Wskaźniki
Threat intel w konsoli przechowuje wskaźniki: adresy IP, domeny, adresy URL i skróty plików (MD5, SHA-1, SHA-256), każdy z poziomem ważności, źródłem, zakresem organizacji i tagami. Dodasz je, wklejając listę (jeden wskaźnik w wierszu), albo zasubskrybujesz kanał za pomocą integracji Indicator feed w Settings › Integrations.
Dopasowywanie
- Na bieżąco. Nowe zdarzenia są porównywane z aktywnymi wskaźnikami zaraz po przyjęciu. Reguła typu indicator match zamienia trafienie w alert.
- Przeszukiwanie wsteczne. Po dodaniu nowego wskaźnika przeszukiwane są też wcześniejsze zdarzenia w okresie retencji. Wskaźnik opublikowany dziś trafi na logi z zeszłego tygodnia.
Wzbogacanie
W playbookach XenXDR może sprawdzać reputację encji z alertu: VirusTotal dla skrótów plików, AbuseIPDB dla adresów IP oraz Spur, który wskazuje, czy adres IP jest wyjściem VPN, proxy lub Tor, proxy rezydencyjnym albo adresem centrum danych. Sprawdzane są tylko publiczne adresy IP. Graf zdarzeń również zawiera odnośniki do tych usług. Wzbogacanie jest wyłączone, dopóki nie dodasz integracji VirusTotal, AbuseIPDB lub Spur z kluczem API lub tokenem w Settings › Integrations. Wartości wysyłane do tych usług mogą w niektórych przypadkach być danymi osobowymi, dlatego wymieniamy je na stronie podprocesorów.
Współpraca z regułami
Dopasowania wskaźników podlegają wyciszeniom i wyjątkom tak jak każda inna detekcja. Wskaźnik może mieć datę wygaśnięcia, aby nieaktualna lista przestała generować alerty.