Einleitung
In diesem Dokument wird der Prozess beschrieben, der verwendet werden muss, wenn Talos Coverage für eine bekannte Bedrohung angefordert wird, die bereits identifiziert wurde, aber derzeit von Secure Endpoint nicht erkannt wird.
Verschiedene Informationsquellen
Diese Bedrohungen können aus mehreren Quellen identifiziert und veröffentlicht werden. Hier einige der gebräuchlichen Plattformen:
- Veröffentlichte Cisco CVE
- Veröffentlichter CVE (Common Vulnerabilities and Exposures)
- Microsoft-Empfehlungen
- Bedrohungsinformationen von Drittanbietern
Cisco möchte sicherstellen, dass die Datenquellen legitim sind, bevor wir Talos dazu bringen, die Informationen zu überprüfen und die relevante Abdeckung zu identifizieren.
Um die Position von Cisco und die Abdeckung der fraglichen Bedrohungen zu überprüfen, müssen verschiedene Quellen von Cisco/Talos geprüft werden, bevor ein neuer Abdeckungsantrag gestellt werden kann.
Cisco Vulnerability Portal
Weitere Informationen zu CVEs von Cisco Produkten finden Sie in diesem Portal: https://sec.cloudapps.cisco.com/security/center/publicationListing.x
Talos-Portal
Das Talos Intelligence Portal muss der erste Bezugspunkt für eine Überprüfung sein, wenn diese Bedrohung untersucht wurde oder derzeit von Talos untersucht wird: https://talosintelligence.com/
Talos Blogs
Die Cisco Talos Blogs bieten auch Informationen zu den Bedrohungen, die von Talos ausgewertet und untersucht werden: https://blog.talosintelligence.com/
Die meisten relevanten Informationen finden wir unter "Vulnerability Information", die auch alle veröffentlichten "Microsoft Advisories" enthält.
Zusätzliche Untersuchung unter Verwendung von Cisco Produkten
Cisco bietet mehrere Produkte an, die dabei helfen können, die Bedrohungsvektoren/Hashes zu überprüfen und festzustellen, ob ein sicheres Endgerät die Bedrohung abdeckt.
Cisco SecureX Cisco Threat Response Investigation (CTR)
Wir können die Bedrohungsvektoren im Rahmen von CTR-Untersuchungen untersuchen. Weitere Informationen finden Sie hier: https://docs.securex.security.cisco.com/Threat-Response-Help/Content/investigate.html
Cisco XDR ermitteln
Cisco XDR bietet erweiterte Funktionen zur Untersuchung von Bedrohungsvektoren. Weitere Informationen zu diesen Funktionen finden Sie hier: https://docs.xdr.security.cisco.com/Content/Investigate/investigate.htm
Nützliche Cisco Blogs
Lesen Sie sich diese Blogs durch, um einige der im vorherigen Abschnitt behandelten Funktionen zu besprechen:
https://blogs.cisco.com/tag/relevant-and-extended-detection-with-securex
Nächste Schritte
Wenn wir die Bedrohungsvektoren nicht finden, die mit den obigen Schritten abgedeckt sind, können wir Talos-Abdeckung für die Bedrohung anfordern, indem wir eine TAC-Support-Anfrage einreichen.
https://www.cisco.com/c/en/us/support/index.html
Um die Evaluierung und Untersuchung für den Abdeckungsantrag zu beschleunigen, benötigen wir folgende Informationen zur Bedrohung:
- Quelle für Bedrohungsinformationen (CVE/Advisory/Third Party Investigation/Technotes/Blogs)
- Zugehörige SHA256-Hashes
- Beispiel der Datei (sofern verfügbar)
Sobald die Informationen verfügbar sind, bewertet Talos die Anfrage und prüft sie entsprechend.
Feedback