Dal rilevamento alle analisi di sicurezza con CrowdStrike LogScale e Mimecast
Grazie all’integrazione tra Mimecast e CrowdStrike LogScale, le organizzazioni ottengono funzionalità di ricerca e correlazione su tutti i tipi di log per rilevare e rispondere agli attacchi informatici. Le ricerche in tempo reale e i dashboard quasi in tempo reale riducono i tempi di rilevamento, mentre la ricerca ultraveloce consente ai team di risposta agli incidenti e di ricerca delle minacce di scoprire l’intera catena di attacco e individuare in modo proattivo attività potenzialmente dannose. Le prestazioni di ricerca ultraveloci di LogScale consentono ai responsabili della ricerca delle minacce di porre rapidamente qualsiasi domanda sui propri dati Mimecast, comprese ricerche di correlazione complesse su più fonti di dati.
Panoramica della soluzione
1. Le e-mail ricevute da Mimecast vengono sottoposte a una serie di tecniche di scansione di sicurezza, per garantire che siano sicure prima della consegna al destinatario.
2. Le informazioni sulle e-mail fornite da Mimecast vengono inviate a CrowdStrike LogScale per la normalizzazione e la correlazione.
3. CrowdStrike LogScale utilizza le informazioni sulle e-mail per avvisare gli analisti e aggiungere contesto ai dati provenienti da altre fonti di strumenti di sicurezza.
Casi d’uso di Mimecast e CrowdStrike Logscale:
- Phishing: viene inviata un’e-mail di phishing; l’utente clicca sul link e Mimecast identifica il link come dannoso, bloccando l’accesso dell’utente. Il SIEM acquisisce i dati di telemetria delle e-mail da Mimecast, inclusi i log degli URL. Il SIEM analizza il link di phishing alla ricerca di ulteriori IOC e identifica 10 e-mail corrispondenti. L’analista avvia il processo di correzione per rimuovere l’e-mail dannosa.
- Account compromessi: il SIEM attiva un avviso sulla base di un comportamento sospetto dell’utente. Il SIEM arricchisce gli indicatori provenienti dall’avviso in Mimecast e dalla sicurezza web, alla ricerca di eventi relativi agli URL. Gli eventi relativi agli URL dannosi vengono individuati in Mimecast e nella sicurezza web. L’analista reimposta le credenziali dell’utente.
- Movimento laterale: il portatile di un utente è connesso a una rete Wi-Fi aperta e viene infettato da malware che comunica con un server C&C. L’autore dell’attacco lo utilizza come punto d’appoggio per diffondere il malware tramite e-mail. Mimecast identifica il malware, blocca l’e-mail e la rimuove dalle caselle di posta degli utenti. Il SIEM correla gli eventi provenienti dagli agenti e l’attività e-mail per ricostruire una cronologia completa e le TTP dell’incidente. L’analista mette in quarantena il portatile e crea una regola di blocco nel firewall per l’indirizzo IP del server C&C.
Vantaggi principali
- L’architettura esclusiva di CrowdStrike Logscale consente ai clienti di registrare ogni evento per non tralasciare nulla.
- Ottieni il massimo dalle rilevazioni IOC di Mimecast effettuando ricerche su queste informazioni in altre fonti di log.
- Contenete gli attacchi in anticipo grazie a rilevamenti rapidi e a una risposta tempestiva alle tattiche di phishing e di compromissione delle e-mail aziendali.
- Fornisci ai cacciatori di minacce una ricerca incredibilmente veloce tra i log del vettore di attacco numero uno: l’e-mail.
- Consenti alle indagini di ricostruire l’intera catena di attacco fino alla compromissione iniziale dell’e-mail
