Inhalt

Einleitung

Überblick

Zugriff auf die Cisco Cloud Security App

Komponenten der Cisco Cloud Security-Anwendung

Cloud - Überblick

Umbrella

untersuchen

CloudLock

Registerkarte "Durchsetzung"

Einleitung

In diesem Dokument wird beschrieben, wie die Cisco Cloud Security-Anwendung für IBM QRadar verwaltet wird.

Überblick

QRadar von IBM ist ein beliebtes SIEM für die Protokollanalyse. Es bietet eine leistungsstarke Schnittstelle für die Analyse großer Datenmengen, wie z. B. die von Cisco Umbrella bereitgestellten Protokolle für den DNS-Datenverkehr Ihres Unternehmens. Die in der Cisco Cloud Security-App für IBM QRadar angezeigten Informationen werden über die APIs von Cisco Umbrella, CloudLock, Investigate und Enforcement bereitgestellt.

Wenn Sie die Cisco Cloud Security-App für QRadar einrichten, werden alle Daten der Cisco Cloud Security-Plattform integriert, und Sie können die Daten in grafischer Form in der QRadar-Konsole anzeigen. Mithilfe der Anwendung können Analysten:

- Untersuchen von Domänen, IP-Adressen, E-Mail-Adressen

- Sperren und Aufheben der Blockierung von Domänen (Durchsetzung)

- Informationen zu allen Vorfällen im Netzwerk anzeigen.

In diesem Artikel wird die Navigation in der Cisco Cloud Security App erläutert. Anweisungen zum Einrichten der Anwendung finden Sie hier: Konfigurieren der Cisco Cloud Security App für IBM QRadar

Zugriff auf die Cisco Cloud Security App

Rufen Sie die Startseite der Cisco Cloud Security-App in IBM QRadar auf, und klicken Sie auf die Registerkarte Cisco Cloud Security. Die Registerkarte Cloud Overview (Cloud-Überblick) und das Dashboard werden angezeigt. Sie können dann auf die Registerkarten Umbrella, Investigate, CloudLock und Enforcement zugreifen, um Ihre Protokolle anzuzeigen.

Die Cloud Security App ist so eingestellt, dass standardmäßig die Daten der letzten 7 Tage angezeigt werden. Sie können den Zeitrahmen ändern, indem Sie auf den Datumsbereich oben rechts klicken:

360072030052

Komponenten der Cisco Cloud Security-Anwendung

Cloud - Überblick

Auf der Registerkarte "Cloud-Überblick" werden Informationen wie Alle Anforderungen, Alle blockierten, Blockierte Sicherheit, Wahrscheinliche DGAs, Verdächtige Sicherheitsrang, Cloudlock-Vorfälle, CloudLock insgesamt, Top-Richtlinien und Top-Straftäter in einer diagrammbasierten visuellen Darstellung angezeigt.

360072257631

360072257611

Umbrella

Die Registerkarte "Umbrella" zeigt Informationen wie Ereignisse nach Aktion, Häufigste gesperrte Kategorien, Anzahl der Ereignisse nach Identität, gesperrte Domänen, nicht mehr gesperrte Domänen, kompromittierte Benutzer, Warnmeldungen zu eingeschränkten Inhalten, kompromittierte Geräte, Häufigste Domänen, Häufigste gesperrte Domänen, Häufigste gesperrte Identitäten, Aufschlüsselungen schädlicher Inhaltskategorien, Häufigste Kategorien, Aktivität und Benutzerzugriffstrend in einer grafischen Darstellung an.

360072263411

360072263391

360072037372

360072263331

360072263351

untersuchen

Auf der Registerkarte Investigate (Untersuchung) kann der Benutzer nach Informationen suchen, die sich auf Hostname, URL, ASN, IP, Hash oder E-Mail-Adresse beziehen. Es hat auch Informationen wie WHOIS-Datensatz, DGA-Informationen und so weiter.

360072263511

360072037472

360072037452

CloudLock

Über die Registerkarte CloudLock können Benutzer Informationen zu allen erkannten Vorfällen anzeigen. Benutzer können auch den Schweregrad und den Status des Vorfalls aktualisieren, indem sie die Werte aus dem Dropdown-Menü auswählen und auf "Aktualisieren" klicken.

360072268311

Benutzer können jedes Ereignis zeitlich genau überwachen, um weitere Details zu dem Vorfall anzuzeigen.

360072042332

Registerkarte "Durchsetzung"

Auf der Registerkarte "Durchsetzung" werden Informationen darüber angezeigt, welche Domänen gesperrt sind. Benutzer können blockierte Domänen auswählen und die Blockierung dieser Domänen über diese Schnittstelle aufheben.

360072038472