Rapid7 Threat Command CVE 关联
编辑Rapid7 Threat Command CVE 关联
编辑当从 Rapid7 Threat Command 集成收集的 CVE 与在客户环境中发现的漏洞匹配时，将触发此规则。
规则类型: threat_match
规则索引:
- auditbeat-*
- endgame-*
- filebeat-*
- logs-*
- packetbeat-*
- winlogbeat-*
严重性: 严重
风险评分: 99
运行频率: 30 分钟
搜索索引时间范围: now-35m (日期数学格式，另见 额外回溯时间)
每次执行的最大告警数: 10000
参考资料:
标签:
- 操作系统: Windows
- 数据源: Elastic Endgame
- 数据源: Windows
- 数据源: 网络
- 数据源: Rapid7 Threat Command
- 规则类型: 威胁匹配
- 资源: 调查指南
- 用例: 漏洞
- 用例: 资源可见性
- 用例: 持续监控
版本: 103
规则作者:
- Elastic
规则许可证: Elastic License v2
调查指南
编辑分类和分析
调查 Rapid7 Threat Command CVE 关联
Rapid7 Threat Command CVE 关联规则允许匹配来自用户索引中的 CVE 与从 Rapid7 Threat Command 集成收集的漏洞。
匹配将基于过去 180 天内 CVE 的最新值。因此，必须验证数据并通过调查相关活动来审查结果，以确定是否需要进一步调查。
如果漏洞与本地观测结果匹配，则会生成以下富字段以标识匹配的漏洞、字段和类型。
-
threat.indicator.matched.atomic- 这标识与本地观测结果匹配的原子漏洞 -
threat.indicator.matched.field- 这标识与本地观测结果匹配的漏洞字段 -
threat.indicator.matched.type- 这标识与本地观测结果匹配的漏洞类型
可以通过审查活动来源并考虑匹配漏洞的历史记录来进行额外调查。这有助于了解活动是否与合法行为相关。
- 可以根据匹配的数据和查看该活动的来源来验证和审查调查结果。
- 考虑匹配漏洞的历史记录。之前是否发生过？是否在多台机器上发生？这些问题可以帮助理解活动是否与合法行为相关。
- 考虑用户及其在公司中的角色：这是否与其工作或职能相关？
设置
编辑设置
此规则需要威胁情报指标才能运行。可以使用 Elastic Agent 集成、威胁情报模块 或 自定义集成 收集威胁情报指标。
更多信息可以在这里找到 这里。
最大信号
此规则配置为生成比所有规则设置的每运行默认 1000 个告警更多的每次运行的最大告警数。这是为了确保它捕获尽可能多的告警。
重要提示： 规则的 每次运行的最大告警数 设置可以被 xpack.alerting.rules.run.alerts.max Kibana 配置设置取代，该设置决定 Kibana 告警框架中任何规则生成的最大告警数。例如，如果 xpack.alerting.rules.run.alerts.max 设置为 1000，则即使此规则自身的 每次运行的最大告警数 设置更高，它仍然不会生成超过 1000 个告警。
为了确保此规则可以生成与其自身 每次运行的最大告警数 设置中配置的同样多的告警，请相应地增加 xpack.alerting.rules.run.alerts.max 系统设置。
注意： 在无服务器项目中无法更改 xpack.alerting.rules.run.alerts.max。
规则查询
编辑vulnerability.id : *