Panel lateral Consultas (1)

Permite acceder a las consultas previamente almacenadas por el analista o diseñadas por Cytomic. Contiene los siguientes elementos:

Panel lateral Consultas

  • Tablas (1): contiene el modelo de datos utilizado por Cytomic Orion para organizar la información recogida en la monitorización de procesos.

  • Predefinidas (2): son las sentencias SQL diseñadas por el analista que ha guardado por utilizarlas de forma recurrente.

  • Guardadas (3): librería de sentencias SQL organizadas en árbol y diseñadas por Cytomic.

  • Buscar (4): caja de texto para localizar las consultas de forma rápida.

Tablas (1)

Muestras las tablas y los campos disponibles para que el analista construya sus propias consultas. Para acelerar el desarrollo haz clic en un campo y éste se copiará automáticamente en el panel Consulta avanzada SQL, en la posición marcada por el cursor.

En la pestaña Tablas se incluye toda la información recogida de los equipos del parque del cliente, organizada en 14 tablas que representan distintas técnicas y acciones ejecutadas frecuentemente por los procesos que forman parte de un ataque informático:

Tabla Descripción

BandwidthUsage

Contiene un registro con el volumen de información manejada en cada operación de transferencia de datos ejecutada por el proceso.

DataAccess

Contiene un registro por cada operación ejecutada por el proceso y que se corresponda a un acceso a ficheros de datos alojados en dispositivos internos de almacenamiento masivo.

Detection

Contiene un registro por cada detección realizada por las protecciones activadas del software de seguridad Cytomic EDR instalado en el equipo.

DeviceOps

Contiene un registro por cada acceso a un dispositivo externo ejecutado por el proceso.

DnsOps

Contiene un registro por cada acceso al servidor de nombres DNS ejecutado por el proceso.

Download

Contiene un registro por cada descarga de datos ejecutada por el proceso.

Evidences

Contiene un registro por cada indicio detectado sin agrupar.

Indicators

Contiene el registro de indicios agrupados. Para conocer cómo Cytomic Orion agrupa los indicios, consulta Agrupación de indicios.

La tabla Indicators coincide con el listado de indicios mostrado en la consola de Cytomic Orion. Consulta Listado de indicios.

LoginOutOps

Contiene un registro por cada operación de inicio o cierre de sesión efectuado por el usuario.

NetworkOps

Contiene un registro por cada operación de red ejecutada por el proceso.

ProcessOps

Contiene eventos de procesos que realizan operaciones con el disco duro del equipo.

RegistryOps

Contiene una entrada por cada acceso al registro de Windows realizado por el proceso.

RemediationOps

Contiene los eventos de detección, bloqueo y desinfección de la solución de seguridad instalada en el equipo del usuario o servidor.

ScriptOps

Contiene un registro por cada operación ejecutada por un proceso de tipo script.

SystemOps

Contiene un registro por cada operación ejecutada por el motor WMI del sistema operativo Windows.

UserNotification

Contiene un registro por cada notificación que se le presenta al usuario junto a su respuesta si la hubiera.

Tablas disponibles en la pestaña Tablas

A continuación se indican los campos incluidos en cada tabla.

Tabla Campos

BandwidthUsage

DateTime, LocalDateTime, PandaTimeStatus, TimeStamp, MUID, ClientId, EventType, ParentPid, ParentMd5, ParentDrive, ParentPath, ParentFilename, BytesSent, BytesReceived, LoggedUser, TTPs, IOAIds, TelemetryType, Date, InsertionDateTime.

DataAccess

DateTime, LocalDateTime, PandaTimeStatus, TimeStamp, Muid, ClientId, EventType, ParentPid, ParentMd5, ParentDrive, ParentPath, ParentFilename, ParentAttributes, ChildPath, ChildFilename, ChildAttributes, LoggedUser, Config, TTPs, IOAIds, TelemetryType, Date, InsertionDateTime.

Detection

DateTime, LocalDateTime, PandaTimeStatus, TimeStamp, Muid, ClientId, EventType, ParentMd5, WinningTech, DetectionId, Date, InsertionDateTime.

DeviceOps

DateTime, LocalDateTime, PandaTimeStatus, TimeStamp, Muid, ClientId, EventType, NotificationType, DeviceType, UniqueId, IsDenied, IdName, ClassName, FriendlyName, Description, Manufacturer, PhoneDescription, TTPs, IOAIds, TelemetryType, Date, InsertionDateTime.

DnsOps

DateTime, LocalDateTime, PandaTimeStatus, TimeStamp, Muid, ClientId, EventType, ParentCount, ParentPid, ParentMd5, ParentDrive, ParentPath, ParentFilename, FailedQueries, QueriedDomainCount, DomainList, TTPs, IOAIds, TelemetryType, Date, InsertionDateTime.

