Menlo Security Isolation Platform이 사용자의 맬웨어 다운로드를 탐지하면 이벤트가 발생합니다.
Overview
| Priority | High |
|---|---|
| Type | Stream |
| Log schema | menlo-web |
| Message | 맬웨어 다운로드: 사용자 $user, 도메인 $domain |
| Output field order | _log_time, risk, risk_tally, user, req_type, site_category, domain, src_ip, dst_ip, dst_addrs, egress_ip, category, signature, action, reason, status, method, url, top_url, app, is_iframe, has_password, is_inconsistent_domain, num_subfiles, file_size, content_type, browser_version, user_agent_type, user_agent, referer |
| MITRE Techniques | T1204.001 User Execution: Malicious Link |
| MITRE tactics | TA0002 Execution |
Query
1| search req_type == "file_download" and category == "Malware"
요청 유형이 file_download 이고 공격명 분류가 Malware 인 웹 접근 로그에 대해 탐지합니다.
Target logger models
- Menlo Security Web Access menlo-security-web
Threat analysis
- 다운로드한 맬웨어 파일을 실행하는 경우 랜섬웨어에 감염되거나, 기밀 정보가 유출될 수 있습니다.
False positives
- Menlo Security 격리 플랫폼이 정상 파일을 악성코드로 오탐지할 수 있습니다.
Response actions
- Malware 탐지 시 Isolate 대응하고 있는 경우, Block 으로 정책을 변경하는 방안을 검토합니다.
- Menlo Security 어드민 콘솔 로그인 후 Policy > Web > Threats 메뉴로 이동하여 Malware에 대한 정책을 Block으로 변경할 수 있습니다.