Skip to main content
Skip table of contents

ISO 27001 – Investigations


Intelligent Indexing must be set according to the table below. Please work with LogRhythm Support to set this configuration.

Name

Description

Investigation ID

Control SupportData SourceClassificationsLog Sources
CCF: Account Modification InvThis investigation provides details around account modifications across the environment.7094.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 10.1, 10.2, A.05.7, A.05.10, A.05.15, A.05.16, A.05.17, A.05.18, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.33, A.05.34, A.05.35, A.05.36, A.06.5, A.06.8, A.08.2, A.08.3, A.08.4, A.08.5, A.08.10, A.08.11, A.08.12 A.08.15, A.08.16, A.08.18, A.08.20, A.08.30, A.08.34Platform Manager(s)AuditAll Available Log Sources
CCF: Applications Accessed By User InvThis investigation provides information about user accessed applications.6894.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 10.1, 10.2, A.05.7, A.05.10, A.05.10, A.05.15, A.05.16 A.05.18, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.33, A.05.34, A.05.35, A.05.36, A.06.5, A.06.5, A.06.8, A.08.2, A.08.4, A.08.5, A.08.10, A.08.11, A.08.12, A.08.15, A.08.16, A.08.18, A.08.20, A.08.30, A.08.34Data Processor(s)AuditAll Available Log Sources
CCF: Audit Log InvThis investigation provides details around potential control failures around auditing systems.  This requires the configuration and enablement of the CCF: Audit Logging Stopped Alarm, CCF: Audit Log Cleared Alarm, CCF: Failed Audit Log Write Alarms.7014.1, 4.2, 4.3, 4.4, 8.1, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.10, A.05.14, A.05.15, A.05.16, A.05.17, A.05.18, A.05.22, A.05.23, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.33, A.05.34, A.05.35, A.05.36, A.06.5, A.06.7, A.06.8, A.07.1, A.07.2, A.07.3, A.07.4, A.07.5, A.07.6, A.07.9, A.07.10, A.07.14, A.08.1, A.08.2, A.08.3, A.08.4, A.08.5, A.08.7, A.08.9, A.08.10, A.08.11, A.08.12, A.08.13, A.08.14, A.08.15, A.08.16, A.08.17, A.08.18, A.08.19, A.08.20, A.08.23, A.08.25, A.08.26, A.08.30, A.08.32, A.08.33, A.08.34Platform Manager(s)AuditAll Available Log Sources
CCF: Backup Activity InvThis investigation provides detail around activity from backup events.6884.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.35, A.05.36, A.06.8, A.08.13, A.08.14, A.08.15, A.08.16, A.08.34Data Processor(s)OperationsAll Available Log Sources
CCF: Compromises Detected InvThis investigation provides a summary of detected compromises of security by Entity and Impacted Host.6904.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.35, A.05.36, A.06.8, A.08.7, A.08.14, A.08.15, A.08.16, A.08.23, A.08.34LogMart(s)SecurityAll Available Log Sources
CCF: Config/Policy Change InvThis investigation provides a summary of the occurrence of configuration or policy changes across critical and production environments (entity structure).6754.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 10.1, 10.2, A.05.7, A.05.22, A.05.23, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.35, A.05.36, A.06.8, A.08.9, A.08.15, A.08.16, A.08.25, A.08.26, A.08.30, A.08.32, A.08.34Data Processor(s)AuditAll Available Log Sources
CCF: Critical Environment Error InvThis investigation provides summary details around critical or error messages received from critical servers or systems (entity structure) to support change management procedures.6764.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.22, A.05.23, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.35, A.05.36, A.06.8, A.08.9, A.08.14, A.08.15, A.08.16, A.08.25, A.08.26, A.08.32, A.08.34Platform Manager(s)OperationsAll Available Log Sources
CCF: Deleted Account InvThis investigation provides detailed information when any new accounts are deleted across any logged environments (entity structure).7064.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 10.1, 10.2, A.05.7, A.05.10, A.05.15, A.05.16, A.05.17, A.05.18, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.33, A.05.34, A.05.35, A.05.36, A.06.5, A.06.8, A.08.2, A.08.3, A.08.4, A.08.5, A.08.10, A.08.11, A.08.12, A.08.15, A.08.16, A.08.18, A.08.20, A.08.30, A.08.34Platform Manager(s)AuditAll Available Log Sources
