Resultaten lezen
Stoik Email Security bewaakt uw postvakken op twee soorten dreigingen: verdachte e-mails en gecompromitteerde accounts. Alle gedetecteerde dreigingen worden vermeld in Stoik Protect en beoordeeld door de Stoik SOC.
E-maildreigingen
E-maildreigingen zijn verdachte of kwaadaardige e-mails die in uw postvakken zijn gedetecteerd, van twee typen:
Fraude: pogingen tot financiële fraude, zoals factuurfraude of zich voordoen als een bekend contact.
Phishing: e-mails met een link naar een pagina die een bekend merk nabootst om inloggegevens te stelen.
Ze staan vermeld op het Verdachte e-mails scherm, onder Email Security in de zijbalk.
Elke rij in de tabel toont:
Onderwerp: de onderwerpregel van de e-mail
Ernst: Laag, Gemiddeld, Hoog of Kritiek
Beschermde gebruiker: het postvak dat de e-mail heeft ontvangen of verzonden
Detectiedatum: wanneer de e-mail werd ontvangen
Status: Open of Gesloten
Geldigheid : Ongedefinieerd, vals-positief of waar-positief
Acties : Geen, banner en/of quarantaine
Klik op een e-maildreiging om een volledige pagina met alle details te openen.
Meldingsinformatie
De sectie Informatie toont de metadata van de gemarkeerde e-mail:
Detectiedatum -- wanneer de e-mail werd ontvangen
Beschermde gebruiker -- het postvak dat de e-mail heeft ontvangen of verzonden
Verkeer -- inkomend of uitgaand
Postvak -- Microsoft 365 of Google Workspace
Type -- het type dreiging: Fraude of Phishing
Redenen -- de redenen waarom de e-mail is gemarkeerd (bijv. zich voordoen als gebruiker, verdachte bankgegevens)
Acties -- de acties die door de SOC zijn ondernomen (bijv. e-mail verplaatst naar quarantaine, waarschuwingsbanner toegevoegd)
Status -- of de dreiging Open of Gesloten is
Geldigheid -- Waar-positief of vals-positief
Oordeel
Een gekleurde banner bovenaan vat de algemene beoordeling samen. De bannerkleur en kop komen overeen met de ernst van de melding:
Kritiek
Kritieke fraudepoging gedetecteerd
Hoog
Fraudepoging met hoog risico gedetecteerd
Gemiddeld
Verdachte activiteit gedetecteerd
Laag
Kleine afwijkingen gedetecteerd
Een korte samenvatting onder de kop biedt extra context. Meldingen van Email Security worden beheerd door de Stoik SOC: aan uw kant is geen actie vereist.
Aanvallerinformatie
De sectie Aanvaller is standaard gesloten; wanneer deze wordt geopend, toont deze informatie over de afzender, zoals:
Naam afzender
Afzenderdomein
E-mailadres afzender
Activiteit
De sectie Activiteit is een chronologische tijdlijn in omgekeerde volgorde van alles wat er met een melding is gebeurd. Elk item bevat de datum en tijd. De meest recente gebeurtenis staat bovenaan.
Afhandeling van de melding
Aanmaak van de melding
Wanneer de e-mail oorspronkelijk werd ontvangen.
Bevestiging van de melding
Wanneer de melding is ingelezen en bevestigd in het Stoik-systeem.
Verwerking van de melding
Wanneer een SOC-analist de melding begon te onderzoeken.
Sluiting van de melding
Wanneer de melding is opgelost en gesloten.
Aanmaak van de melding en Bevestiging van de melding altijd verschijnen. Verwerking van de melding en Sluiting van de melding verschijnen naarmate de melding vordert.
SOC-acties en meldingsupdates
De tijdlijn registreert acties die door de SOC zijn uitgevoerd. Dit omvat het toevoegen van een waarschuwingsbanner en het verplaatsen van een e-mail naar quarantaine.
Het registreert ook meldingsupdates. De geldigheid kan bijvoorbeeld veranderen van Ongedefinieerd naar Waar-positief of Vals-positief.
Signaalcontroles
Drie signaalcontroles verschijnen in de tijdlijn. Elke controle toont een gekleurde stip:
Er is een probleem gevonden
Er is een afwijking gedetecteerd
De controle is geslaagd
Identiteit van afzender
Controleert of de afzender zich voordoet als een bekend contact binnen uw organisatie.
