入侵威胁指标
编辑入侵威胁指标
编辑“指标”页面收集来自已启用的威胁情报源的数据，并提供指标的集中视图，也称为入侵威胁指标 (IoC)。本主题将帮助您设置“指标”页面，并说明如何使用 IoC。
威胁情报和指标
编辑威胁情报是一项研究功能，用于分析当前和新兴的威胁，并提出加强公司安全态势的适当措施。威胁情报需要积极主动才能发挥作用，例如收集、分析和调查各种威胁和漏洞数据源。
指标，也称为 IoC，是与已知威胁或报告的漏洞相关联的信息片段。指标有很多类型，包括 URL、文件、域、电子邮件地址等等。在 SOC 团队中，威胁情报分析师使用指标来检测、评估和响应威胁。
设置“指标”页面
编辑安装威胁情报集成，以将指标添加到“指标”页面。
- 从 Elastic 安全应用程序中，单击 添加集成。
- 在搜索栏中，搜索
威胁情报以获取威胁情报集成列表。 -
选择一个威胁情报集成，然后完成该集成的引导式安装。
有关可用字段的更多信息，请转到 Elastic 集成文档 并搜索特定的威胁情报集成。
- 返回 Elastic Security 中的“指标”页面。如果指标数据未显示，请刷新页面。
故障排除
编辑如果您安装威胁情报集成后，“指标”表中没有显示指标数据
-
验证存储指标文档的索引是否包含在默认 Elastic 安全索引 (
securitySolution:defaultIndex) 中。存储指标文档的索引会因您收集指标数据的方式而异。-
Elastic Agent 集成 -
logs_ti* -
Filebeat 集成 -
filebeat-*
-
Elastic Agent 集成 -
- 确保您正在摄取的指标数据已映射到 Elastic Common Schema (ECS)。
这些故障排除步骤也适用于 威胁情报视图。
“指标”页面 UI
编辑将指标添加到“指标”页面后，您可以检查、搜索、筛选和对指标数据执行操作。指标也会显示在趋势视图中，该视图显示图例中的总值。
检查指标详细信息
编辑单击 查看详细信息，然后打开“指标详细信息”浮出控件，详细了解指标。浮出控件包含以下信息选项卡：
-
概述：指标的摘要，包括指标的名称、它来自的威胁情报源、指标类型和其他相关数据。
某些威胁情报源提供 流量灯协议 (TLP) 标记。如果源不提供该数据，则
TLP 标记和置信度字段将为空。 - 表：表格式的指标数据。
-
JSON：JSON 格式的指标数据。
查找相关安全事件
编辑在 时间线中调查指标，以识别和预测您环境中的相关事件。您可以从“指标”表或“指标详细信息”浮出控件将指标添加到时间线。
将指标添加到时间线时，将打开一个新的时间线，其中包含自动生成的 KQL 查询。该查询包含您选择的指标字段值对以及自动映射的源事件的字段值对。默认情况下，查询的时间范围设置为指标的 时间戳 前后七天。
指标时间线调查示例
编辑下图显示了在时间线中调查的文件哈希指标。指标字段值对为
threat.indicator.file.hash.sha256 : 116dd9071887611c19c24aedde270285a4cf97157b846e6343407cf3bcec115a
自动生成的查询包含指标字段值对（如前所述）和自动映射的源事件字段值对，即
file.hash.sha256 : 116dd9071887611c19c24aedde270285a4cf97157b846e6343407cf3bcec115a
查询结果显示一条警报，其中包含匹配的 file.hash.sha256 字段值，这可能表示环境中存在可疑或恶意活动。
将指标附加到案例
编辑将指标附加到案例可以为您的调查提供更多上下文和可用操作。此功能使您可以轻松地与其他团队共享或升级威胁情报。
要将指标添加到案例：
- 从“指标”表中，单击更多操作 (…) 菜单。或者，打开指标的详细信息，然后选择 执行操作。
-
选择以下其中一项：
- 添加到现有案例：从选择案例对话框中，选择要将指标附加到的案例。
- 添加到新案例：配置案例详细信息。请参阅打开新案例以了解有关打开新案例的更多信息。
指标将作为新评论添加到案例中。
查看案例中的指标详细信息
编辑将指标附加到案例时，该指标将作为新评论添加，其中包含以下详细信息：
-
指标名称：单击链接的名称以打开“指标详细信息”浮出控件，其中包含以下选项卡：
-
概述：威胁指标的摘要，包括其名称和类型、它来自的威胁情报源以及其他相关数据。
某些威胁情报源提供 流量灯协议 (TLP) 标记。如果源不提供该数据，则
TLP 标记和置信度字段将为空。 - 表：表格式的指标数据。
- JSON：JSON 格式的指标数据。
-
- 源名称：从中摄取指标的威胁源。
-
指标类型：指标类型，例如
file或.exe。
从案例中删除指标
编辑要删除附加到案例的指标，请单击案例评论中的更多操作 (…) 菜单 → 删除附件。
使用指标中的数据来扩展阻止列表
编辑将指标值添加到 阻止列表，以防止选定的应用程序在您的主机上运行。您可以使用 file 类型指标中的 MD5、SHA-1 或 SHA-256 哈希值。
您可以从“指标”表或“指标详细信息”浮出控件将指标值添加到阻止列表。从“指标”表中，选择更多操作 (…) 菜单 → 添加阻止列表条目。或者，打开指标的详细信息，然后选择执行操作菜单 → 添加阻止列表条目。
有关阻止列表条目的更多信息，请参阅 阻止列表。