Download

DateTime LocalDateTime, PandaTimeStatus, TimeStamp, Muid, ClientId, EventType, ParentMd5, ParentDrive, ParentPath, ParentFilename, ParentPid, ChildMd5, ChildDrive, ChildPath, ChildFilename, ChildUrl, LoggedUser, TTPs, IOAIds, TelemetryType, Date, InsertionDateTime.

Evidences

EvidenceDateTime, TimeStamp, Muid, ClientId, HuntingRuleName, HuntingRuleId, HuntingRuleMode, HuntingRuleSeverity, HuntingRuleMitre, Details, InsertionDateTime.

Indicators

AlertDateTime, TimeStamp, Muid, ClientId, HuntingRuleName, HuntingRuleId, HuntingRuleType, HuntingRuleMode, HuntingRuleSeverity, HuntingRuleMitre, Details, Occurrences, PandaAlertId, InsertionDateTime.

LoginOutOps

DateTime LocalDateTime, PandaTimeStatus, TimeStamp, Muid, ClientId, EventType, Actiontype, SessionType, ErrorCode, Username, Interactive, RemoteMachineName, RemoteIp, RemotePort, Times, TTPs, IOAIds, TelemetryType, Date, InsertionDateTime.

NetworkOps

DateTime, LocalDateTime, PandaTimeStatus, TimeStamp, Muid, ClientId, EventType, ParentPid, ParentMd5, ParentDrive, ParentPath, ParentFilename, Protocol, RemoteIp, RemotePort, LocalIp, LocalPort, Direction, LoggedUser, Ipv4Status, DetectionId, Hostname, Times, SocketOpFlags, ALProtocolExpected, ALProtocolDetected, CipherType, ConnectionState, ProxyConnection, ContentEncoding, TTPs, IOAIds, TelemetryType, Redirection, InitialDomain, Method, HeaderHttp, RuleId, Entropy, Date, InsertionDateTime.

ProcessOps

DateTime, LocalDateTime, PandaTimeStatus, TimeStamp, Muid, ClientId, EventType, Operation, ParentStatus, ParentMd5, ParentDrive, ParentPath, ParentFilename, ParentPid, ParentAttributes, ChildStatus, ChildMd5, ChildDrive, ChildPath, ChildFilename, ChildPid, ChildAttributes, ChildClassification, CommandLine, RemediationResult, Action, ServiceLevel, WinningTech, DetectionId, LoggedUser, RemoteIp, RemoteMachineName, RemoteUsername, TTPs, IOAIds, TelemetryType, Date, InsertionDateTime, Key, Value, ValueData.

RegistryOps

DateTime, LocalDateTime, PandaTimeStatus, TimeStamp, Muid, ClientId, EventType, ParentPid, ParentMd5, ParentDrive, ParentPath, ParentFilename, RegistryAction, Key, Value, ValueDataLength, ValueData, LoggedUser, Config, TTPs, IOAIds, TelemetryType, Date, InsertionDateTime.

RemediationOps

DateTime, LocalDateTime, PandaTimeStatus, TimeStamp, Muid, ClientId, EventType, ParentMd5, ParentDrive, ParentPath, ParentPid, ParentFilename, ChildMd5, ChildSha256, ChildDrive, ChildPath, ChildFilename, CommandLine, WinningTech, DetectionId, Action, RemediationData, RemediationResult, ServiceLevel, RemoteIp, RemoteMachineName, RemoteUsername, LoggedUser, ExploitOrigin, Url, ChildClassification, NapOriginIp, NapOriginPort, NapDestinationIp, NapDestinationPort, NapDirection, NapOccurrences, NapAttack, AttackerDeviceId, Risk, RuleId, Date, InsertionDateTime.

ScriptOps

DateTime, LocalDateTime, PandaTimeStatus, TimeStamp, Muid, ClientId, EventType, ParentMd5, ParentDrive, ParentPath, ParentFilename, ParentPid, ParentAttributes, ChildMd5, ChildDrive, ChildPath, ChildFilename, ChildAttributes, ChildFileSize, ChildClassification, CommandLine, ServiceLevel, LoggedUser, TTPs, IOAIds, TelemetryType, Date, InsertionDateTime.

SystemOps

DateTime, LocalDateTime, PandaTimeStatus, TimeStamp, Muid, ClientId, EventType, Type, ObjectName, CommandLine, MachineName, Username, IsLocal, ExtendedInfo, ChildMd5, RemoteMachineName, RemoteIp, IsSessionInteractive, Times, TTPs, IOAIds, TelemetryType, Date, InsertionDateTime, ParentPid.

UserNotification

DateTime, LocalDateTime, PandaTimeStatus, TimeStamp, Muid, ClientId, EventType, ParentMd5, ParentDrive, ParentPath, ParentFilename, ChildMd5, ChildDrive, ChildPath, ChildFilename, ChildClassification, ChildFirstSeen, WinningTech, DetectionId, RemediationResult, BlockReason, ServiceLevel, Date, InsertionDateTime.

