🎯 Mục đích

Mục tiêu chính của dòng công việc này là tự động hóa quy trình xử lý sự cố liên quan đến email, từ việc đọc email đầu vào cho đến việc tạo và cập nhật các trường hợp (case) trong hệ thống TheHive, nhằm tăng cường khả năng phát hiện và phân tích các mối đe dọa.

⚙️ Cách hoạt động

1. IMAP Email (emailReadImap): Dòng công việc bắt đầu bằng việc đọc email từ hộp thư đến thông qua IMAP, xác định email nào cần được xử lý.
2. TheHive (theHive): Kết nối với TheHive để thực hiện các thao tác quản lý trường hợp.
3. Create Case (theHive): Nếu email chứa mối đe dọa, một trường hợp mới được tạo ra trong TheHive.
4. Case (theHive): Thông tin chi tiết về trường hợp được cập nhật.
5. Observable (theHive): Xác định các đối tượng quan sát (observable) từ email như địa chỉ IP, miền, hoặc email.
6. Analyzer Email (theHive): Phân tích nội dung email để xác định các yếu tố mối đe dọa.
7. Cortex (cortex): Sử dụng dịch vụ Cortex để phân tích sâu hơn về những thông tin thu thập được từ email.
8. IF (if): Quyết định tiếp theo dựa trên kết quả phân tích.
9. Update Case Domain (theHive): Cập nhật miền của trường hợp nếu cần.
10. Update Case Email (theHive): Cập nhật địa chỉ email trong trường hợp.
11. Update Case IP (theHive): Cập nhật địa chỉ IP liên quan đến trường hợp.
12. Wait (wait): Tạm dừng một thời gian để chờ các phản hồi hoặc thông tin bổ sung.
13. Email Reputation (theHive): Đánh giá độ tin cậy của email bằng cách xem xét các chỉ số an ninh.
14. OTX IP (theHive): Kiểm tra thông tin địa chỉ IP từ Open Threat Exchange (OTX) để xác định tính khả thi.
15. OTX DOMAIN (theHive): Đánh giá miền từ OTX để xác định nếu có bất kỳ mối đe dọa nào liên quan.

🔗 Tích hợp chính

• emailReadImap: Đọc email từ IMAP.
• theHive: Quản lý và xử lý các trường hợp liên quan đến mối đe dọa.
• cortex: Phân tích chi tiết thông tin mối đe dọa.
• if: Điều kiện quyết định việc xử lý tiếp theo.
• wait: Tạo khoảng dừng giữa các bước.

💼 Giá trị doanh nghiệp

Dòng công việc này giải quyết vấn đề phát hiện và xử lý các mối đe dọa an ninh mạng từ email. Nó tăng tốc quy trình điều tra, giảm thiểu thời gian phản ứng và cải thiện quản lý sự cố.

📊 Đánh giá kỹ thuật

• Độ phức tạp: Trung bình với 15 nút và 12 kết nối.
• Bảo trì: Có thể bảo trì dễ dàng nếu tài liệu rõ ràng và quy trình được các thành viên trong nhóm hiểu.
• Tối ưu hóa: Cân nhắc sử dụng các bộ lọc để chỉ xử lý các loại email cụ thể hơn và tăng tính hiệu quả.

🏷️ Nhãn

• Email Automation
• Cyber Threat Intelligence
• Incident Response
• TheHive
• Cortex Analysis