búsquedas en tiempo real y los paneles de control casi en tiempo real reducen los tiempos de detección, y la búsqueda ultrarrápida permite a los equipos de respuesta a incidentes y de búsqueda de amenazas desentrañar toda la cadena de ataque e identificar de forma proactiva actividades potencialmente maliciosas. El rendimiento ultrarrápido de la búsqueda de LogScale permite a los especialistas en búsqueda de amenazas plantear rápidamente cualquier pregunta sobre sus datos de Mimecast, incluidas búsquedas de correlación complejas que abarcan múltiples fuentes de datos.
Descripción general de la solución
1. Los correos electrónicos recibidos por Mimecast se someten a una serie de técnicas de análisis de seguridad para garantizar que sean seguros antes de su entrega al destinatario.
2. La inteligencia de correo electrónico proporcionada por Mimecast se envía a CrowdStrike LogScale para su normalización y correlación.
3. CrowdStrike LogScale utiliza la inteligencia de correo electrónico para alertar a los analistas y aportar contexto a los datos procedentes de otras fuentes de herramientas de seguridad.
Casos de uso de Mimecast y CrowdStrike Logscale:
- Phishing: se envía un correo electrónico de phishing; el usuario hace clic en el enlace y, a continuación, Mimecast identifica el enlace como malicioso y bloquea el acceso del usuario. El SIEM recopila la telemetría de correo electrónico de Mimecast, incluidos los registros de URL. El SIEM analiza el enlace de phishing en busca de indicadores de compromiso (IOC) adicionales e identifica 10 correos electrónicos coincidentes. El analista ejecuta un proceso de corrección para eliminar el correo electrónico malicioso.
- Cuentas comprometidas: El SIEM activa una alerta basada en un comportamiento sospechoso del usuario. El SIEM enriquece los indicadores de la alerta con información de Mimecast y de la seguridad web, buscando eventos de URL. Se detectan eventos relacionados con URL maliciosas en Mimecast y en la seguridad web. El analista restablece las credenciales del usuario.
- Movimiento lateral: El portátil de un usuario se conecta a una red Wi-Fi abierta y se infecta con malware que se comunica con un servidor C&C. El atacante lo utiliza como punto de apoyo para propagar el malware a través del correo electrónico. Mimecast identifica el malware, bloquea el correo electrónico y lo elimina de las bandejas de entrada de los usuarios. El SIEM correlaciona los eventos de los agentes y la actividad de correo electrónico para recopilar una cronología completa y las TTP del incidente. El analista pone el ordenador portátil en cuarentena y crea una regla de denegación en el cortafuegos para la dirección IP del servidor C&C.
Ventajas clave
- La arquitectura única de CrowdStrike Logscale permite a los clientes registrar todo para no pasar nada por alto.
- Saca más partido a las detecciones de IOC de Mimecast buscándolas en otras fuentes de registros.
- Contenga los ataques antes gracias a la detección rápida y la respuesta a las tácticas de phishing y de suplantación de correo electrónico empresarial.
- Dote a los cazadores de amenazas de una búsqueda ultrarrápida en los registros del vector de ataque número uno: el correo electrónico.
- Facilita las investigaciones para desentrañar toda la cadena de ataque hasta llegar al correo electrónico inicial comprometido.