CCF: Denial of Service InvThis investigation provides details of detected denial of service attempts.7074.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.35, A.05.36, A.06.8, A.08.7, A.08.14, A.08.15, A.08.16, A.08.23, A.08.34Data Processor(s)AuditAll Available Log Sources
CCF: Disabled Account InvThis investigation provides detailed information when any new accounts are revoked (disabled) across any logged environments (entity structure).7054.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 10.1, 10.2, A.05.7, A.05.10, A.05.15, A.05.16, A.05.17, A.05.18, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.33, A.05.34, A.05.35, A.05.36, A.06.5, A.06.8, A.08.2, A.08.3, A.08.4, A.08.5, A.08.10, A.08.11, A.08.12, A.08.15, A.08.16, A.08.18, A.08.20, A.08.30, A.08.34Platform Manager(s)AuditAll Available Log Sources
CCF: Enabled Account InvThis investigation provides detailed information when any new accounts are granted (enabled) across any logged environments (entity structure).7044.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 10.1, 10.2, A.05.7, A.05.10, A.05.15, A.05.16, A.05.17, A.05.18, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.33, A.05.34, A.05.35, A.05.36, A.06.5, A.06.8, A.08.2, A.08.3, A.08.4, A.08.5, A.08.10, A.08.11, A.08.12, A.08.15, A.08.16, A.08.18, A.08.20, A.08.30, A.08.34Platform Manager(s)AuditAll Available Log Sources
CCF: Excessive Authentication Failure InvThis investigation provides detailed information around excessive user account authentication failures  (>10 authentication failures in 30 minutes) across any logged environments (entity structure).7084.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 10.1, 10.2, A.05.7, A.05.10, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.35, A.05.36, A.06.5, A.06.8, A.08.15, A.08.16, A.08.30, A.08.34Platform Manager(s)AuditAll Available Log Sources
CCF: GeoIP InvThis report summarizes GeoIP activity that is associated with AI Engine GeoIP rules, in the CCF compliance automation suite.6964.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.10, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.35, A.05.36, A.06.5, A.06.7, A.06.8, A.07.9, A.07.10, A.08.1, A.08.5, A.08.14, A.08.15, A.08.16, A.08.30, A.08.34Platform Manager(s)SecurityAll Available Log Sources
CCF: Host Access Granted And Revoked InvThis investigation details all access granted and revoked for production systems.6914.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.10, A.05.15, A.05.16, A.05.17, A.05.18, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.33, A.05.34, A.05.35, A.05.36, A.06.5, A.06.8, A.07.10, A.08.1, A.08.2, A.08.3, A.08.4, A.08.5, A.08.10, A.08.11, A.08.12, A.08.14, A.08.15, A.08.16, A.08.18, A.08.20, A.08.30, A.08.34Data Processor(s)AuditAll Available Log Sources
CCF: LogRhythm Data Loss Defender Log InvThis investigation provides information on data generated by the LogRhythm Data Loss Defender.  Data is grouped by Entity, Impacted Host, Common Event, and Object with a count of how many times that condition has been experienced within the investigation period.6924.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.10, A.05.14, A.05.16, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.33, A.05.34, A.05.35, A.05.36, A.06.5, A.06.8, A.07.10, A.07.14, A.08.1, A.08.10, A.08.11, A.08.12, A.08.14, A.08.15, A.08.16, A.08.33, A.08.34Data Processor(s)AuditAll Available Log Sources
CCF: Malware Detected InvThis investigation provides a summary of malware activity by entity and impacted host within the organization's critical and production environments (entity structure).6774.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.35, A.05.36, A.06.8, A.08.7, A.08.14, A.08.15, A.08.16, A.08.23, A.08.34Platform Manager(s)SecurityAll Available Log Sources
