Trellix ESM

Approfondimenti sulla sicurezza per un rilevamento proattivo

Integrando Mimecast con Trellix ESM, le organizzazioni possono analizzare e indagare sui tentativi di phishing segnalati in pochi minuti, bloccando gli attacchi prima che gli autori malintenzionati possano prendere piede nella rete. I team di sicurezza possono risparmiare tempo accelerando il processo di onboarding, sfruttando una dashboard intuitiva per ridurre i tempi di rilevamento degli attacchi informatici e ottenendo piena visibilità sulla kill chain per una risposta proattiva.

Panoramica della soluzione

1. Le e-mail ricevute da Mimecast vengono sottoposte a una serie di tecniche di scansione di sicurezza, per garantire che siano sicure prima della consegna al destinatario.

2. Le informazioni sulle e-mail fornite da Mimecast vengono inviate a Trellix per la normalizzazione.

3. Trellix utilizza le informazioni sulle e-mail per avvisare gli analisti e aggiungere contesto ai dati provenienti da altre fonti.

Casi d’uso di Mimecast + Trellix:

• Phishing

  Viene inviata un'e-mail di phishing; l'utente fa clic sul link, ma Mimecast lo identifica come dannoso e blocca l'accesso dell'utente. Il SIEM acquisisce i dati di telemetria delle e-mail da Mimecast, inclusi i log degli URL. Il SIEM analizza il link di phishing alla ricerca di ulteriori IOC e identifica 10 e-mail corrispondenti. L'analista avvia il processo di correzione per rimuovere l'e-mail dannosa.

• Account compromessi

  Il SIEM attiva un avviso sulla base di un comportamento sospetto dell’utente. Il SIEM arricchisce gli indicatori provenienti dall’avviso in Mimecast e dalla sicurezza web, alla ricerca di eventi relativi agli URL. Vengono individuati eventi relativi a URL dannosi in Mimecast e nella sicurezza web. Gli analisti reimpostano le credenziali dell’utente.

• Movimento laterale

  Il portatile di un utente è connesso a una rete Wi-Fi aperta e infettato da malware che comunica con un server C&C. L’autore dell’attacco lo utilizza come punto d’appoggio per diffondere il malware tramite e-mail. Mimecast identifica il malware, blocca l’e-mail e la rimuove dalle caselle di posta degli utenti. Il SIEM correla gli eventi provenienti dagli agenti e l’attività e-mail per ricostruire una cronologia completa e le TTP dell’incidente. L’analista mette in quarantena il portatile e crea una regola di blocco nel firewall per l’indirizzo IP del server C&C.

Vantaggi principali

1. Migliore visibilità: acquisizione di visibilità sulle minacce che hanno origine dalle e-mail.
2. Miglioramento delle informazioni: correlare gli attacchi veicolati tramite e-mail con gli eventi osservati in altri sistemi di sicurezza e sfruttare le analisi avanzate di McAfee ESM per individuare e classificare le minacce in base alla priorità. 
3. Anticipare gli attacchi: utilizzare i dati sull’attività e-mail per individuare anomalie che potrebbero costituire un indicatore anticipatore di un attacco.