DomainTools apoya a la comunidad de seguridad de código abierto y a sus clientes con las nuevas capacidades de integración de TheHive y Cortex

El éxito de los proyectos de código abierto y colaborativos depende de la comunidad que los apoya. El modelo de desarrollo está impulsado únicamente por un objetivo común y siempre ha sido un recurso invaluable para las industrias de TI y seguridad de TI.

Guiado por el objetivo común de hacer que Internet sea un poco más seguro y ayudar a los usuarios a buscar infraestructura maliciosa desconocida, DomainTools ha anunciado que integrará su herramienta Iris con la plataforma TheHive y Cortex. La comunidad de código abierto tendrá acceso a la investigación e inteligencia de amenazas del DNS, conjuntos de datos ricos y enriquecimiento contextual para Indicadores de Compromiso (IOC).

¿Qué es TheHive y Cortex?

La colmena es una solución escalable de código abierto creada para SOC, equipos de respuesta a incidentes de seguridad cibernética (CSIRT), equipos de respuesta a emergencias informáticas (CERT) y cualquier profesional de seguridad de la información y les permite investigar incidentes de seguridad de manera eficiente. La colaboración entre las fases y funciones de gestión de incidentes es el núcleo de la plataforma. Se pueden crear casos para cada investigación, ya sea de forma manual o automática, utilizando plantillas que pueden variar según el tipo de investigaciones.

Corteza es nuestro motor de análisis independiente y un compañero perfecto para TheHive. TheHive habla de forma nativa con Cortex a través de la API REST para realizar evaluaciones rápidas de observables.

Juntas, las dos plataformas pueden ahorrar mucho tiempo y eliminar algunas de las tediosas tareas asociadas. Luego, los analistas pueden usar la funcionalidad Analizar que puede agregar e investigar uno o miles de observables asociados con el caso. Finalmente, las buenas prácticas antiguas de asociar TLP y etiquetas de origen también están integradas en la plataforma.

Descripciones cortesía de TheHive y Cortex

Durante los últimos tres años, el proyecto TheHive maduró y cada vez más empresas lo adoptaron como parte de su empresa SOC / CSIRT / CERT. TheHive y Cortex permiten a los usuarios optimizar la gestión de incidentes de seguridad, automatizar el análisis de inteligencia de amenazas y realizar análisis forenses digitales.

Enriqueciendo observables dentro de Los usuarios de TheHive y Cortex ahora pueden utilizar la inteligencia de Iris de DomainTools para agregar valor a su flujo de trabajo de administración de incidentes. De esta manera, el contexto de amenazas de DNS estará disponible en un solo conjunto de herramientas, sin la necesidad de acceder a él a través de sistemas ascendentes. A través de la interfaz de apuntar y hacer clic en TheHive, los usuarios ahora podrán acceder al dominio de DomainTools enriquecido y la inteligencia de DNS, la puntuación de riesgo de dominio y la evidencia de respaldo.

Observables enriquecidos

Los usuarios de TheHive y Cortex se beneficiarán de esta integración de varias formas, pero el elemento clave es un contexto mejorado para las investigaciones. Ahora tendrán acceso a información adicional, incluidos los datos de Whois, que pueden proporcionar información clave sobre la propiedad del dominio, así como la puntuación de riesgo de DomainTools, que permite una clasificación más rápida en función del tipo de riesgo que representa el dominio.

Mientras enriquece los observables, DomainTools conserva los datos de enriquecimiento en informes observables dentro de un incidente. Esto permite a los usuarios revisar el conjunto de datos enriquecido de manera conveniente, incluidos los pivotes guiados de DomainTools, para ayudar a avanzar en sus investigaciones.

Los artefactos con pivotes guiados por debajo de un límite de umbral, configurados por la organización, se resaltan visualmente para mayor comodidad. Los usuarios pueden agregar estos artefactos como puntos potenciales de giro / inversión.

Esto permite que un analista investigue el incidente sin cambiar de contexto a través de múltiples herramientas. Además, los datos de enriquecimiento dentro de un incidente forman una herramienta calificada para informes y conciliaciones convenientes. Y cada vez que un analista siente la necesidad de sumergirse en la plataforma de investigación de DomainTools, puede lanzarla cómodamente desde el informe observable, todo sin perder su contexto en la investigación.

¿Qué pasa con la infraestructura conectada?

Cuando el perfil de un artefacto DNS no es suficiente, la integración con el analizador de pivote Iris de DomainTools permitirá a los usuarios de TheHive y Cortex ver qué está conectado al dominio observable, obteniendo información sobre asociaciones más detalladas para construir una imagen más precisa del infraestructura que rodea un dominio: las direcciones IP asociadas, los hash SSL y las direcciones de correo electrónico del registrante ahora se pueden girar para recuperar las IOC asociadas. Además, el análisis de pivote guiado ayudará a los profesionales de la seguridad de TI a elegir los atributos sobre los que pivotar y, con los recuentos de pivote guiado, incluso creará una ruta de investigación por sí mismos.

Los pivotes guiados viables se marcarán durante el enriquecimiento observable, lo que permitirá a los usuarios descubrir IOC que de otro modo no hubieran sido detectados. Para consolidar aún más la inteligencia y el análisis forense de mapas, los usuarios tendrán acceso a análisis de DomainTools como Edad y Puntuación de riesgo de dominio, que reducirán la lista de IOC objetivo que se importarán a la plataforma. Los usuarios de MISP también podrán vincular dos instancias y crear un caso automático a partir de un evento de MISP.

En general, la automatización de los procedimientos de manejo de incidentes a través de pivotes en atributos de dominio clave, según lo permitido por esta integración de DomainTools Iris con TheHive y Cortex, reducirá el tiempo que los equipos de seguridad de TI tendrán que dedicar a investigar y evaluar múltiples herramientas.

Cuando se trabaja en el panorama de amenazas cada vez mayor y complicado de hoy, es cada vez más importante que las organizaciones logren colaborar de manera efectiva de maneras como esta: aumentar la visibilidad y proporcionar a los equipos de seguridad e investigadores datos enriquecidos es una de las cosas clave que nos ayudarán para llevar la lucha a los ciberdelincuentes.