Mapeamento de alarmes para TTPs da MITRE
Comando
Mostre-me os alarmes atualmente disparados com status de erro, nome do objeto, tipo do objeto, mas adicione um mapeamento para as Táticas, Técnicas e Procedimentos MITRE.
Mostre tudo em uma tabela única, com recomendações ao final.
Exemplo de Saída
Alarmes acionados no momento com status de erro
Aqui estão todos os alarmes atualmente acionados com status 'Erro', incluindo suas táticas e técnicas MITRE ATT&CK mapeadas:
| Nome do alarme | Nome do objeto | Tipo de objeto | Descrição | Mapeamento MITRE ATT&CK |
|---|---|---|---|---|
| Estado de segurança e conformidade do servidor de backup | bgpdvbr.betagrounds.local | VbrBackupServer | Melhores práticas "As atualizações de produto mais recentes devem ser instaladas" não foi implementada... | TA0005: Evasão de Defesa / T1078: Contas Válidas |
| Tentativa de login com nome de usuário inválido no vCenter Server | vcsa.betagrounds.dev | VSphereVCenter | Acionado por evento: BadUsernameSessionEvent Descrição do evento: Falha ao tentar login no BGPDVBR... | TA0006: Acesso às Credenciais / T1110: Força Bruta |
| Status do link da NIC do host | esx1.betagrounds.dev | VSphereHost | Status do link da NIC física "vmnic3" está desligado... | TA0040: Impacto / T0814: Negação de Serviço de Rede |
| Estado da atividade de detecção de malware da Veeam | bgpdvbr.betagrounds.local | VbrBackupServer | Análise de entropia em linha foi desativada… | TA0005: Evasão de Defesa / T1562: Prejudicar Defesas |
Recomendações com base nas constatações:
- Investigue falhas em job de backup e erros de transferência de repositórios para garantir a proteção de dados e a conformidade.
- Analise falhas de destino de storage iSCSI e erros genéricos de VM para possíveis problemas de storage ou conectividade.
- Trate os alarmes de segurança e conformidade, garantindo que todos os servidores de backup estejam atualizados e que as melhores práticas sejam implementadas.
- Examine tentativas de logon com falha e eventos de nome de usuário incorretos em busca de sinais de uso indevido de credenciais ou ataques de força bruta.
- Resolva erros de status de link de NIC do host para evitar interrupções de rede.
- Habilite ou revise as configurações de detecção de malware e análise de entropia para fortalecer as defesas contra ransomware e outras ameaças.
Se você precisar de etapas de correção detalhadas para algum alarme específico, avise-me!