CrowdStrike Next Gen SIEM

Regroupez les données issues des terminaux et des domaines de messagerie

Compatible API 2.0 : intégrez

facilement les données de Mimecast Email Security dans la plateforme SIEM nouvelle génération CrowdStrike Falcon afin de bénéficier d’une visibilité complète sur les menaces, tous domaines confondus, sur l’ensemble de votre surface d’attaque. Consultez directement au sein de la plateforme CrowdStrike Falcon les données d’événements de Mimecast Email Security utilisées pour bloquer les logiciels malveillants, le spear-phishing et les attaques « zero-day », ainsi que des indicateurs de menaces supplémentaires provenant d’autres domaines, afin de réduire au minimum les changements de contexte entre plusieurs interfaces. Cela permet à votre équipe d’accélérer la détection et le triage, tout en améliorant la précision. 

Présentation de la solution

1. Les e-mails reçus par Mimecast sont soumis à une série de techniques d’analyse de sécurité afin de garantir leur sécurité avant leur remise au destinataire.

2. Les informations sur les e-mails fournies par Mimecast sont transmises à CrowdStrike Next Gen SIEM pour être normalisées.

3. CrowdStrike utilise ces informations pour alerter les analystes et enrichir de contexte les données provenant d’autres sources.

Cas d’utilisation de Mimecast + CrowdStrike :

• Hameçonnage

  Un e-mail de hameçonnage est envoyé ; l’utilisateur clique sur le lien, puis Mimecast identifie ce lien comme malveillant et bloque l’accès de l’utilisateur. Le SIEM ingère les données télémétriques des e-mails provenant de Mimecast, y compris les journaux d’URL. Le SIEM analyse le lien de hameçonnage à la recherche d’autres indicateurs de compromission (IOC) et identifie 10 e-mails correspondants. L’analyste lance un processus de remédiation pour supprimer l’e-mail malveillant.

• Comptes compromis

  Le SIEM déclenche une alerte sur la base d’un comportement utilisateur suspect. Le SIEM enrichit les indicateurs provenant de l’alerte de Mimecast et de la sécurité Web, en recherchant des événements liés aux URL. Des événements liés à des URL malveillantes sont détectés dans Mimecast et la sécurité Web. Les analystes réinitialisent les identifiants de l’utilisateur.

• Mouvement latéral

  L'ordinateur portable d'un utilisateur est connecté à un réseau Wi-Fi public et infecté par un logiciel malveillant qui communique avec un serveur de commande et de contrôle (C&C). L'attaquant s'en sert comme point d'ancrage pour propager le logiciel malveillant par e-mail. Mimecast identifie le logiciel malveillant, bloque l’e-mail et le supprime de la boîte de réception de l’utilisateur. Le SIEM établit des corrélations entre les événements provenant des agents et l’activité e-mail afin de reconstituer la chronologie complète et les TTP de l’incident. L’analyste met l’ordinateur portable en quarantaine et crée une règle de blocage dans le pare-feu pour l’adresse IP du serveur C&C.

Principaux avantages

1. Détection et alerte plus rapides des menaces inter-domaines : bénéficiez d’une visibilité unifiée sur les vecteurs de menaces liés aux e-mails et aux terminaux grâce aux indicateurs de menaces par e-mail de Mimecast, associés aux indicateurs provenant d’autres domaines au sein du SIEM Falcon Next-Gen. 
2. Détection des menaces ciblées par e-mail : tirez parti de la visibilité et des informations de Mimecast Email Security sur les menaces par e-mail, associées à vos données de sécurité CrowdStrike existantes, pour déterminer si un e-mail constitue une menace potentielle pour la sécurité.
3. Unifiez les enquêtes au sein d’une console unique : faites gagner un temps précieux à vos analystes lors de l’enquête et du triage des menaces potentielles en minimisant les changements de contexte et en accélérant la détection des menaces grâce à la console de commande unifiée et centrée sur les menaces de CrowdStrike.