Panoramica dell’integrazione Cisco Firepower

Agente di raccolta log Firewall

Cisco Firepower è una soluzione firewall che sfrutta opzioni di sensibilità contestuale in tempo reale per offrire la combinazione ottimale tra protezione contro le minacce avanzate, prevenzione delle intrusioni e firewall next-gen, tutto in un’unica piattaforma integrata.

Documenti Sophos

Integrazione di Cisco Firepower

I dati raccolti e inseriti

Esempi di avvisi visualizzati da Sophos:

INDICATOR-COMPROMISE
MALWARE-CNC Win.Trojan.Njrat variant outbound connection
INDICATOR-SCAN SSH brute force login attempt
PROTOCOL-SCADA Moxa discovery packet information disclosure attempt
SERVER-WEBAPP Kibana Console for Elasticsearch local file inclusion attempt
FILE-PDF TRUFFLEHUNTER TALOS-2017-0505 attack attempt
SQL generic convert injection attempt - GET parameter
Executable Code was Detected
APP-DETECT Steam game URI handler
SERVER-APACHE Apache Struts remote code execution attempt
W32.975C0D48C4.RET.SBX.TG

Avvisi inseriti per intero

Sophos acquisisce e inserisce avvisi di sicurezza. Devono contenere Message: o ThreatName: nel syslog.

Questi avvisi vengono poi mappati alla versione 8 del Framework MITRE.

Filtraggio

Acquisiamo e inseriamo solo avvisi correlati a eventi di sicurezza. Devono contenere i campi Message: o ThreatName: nel syslog.

Vedere: Cisco Secure Firewall Threat Defense: Security Event Syslog Messages

Esempi di mapping delle minacce

Il tipo di avviso viene definito come segue:

Se il campo message esiste, sanificarlo e utilizzarlo. In caso contrario, utilizzare il campo ThreatName.

{"alertType": "(ftp_server) FTP traffic encrypted", "threatId": "T1027", "threatName": "Obfuscated Files or Information"}
{"alertType": "PSNG_UDP_FILTERED_DISTRIBUTED_PORTSCAN", "threatId": "T1046", "threatName": "Network Service Scanning"}
{"alertType": "Misc Activity", "threatId": "TA0043", "threatName": "Reconnaissance"}