Communicatiegeschiedenis
Controleert of deze afzender eerder met uw organisatie heeft gecommuniceerd.
Reputatie van afzender
Controleert het domein en e-mailadres van de afzender aan de hand van bekende dreigingsdatabases.
E-mailuitwisselingen
De tijdlijn bevat e-mails die zijn uitgewisseld tussen Stoïk en uw organisatie. Deze items laten zien hoe de melding is gecommuniceerd en opgelost.
Analistennotities
Sommige meldingen bevatten analistennotities geschreven door de Stoik SOC. Deze notities bieden extra context over hoe de melding is onderzocht en opgelost.
Niet alle meldingen hebben analistennotities; deze worden toegevoegd wanneer het SOC-team extra context relevant acht.
E-mailinhoud
De sectie E-mailinhoud toont de oorspronkelijke gemarkeerde e-mail rechtstreeks in het zijpaneel, zodat u precies kunt zien wat in de inbox terechtkwam en het oordeel in context kunt begrijpen.
Het bevat:
Afzenders het/de adres(sen) waarvanuit de e-mail is verzonden
Ontvangers het/de postvak(ken) waarnaar de e-mail is verzonden
Onderwerp de onderwerpregel van de e-mail
Verzenddatum wanneer de e-mail werd verzonden
Waarschuwingsbanner wanneer toegevoegd door de Stoik SOC, de banner die bovenaan de e-mail aan eindgebruikers wordt getoond
Tekst de volledige inhoud van de e-mail, met originele opmaak, afbeeldingen en links
Klik op Uitvouwen om de e-mail te openen in een grotere pop-in voor gemakkelijker lezen.
Als de e-mail bijlagen, worden deze vermeld in een aparte Bijlagen sectie hieronder. Stoïk analyseert bijlagen (zoals PDF's) op indicatoren voor phishing en fraude, bijvoorbeeld ingesloten links of IBAN's, maar scant hun inhoud niet op malware. Gedownloade bestanden zijn daarom niet gegarandeerd malwarevrij: bescherming tegen kwaadaardige bestanden is afhankelijk van de beveiligingsoplossing die op uw apparaten is geïnstalleerd.
Gecompromitteerde accounts
Gecompromitteerde accounts zijn postvakken die tekenen vertonen van ongeoorloofde toegang of verdachte activiteit. Ze staan vermeld op het Gecompromitteerde accounts scherm, onder Email Security in de zijbalk.
Elke rij bevat een Gedetecteerde signalen kolom, waarin de signalen achter de melding worden opgesomd, gegroepeerd op type met hun aantal voorkomens (bijv. 3 onmogelijke reizen · 2 afwijkend gedrag).
Klik op een gecompromitteerd account om een volledig scherm met alle details te openen.
Meldingsinformatie
De sectie Informatie toont:
Detectiedatum: wanneer de compromittering werd gedetecteerd
Status: of de melding Open of Gesloten is
Geldigheid: Waar-positief of vals-positief
Beschermde gebruiker: het postvak dat het doelwit was
Acties : Geen, MFA-reset, wachtwoordreset, enz.
Ernst: Laag, Gemiddeld, Hoog of Kritiek
Gebruikersprofiel
Een basislijn van wat normaal is voor deze gebruiker, berekend op basis van de laatste 13 weken van zijn aanmeldactiviteit. Gebruik deze als referentiepunt bij het lezen van de onderstaande tijdlijn.
Gewone locatie
De belangrijkste landen van waaruit deze gebruiker zich aanmeldt (met het aandeel aanmeldingen per land).
Gewoon apparaat
Het besturingssysteem en de browser die de gebruiker doorgaans gebruikt.
Gewoon aanmeldpatroon
Een wekelijkse heatmap die laat zien wanneer de gebruiker normaal actief is.
VPN-gebruik
Hoe vaak deze gebruiker zich via een VPN aanmeldt.
E-mailverkeer
Hoeveel e-mails deze gebruiker gemiddeld per dag verzendt, met zijn historische piek.
Dekking
Het aantal aanmeldingen waarop de basislijn is berekend.