CCF: Object Access InvThis investigation summarizes object access by Impacted Host.6934.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.10, A.05.15, A.05.18, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.35, A.05.36, A.06.5, A.06.8, A.08.2, A.08.4, A.08.5, A.08.14, A.08.15, A.08.16, A.08.18, A.08.20, A.08.30, A.08.34Data Processor(s)AuditAll Available Log Sources
CCF: Password Modification InvThis investigation provides detail around password modification to accounts within the environment.7024.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 10.1, 10.2, A.05.7, A.05.10, A.05.15, A.05.16, A.05.17, A.05.18, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.33, A.05.34, A.05.35, A.05.36, A.06.5, A.06.8, A.08.2, A.08.3, A.08.4, A.08.5, A.08.10, A.08.11, A.08.12, A.08.15, A.08.16, A.08.18, A.08.20, A.08.30, A.08.34Platform Manager(s)AuditAll Available Log Sources
CCF: Patch Activity InvThis investigation provides a summary of applied patches grouped by Origin Host. It can demonstrate that all system components have the latest security patches installed.6784.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.22, A.05.23, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.35, A.05.36, A.06.8, A.08.9, A.08.14, A.08.15, A.08.16, A.08.25, A.08.26, A.08.30, A.08.32, A.08.34Data Processor(s)SecurityAll Available Log Sources
CCF: Physical Access InvThis investigation summarizes physical door access/authentication success and failures within the organization's physical security perimeter.6794.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 10.1, 10.2, A.05.7, A.05.15, A.05.18, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.35, A.05.36, A.06.8, A.07.1, A.07.2, A.07.3, A.07.4, A.07.5, A.07.6, A.07.10, A.08.1, A.08.2, A.08.4, A.08.5, A.08.15, A.08.16, A.08.18, A.08.20, A.08.34Platform Manager(s)AuditAll Available Log Sources
CCF: Privileged Account Escalation InvThis investigation provides detail around privileged access escalation within a Linux and Windows OS.  This requires configuration and enablement of CCF: Windows RunAs Privilege Escalation & CCF: Linux sudo Privilege Escalation AIE rules.7004.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 10.1, 10.2, A.05.7, A.05.10, A.05.15, A.05.16, A.05.17, A.05.18, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.33, A.05.34, A.05.35, A.05.36, A.06.5, A.06.8, A.08.2, A.08.3, A.08.4, A.08.5, A.08.10, A.08.11, A.08.12, A.08.15, A.08.16, A.08.18, A.08.20, A.08.30, A.08.34Platform Manager(s)SecurityAll Available Log Sources
CCF: Privileged Account Modification InvThis investigation provides details around modifications made to privileged accounts within the environment.  This investigation requires the CCF: Privileged Accounts (user list) to be established and updated periodically.7034.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 10.1, 10.2, A.05.7, A.05.10, A.05.15, A.05.16, A.05.17, A.05.18, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.33, A.05.34, A.05.35, A.05.36, A.06.5, A.06.8, A.08.2, A.08.3, A.08.4, A.08.5, A.08.10, A.08.11, A.08.12, A.08.15, A.08.16, A.08.18, A.08.20, A.08.30, A.08.34Data Processor(s)AuditAll Available Log Sources
CCF: Rogue Access Point InvThis investigation provides a summary of all detected rogue wireless access points by Impacted Host across critical, production, and online banking environments (entity structure).6804.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.10, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.35, A.05.36, A.06.5, A.06.8, A.08.7, A.08.14, A.08.15, A.08.16, A.08.23, A.08.34Platform Manager(s)SecurityAll Available Log Sources
CCF: Signature Activity InvThis investigation provides summary information on signature update activity across critical and production environments (entity structure).6814.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.22, A.05.23, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.35, A.05.36, A.06.8, A.08.9, A.08.14, A.08.15, A.08.16, A.08.25, A.08.26, A.08.30, A.08.32, A.08.34LogMart(s)OperationsAll Available Log Sources
