Ejemplos de firmas Sigma para Security Insights
Esta página contiene ejemplos de consultas para ayudar a los administradores a lograr resultados significativos con Citrix Security Analytics.
Estos ejemplos cubren riesgos de las siguientes categorías:
-
Puntos finales comprometidos
-
Amenazas internas
-
Exfiltración de datos
Cómo usar estos ejemplos
Ver el origen de datos y activar el procesamiento de datos
Para ver el origen de datos, haga clic en Configuración > Orígenes de datos > Seguridad en la GUI de Citrix Analytics. La tarjeta del sitio Aplicaciones y escritorios - Aplicación Workspace aparece en la página Orígenes de datos. Haga clic en Activar procesamiento de datos para permitir que Citrix Analytics comience a procesar datos para este origen de datos.
Citrix Analytics for Security™ envía los dos tipos siguientes de datos de información de riesgos a su servicio SIEM:
-
Eventos de información de riesgos (exportaciones predeterminadas)
-
Eventos de origen de datos (exportaciones opcionales)
Como parte de su entorno SIEM, los orígenes de datos de eventos de información de riesgos están disponibles y siempre activados de forma predeterminada. Para obtener más información, consulte Eventos de datos exportados de Citrix Analytics for Security a su servicio SIEM.
Puede usar firmas CAS o Sigma para verificar cualquier evento de usuario particular dentro de sus orígenes de datos. Las consultas CAS son accesibles a través de la página de búsqueda de autoservicio en su GUI de Citrix Analytics. Las firmas Sigma están escritas en un formato simple o fácil de usar, lo que las hace compatibles con varios entornos SIEM.
Uso de consultas CAS
Puede usar la consulta CAS en la página Búsqueda de autoservicio para buscar y filtrar eventos de usuario recibidos de varias fuentes de datos. Haga clic en Buscar en la GUI de Citrix Analytics e introduzca la consulta en el cuadro de búsqueda. Para obtener más información, consulte Cómo usar la búsqueda de autoservicio.
También puede crear indicadores de riesgo personalizados con las plantillas existentes. Para crear un indicador de riesgo personalizado, vaya a Seguridad > Indicadores de riesgo personalizados > Crear indicador. Para obtener más información, consulte Crear un indicador de riesgo personalizado.
Uso de firmas Sigma
Sigma es un formato de firma abierto y fácil de usar para crear consultas basadas en texto que los analistas pueden usar para describir eventos de registro, lo que facilita la escritura de detecciones. Hay varias formas de convertir una firma Sigma al lenguaje de consulta de su herramienta SIEM.
-
Puede usar las herramientas de CLI y los SDK de Python que ofrece Sigma. Para obtener más información sobre la firma Sigma, consulte Uso de reglas.
-
Puede usar herramientas públicas como el motor de traducción Sigma de uncoder.io, que ofrece un nivel gratuito.
Consulte los siguientes casos de uso de indicadores personalizados para las diferentes perspectivas de riesgo: