목차

소개

개요

Cisco Cloud Security 앱 액세스

Cisco Cloud Security App 구성 요소

클라우드 개요

Umbrella

조사

클라우드잠금

Enforcement(적용) 탭

소개

이 문서에서는 IBM QRadar용 Cisco Cloud Security 앱을 관리하는 방법에 대해 설명합니다.

개요

IBM의 QRadar는 로그 분석을 위해 널리 사용되는 SIEM입니다. Cisco Umbrella는 조직의 DNS 트래픽을 위해 Cisco Umbrella에서 제공하는 로그와 같은 대량의 데이터를 분석할 수 있는 강력한 인터페이스를 제공합니다. IBM QRadar용 Cisco Cloud Security 앱에 표시되는 정보는 Cisco Umbrella, CloudLock, Investigate, Enforcement의 API를 통해 제공됩니다.

QRadar용 Cisco Cloud Security 앱을 설치하면 Cisco Cloud Security 플랫폼의 모든 데이터가 통합되며 QRadar 콘솔에서 데이터를 그래픽 형태로 볼 수 있습니다. 분석가는 이 애플리케이션을 통해 다음을 수행할 수 있습니다.

- 도메인, IP 주소, 이메일 주소 조사

- 도메인 차단 및 차단 해제(적용)

- 네트워크의 모든 인시던트에 대한 정보를 봅니다.

이 문서에서는 Cisco Cloud Security 앱을 탐색하는 방법을 설명합니다. 애플리케이션 설정 방법에 대한 지침은 여기에서 확인할 수 있습니다. IBM QRadar용 Cisco Cloud Security 앱 구성

Cisco Cloud Security 앱 액세스

IBM QRadar에서 Cisco Cloud Security 앱으로 이동하려면 홈 페이지로 이동한 다음 Cisco Cloud Security 탭을 클릭합니다. Cloud Overview(클라우드 개요) 탭 및 Dashboard(대시보드)가 나타납니다. 그런 다음 Umbrella, Investigate, CloudLock 및 Enforcement 탭에 액세스하여 로그를 볼 수 있습니다.

Cloud Security App은 기본적으로 지난 7일의 데이터를 표시하도록 설정되어 있습니다. 오른쪽 상단의 날짜 범위를 클릭하여 기간을 변경할 수 있습니다.

360072030052

Cisco Cloud Security App 구성 요소

클라우드 개요

Cloud Overview(클라우드 개요) 탭에는 모든 요청, All Blocked(모두 차단됨), Security Blocked(보안 차단됨), Proposable DGA(가능한 DGA), Suspicious Secure Rank(의심스러운 보안 순위), Cloudlock Incidents(Cloudlock 사고), CloudLock Overall(CloudLock 전체), Top Policies(상위 정책), Top Abilors(상위 위반자) 등의 정보가 차트 기반 시각적 표시로 표시됩니다.

360072257631

360072257611

Umbrella

Umbrella 탭에는 Events By Action(작업별 이벤트), Top Blocked Categories(상위 차단 카테고리), Number of Events by Identity(ID별 이벤트 수), Domains Being Blocked(차단 중인 도메인), Domains Not longer blocked(더 이상 차단되지 않는 도메인), Compromise Users(감염된 사용자), Restricted Content Alerts(제한된 콘텐츠 알림), Compromise Devices(손상된 디바이스), Top Domains(상위 도메인), Top Blocked Domains(상위 차단 도메인), Top Blocked Identity(상위 차단 Id), Malicious Content Category Breakdown(악의적인 콘텐츠 카테고리 분석), Top Top Top Categories(상위 카테고리, Top Top Top Top Categories(상위 카테고리, 활동, 활동, 활동, 활동, 및 사용자 액세스 트렌드) 등의 정보가 차트 기반 시각적 표현으로 표시됩니다.

360072263411

360072263391

360072037372

360072263331

360072263351

조사

Investigate 탭에서는 호스트 이름, URL, ASN, IP, 해시 또는 이메일 주소와 관련된 정보를 검색할 수 있습니다. 그것은 또한 WHOIS 기록, DGA 정보 등과 같은 정보를 가지고 있습니다.

360072263511

360072037472

360072037452

클라우드잠금

CloudLock 탭에서는 사용자가 탐지된 모든 인시던트에 대한 정보를 볼 수 있습니다. 사용자는 드롭다운 메뉴에서 값을 선택하고 "Update(업데이트)"를 클릭하여 인시던트의 심각도와 상태를 업데이트할 수도 있습니다.

360072268311

사용자는 어떤 이벤트든 설정하여 인시던트에 대한 자세한 정보를 볼 수 있습니다.

360072042332

Enforcement(적용) 탭

Enforcement(적용) 탭에는 차단된 도메인에 대한 정보가 표시됩니다. 사용자는 차단된 도메인을 선택하고 이 인터페이스에서 차단을 해제할 수도 있습니다.

360072038472