Verdächtiger Inhalt in Netzflüssen

IBM QRadar Network Insights prüft auf verdächtige Inhalte in Netzflüssen auf den Ebenen der aufbereiteten und erweiterten Inspektion.

Das Feld Beschreibungen verdächtiger Inhalte wird durch mehrere Datenquellen wie etwa Websitekategorien, eingebettete Links und Yara-Regeln ausgefüllt, und enthält nur dann Daten, wenn eine verdächtige Entität festgestellt wird.

Die folgende Liste enthält Beispiele für die Typen verdächtiger Inhalte, die auf den Inspektionsstufen 'aufbereitet' und 'Erweitert ' erkannt werden:
Aufbereitete Prüfung
  • Gibt ein Protokoll an, das auf einem vom Standard abweichenden Port ausgeführt wird.
  • SSL / Das Zertifikat „ TLS “ ist abgelaufen, da der not valid after Zeitstempel in der Vergangenheit liegt.
  • SSL / TLS Zertifikat ungültig, da der not valid before Zeitstempel in der Zukunft liegt.
  • Verwendung eines selbstsignierten Zertifikats in SSL / TLS.
  • Verwendung einer schwachen öffentlichen Schlüssellänge in SSL / TLS.
  • Verdächtige Inhalte durch Scannen mit vom Benutzer bereitgestellten Yara-Regeln.
  • Kategorie einer Website ist einer von mehreren verdächtigen Einträge.
  • Das Zertifikat hat einen alternativen Namen, bei dem es sich nicht um ein DNS-Subjekt handelt.
  • Der Signaturalgorithmus stimmt nicht mit dem zu signierenden Signaturalgorithmus überein.
  • Fehler bei BitTorrent -Handshake-Verifizierung.
  • X-Force -Signaturen

    Weitere Informationen finden Sie unter Aus X-Force abgeleitete Beschreibungen verdächtiger Inhalte.

Erweiterte Inspektion
  • Verdächtiger Inhalt in den übertragenen Informationen
  • Zu viele Elemente, die durch den Abgleich mit regulären Ausdrücken erkannt wurden.
    • Kreditkartennummern, Sozialversicherungsnummern, IP-Adressen und E-Mail-Adressen.
    • Benutzerdefinierte Elemente, die über einen regulären Ausdruck erkannt werden, der als verdächtig markiert ist.
  • Scripts in Office-oder PDF-Dateien.
  • Eingebettete Links in PDF-Dateien.