CCF: Social Media InvSummarizes the top URLs related to Social Media activity.6954.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.10, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.35, A.05.36, A.06.5, A.06.8, A.08.4, A.08.14, A.08.15, A.08.16, A.08.34Platform Manager(s)AuditAll Available Log Sources
CCF: Suspected Wireless Attack InvThis investigation provides information on suspected wireless attacks at the internal boundary including the type of attack and impacted (targeted) host and application (if applicable).  This is based on Critical and Production environments (can be defined with entity structure).6824.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.35, A.05.36, A.06.8, A.08.7, A.08.14, A.08.15, A.08.16, A.08.23, A.08.34Platform Manager(s)SecurityAll Available Log Sources
CCF: Suspicious Users InvThis investigation lists all users generating suspicious activity ordered by the number of events detected highest to lowest.6854.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.10, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.35, A.05.36, A.06.5, A.06.8, A.08.14, A.08.15, A.08.16, A.08.30, A.08.34Data Processor(s)SecurityAll Available Log Sources
CCF: Time Sync Error InvThis investigation provides a summary of time sync errors occurring within critical and production environments (can be defined with entity structure).6834.1, 4.2, 4.3, 4.4, 8.1, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.10, A.05.14, A.05.15, A.05.16, A.05.17, A.05.18, A.05.22, A.05.23, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.33, A.05.34, A.05.35, A.05.36, A.06.5, A.06.7, A.06.8, A.07.1, A.07.2, A.07.3, A.07.4, A.07.5, A.07.6, A.07.9, A.07.14, A.08.2, A.08.3, A.08.4, A.08.5, A.08.7, A.08.9, A.08.10, A.08.11, A.08.12, A.08.13, A.08.14, A.08.15, A.08.16, A.08.17, A.08.18, A.08.19, A.08.20, A.08.23, A.08.25, A.08.26, A.08.30, A.08.32, A.08.33, A.08.34Platform Manager(s)OperationsAll Available Log Sources
CCF: Unknown User Account InvThis investigation provides detail of activity from unknown user accounts, based off of CCF user lists.6974.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.10, A.05.15, A.05.16, A.05.17, A.05.18, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.33, A.05.34, A.05.35, A.05.36, A.06.5, A.06.7, A.06.8, A.07.9, A.07.10, A.08.1, A.08.2, A.08.3, A.08.4, A.08.5, A.08.10, A.08.11, A.08.12, A.08.14, A.08.15, A.08.16, A.08.18, A.08.20, A.08.30, A.08.34Data Processor(s)SecurityAll Available Log Sources
CCF: Use Of Non-Encrypted Protocols InvThis investigation lists any use of non-encrypted protocols.6864.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.14, A.05.16, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.33, A.05.34, A.05.35, A.05.36, A.06.8, A.08.10, A.08.11, A.08.12, A.08.14, A.08.15, A.08.16, A.08.33, A.08.34LogMart(s)AuditAll Available Log Sources
CCF: User Misuse InvThis investigation summarizes detected misuse by user.6874.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.10, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.35, A.05.36, A.06.5, A.06.8, A.08.14, A.08.15, A.08.16, A.08.30, A.08.34Platform Manager(s)SecurityAll Available Log Sources
CCF: User Object Access InvThis investigation summarizes successful object access activity by user.6944.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.10, A.05.15, A.05.18, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.35, A.05.36, A.06.5, A.06.8, A.08.2, A.08.4, A.08.5, A.08.14, A.08.15, A.08.16, A.08.18, A.08.20, A.08.30, A.08.34Data Processor(s)AuditAll Available Log Sources
CCF: Vulnerability Detected InvThis investigation provides a summary of potential vulnerabilities detected across the critical and production environments (can be defined with entity structure).6844.1, 4.2, 4.3, 4.4, 8.2, 8.3, 9.1, 9.2.1, 9.2.2, 9.3.1, 9.3.2, 9.3.3, 10.1, 10.2, A.05.7, A.05.22, A.05.24, A.05.25, A.05.26, A.05.27, A.05.28, A.05.29, A.05.30, A.05.35, A.05.36, A.06.8, A.08.7, A.08.14, A.08.15, A.08.16, A.08.23, A.08.34Platform Manager(s)SecurityAll Available Log Sources
JavaScript errors detected

Please note, these errors can depend on your browser setup.

If this problem persists, please contact our support.