Campos disponibles por tabla

Significado de los campos de tipo fecha

Cytomic Orion soporta varios campos de tipo fecha que ayudan a diferenciar el origen del dato, y a prevenir errores frecuentes que se dan cuando el analista trabaja con eventos:

  • TimeStamp: fecha real UTC en formato epoch (número de segundos transcurridos desde el 1 de enero de 1970) del momento en que se produjo el evento en el equipo del cliente. Es una fecha procedente de un cálculo interno de Cytomic Orion que puede no coincidir con la fecha del equipo donde se registró el evento si este último la tiene mal configurada.

  • DateTime: igual que TimeStamp pero en formato Fecha:Hora.

  • Date: igual que TimeStamp pero en formato Fecha.

  • LocalDateTime: fecha en formato UTC que tenía el equipo en el momento en que se produjo el evento registrado. Esta fecha depende de la configuración del equipo y por lo tanto puede ser errónea.

  • PandaTimeStatus: contenido de los campos DateTime, Date y LocalDateTime:

    • 0: fecha real no soportada por ser un evento antiguo.

    • 1: fecha real soportada pero obtenida mediante un calculo por no encontrarse disponible el servidor Cytomic.

    • 2: fecha real proporcionada por el servidor Cytomic.

  • InsertionDateTime: fecha en formato UTC del momento en el que Cytomic registró en sus servidores el evento enviado por el equipo. Esta fecha siempre será algo posterior al resto de fechas ya que los eventos se encolan para ser procesados.

Predefinidas (2)

Árbol de grupos de primer nivel de la biblioteca de consultas

Muestra la biblioteca de consultas diseñada por Cytomic, ordenada en 14 grupos y subgrupos que representan las técnicas y tácticas descritas por MITRE más frecuentemente vistas en el contexto de un ataque informático o de una infección.

Al hacer doble clic en un grupo se mostrarán los nodos y subnodos y las consultas predefinidas que cuelgan del mismo. Al hacer doble clic en una consulta, ésta se cargará en el panel Consulta avanzada SQL junto a su nombre y su descripción.

Las consultas predefinidas no se pueden modificar pero pueden ser copiadas y modificadas por el analista. Consulta Barra de gestión de consultas (1).

A continuación se muestran los grupos disponibles y una descripción general del tipo de consultas predefinidas que contienen:

Grupo Descripción

Execution

Muestra la ejecución de procesos sospechosos de pertenecer a un ataque por ser utilizados de forma diferente a la habitual: parámetros poco habituales, ejecución de scripts PowerShell, Autoit o WMI, etc.

Persistence

Muestra la ejecución de acciones por parte de procesos que intentan ganar persistencia en el equipo para sobrevivir a un reinicio del sistema.

Privilege Escalation

Muestra la ejecución de acciones encaminadas a ganar permisos superiores a los heredados según el contexto de ejecución inicial.

Defense Evasion

Muestra la ejecución de acciones encaminadas a evitar las defensas configuradas por el administrador de la red, como por ejemplo evitar la configuración del cortafuegos local, forzar la detención del proceso de antivirus instalado, evitar la infección de otros tipos de malware vía protocolo SMB, etc.

Credential Access

Muestra el acceso no autorizado a la SAM del equipo para obtener las credenciales de usuario.

Discovery

Muestra las acciones ejecutadas para obtener información del entorno de ejecución del malware mediante programas tales como whoamI, nbstat, qprocess y otros.

Lateral Movement

Muestra las acciones encaminadas a propagar el malware a otros equipos dentro de la red para recoger información y ganar una posición de ventaja que maximice las probabilidades de éxito del hacker.

Backdoor

Muestra los intentos de instalación de una puerta trasera para acceder al equipo de forma remota.

Exploitation

Muestra los intentos de explotación de procesos vulnerables.

IOCs

Muestra los procesos que ejecutan IOCs (indicadores de compromiso) conocidos.

Payload

Detecta la ejecución de programas de minado de Bitcoins.

Post-Exploitation

Muestra los procesos que ejecutan acciones que se suceden comúnmente después de haber explotado un proceso vulnerable (creación de usuarios, parada de servicios, etc).

PUPS

Muestra las acciones típicas de procesos clasificados como PUP (programas no deseados) generalmente relativas a la instalación de barras de navegación y recursos similares para mostrar publicidad en el equipo del cliente.

Grupos de consultas predefinidas disponibles

Guardadas (3)

Contiene todas las consultas que el analista ha diseñado y guardado a lo largo del tiempo. Estas consultas son visibles por las cuentas de usuario creadas en cada MSSP / MDR o SOC de forma individual, y por lo tanto no son compartidas entre distintos MSSPs / MDRs.

Las consultas almacenadas se agrupan en función del tipo y subtipo elegido en su creación, formando un árbol que el analista puede navegar de forma sencilla para localizar la consulta que necesite ejecutar.