Activiteit
De sectie Activiteit is een chronologische tijdlijn in omgekeerde volgorde van de signalen die de melding hebben geactiveerd en de acties die door de Stoik SOC zijn ondernomen. Gebeurtenissen worden per dag gegroepeerd. Elk item toont de tijd, een pictogram en een korte uitleg.
Gedetecteerde signalen
De tijdlijn toont de signalen die tot de melding hebben geleid:
Onmogelijke reis gedetecteerd — twee aanmeldingen die te ver uit elkaar liggen gezien de tijd ertussen.
Aanmelding vanuit land met hoog risico — aanmelding vanuit een land dat in onze dreigingsdatabase is gemarkeerd.
Aanmelding vanuit ongebruikelijke locatie / netwerk / apparaat / browser — de gebruiker meldde zich aan vanuit een context die hij gewoonlijk niet gebruikt.
Aanmelding op ongebruikelijk tijdstip — aanmelding buiten de normale werktijden van de gebruiker.
Geautomatiseerde toegang gedetecteerd — aanmelding afkomstig van een headless browser of automatiseringstool.
Verdachte app-toegang — toegang vanuit een tool die vaak door aanvallers wordt gebruikt (bijv. Graph Explorer, Azure CLI).
Hoog e-mailvolume gedetecteerd — de gebruiker heeft in 24 uur aanzienlijk meer e-mails verzonden dan gewoonlijk.
Verdachte inboxregel gemaakt — op het postvak is een regel gemaakt die berichten automatisch verwijdert, doorstuurt of verbergt.
Authenticatiemethode toegevoegd of verwijderd — op het account is een MFA-methode gewijzigd.
Aanmelding vanaf bekend kwaadwillig IP — aanmelding vanaf een IP-adres dat in onze dreigingsfeed staat.
VPN gebruikt — aanmelding via VPN bij een gebruiker die daar zelden gebruik van maakt.
Sessie hergebruikt op meerdere apparaten — dezelfde sessie-ID werd gezien vanuit twee verschillende combinaties van besturingssysteem/browser.
Microsoft Entra heeft hoog risico gemarkeerd — Microsoft's eigen identiteitsbeveiliging gaf een waarschuwing.
Mislukte MFA-poging — een MFA-uitdaging is mislukt.
SOC-acties
De Stoik SOC kan de volgende acties ondernemen om een gecompromitteerd account in te dammen:
Wachtwoord opnieuw instellen — forceer een nieuw tijdelijk wachtwoord. De gebruiker moet dit bij de volgende aanmelding wijzigen.
Sessie opnieuw instellen — trek elke actieve aanmeldsessie in. Elk apparaat moet zich opnieuw authenticeren.
Inboxregels verwijderen — verwijder een specifieke postvakregel, zoals een doorstuur- of automatische-verwijderregel.
Toepassingen verwijderen — trek een specifieke toewijzing van een app aan de gebruiker in.
MFA-methode verwijderen — verwijder een specifieke authenticatiemethode.
Apparaat verwijderen — verwijder een apparaat dat de gebruiker bezit of heeft geregistreerd permanent.
Afhandeling van de melding
De tijdlijn volgt ook hoe de melding is afgehandeld:
Aanmaak van de melding
Wanneer de compromittering werd gedetecteerd.
Bevestiging van de melding
Wanneer de melding is ingelezen en bevestigd in het Stoik-systeem.
Verwerking van de melding
Wanneer een SOC-analist de melding begon te onderzoeken.
Sluiting van de melding
Wanneer de melding is opgelost en gesloten.
Aanmaak van de melding en Bevestiging van de melding altijd verschijnen. Verwerking van de melding en Sluiting van de melding verschijnen naarmate de melding vordert.
Analistennotities
Sommige meldingen bevatten analistennotities geschreven door de Stoik SOC. Deze notities bieden extra context over hoe de melding is onderzocht en opgelost.
Niet alle meldingen hebben analistennotities; deze worden toegevoegd wanneer het SOC-team extra context relevant acht.
E-mailuitwisseling
Sommige meldingen bevatten e-mailuitwisselingen die verband houden met de afhandeling van de melding. Indien beschikbaar worden deze communicatieberichten in het zijpaneel weergegeven, zodat u de volledige context krijgt van hoe de melding is gecommuniceerd en opgelost.
Deze sectie verschijnt alleen wanneer er gerelateerde e-mails zijn
Laatst bijgewerkt
Was dit nuttig?