Detailansicht des Emerging Threats Center
Der Feed Emerging Threats Center bietet eine detaillierte Ansicht ausgewählter Kampagnen, Vorgänge oder Berichte. Wenn Sie eine Bedrohung im Feed auswählen, wird eine Seite geöffnet, auf der Informationen aus Google Threat Intelligence mit Daten aus Ihrer Umgebung kombiniert werden. So können Sie die Auswirkungen und die Abdeckung von Bedrohungen analysieren.
Jede Seite enthält mehrere aufklappbare Bereiche mit zugehörigen Informationen zu Bedrohungen, Erkennungsdaten und zugehörigen Entitäten. Klicken Sie in jedem Bereich neben dem Abschnittsnamen auf chevron_forward Pfeil, um ihn zu maximieren und weitere Details aufzurufen.
Schlüsselterminologie
Kampagne: Eine koordinierte Reihe von Angriffen durch Bedrohungsakteure, die auf mehrere Organisationen mit einem gemeinsamen Ziel ausgerichtet sind.
Operation: Ein gezielter Angriff auf eine einzelne Organisation, der häufig auf direkten Ermittlungen basiert und geschützt wird, um die Identität des Opfers geheim zu halten.
Detaillierte Ansicht von „Aufkommende Bedrohungen“
Die Detailansicht des Emerging Threats Center enthält die folgenden Bereiche:
Zugehörige Regeln
Im Bereich Zugehörige Regeln werden Erkennungsregeln für die ausgewählte Kampagne aufgeführt. Außerdem ist eine Visualisierung der MITRE ATT&CK-Matrix enthalten, in der die Regelabdeckung für bestimmte Taktiken, Techniken und Verfahren (Tactics, Techniques, and Procedures, TTPs) dargestellt wird. Regelzuordnungen gelten nur für Kampagnen, nicht für Berichte.
Emerging Threats bezieht kontinuierlich Informationen aus Google Threat Intelligence und gleicht sie mit den Telemetriedaten Ihrer Organisation ab. Die Lösung automatisiert die Kampagnenerkennung, -anreicherung und ‑korrelation durch die folgenden Prozesse:
- Kampagneninformationen aufnehmen: Das System erfasst automatisch Kampagnen- oder Einsatzinformationen aus Google Threat Intelligence, einschließlich Daten aus globalen Recherchen, Mandiant-Incident-Response-Einsätzen und Mandiant Managed Defense-Telemetrie.
- Simulierte Log-Ereignisse generieren: Im Hintergrund generiert Gemini anonymisierte simulierte Log-Ereignisse, die dem Verhalten echter Angreifer entsprechen.
- Erkennungsabdeckung automatisch hervorheben: Das System führt die simulierten Log-Ereignisse anhand der von Google Cloud Threat Intelligence (GCTI) kuratierten Erkennungsregeln und Abdeckungsberichte aus, die zeigen, wo Google SecOps Erkennungen hat und wo Lücken bestehen.
- Regelerstellung beschleunigen: Sobald Lücken erkannt werden, entwirft Gemini automatisch neue Erkennungsregeln basierend auf den getesteten Mustern und bietet eine Zusammenfassung der Regellogik und des erwarteten Verhaltens. Im letzten Schritt müssen diese Regeln manuell überprüft und genehmigt werden, bevor sie in die Produktion überführt werden.
In der folgenden Tabelle werden die Spalten im Bereich Zugeordnete Regeln beschrieben:
| Spaltenname | Beschreibung |
|---|---|
| Regelname | Hier werden der Titel der Regel und der zugehörige Regelsatz oder die zugehörige Erkennungskategorie angezeigt. Wenn Sie auf den Namen der Regel klicken, wird die Seite Detections geöffnet, auf der die von dieser Regel erstellten Erkennungen angezeigt werden. |
| Tags | Listet Regel-Tags oder Labels auf, die auf die Erkennungsregel angewendet werden. |
| Aktivitäten der letzten 4 Wochen | Hier sehen Sie Benachrichtigungs- oder Erkennungsaktivitäten für die Regel in den letzten vier Wochen. |
| Letzte Erkennung | Zeigt den Zeitstempel der letzten Benachrichtigung an, die von der Regel generiert wurde. |
| Schweregrad | Gibt den Schweregrad an, der für die von der angegebenen Regel generierten Erkennungen konfiguriert ist. |
| Benachrichtigungen | Gibt an, ob Benachrichtigungen für die Regel aktiviert oder deaktiviert sind. |
| Live status | Gibt an, ob die Regel in Ihrer Umgebung aktiv oder inaktiv ist. |
Wenn der Kampagne oder dem Vorgang keine Regeln zugeordnet sind, wird im Bereich der Text Keine Regeln angezeigt.
MITRE ATT&CK-Abdeckung ansehen
Der Bereich Zugehörige Regeln enthält eine MITRE ATT&CK-Visualisierungsmatrix, in der die Regelabdeckung für bestimmte Taktiken, Techniken und Verfahren (Tactics, Techniques, and Procedures, TTPs) dargestellt wird.
Über die folgenden Tabs können Sie das Layout der Visualisierung ändern:
- Karten: Hier werden Techniken als detaillierte Karten nach Taktik gruppiert angezeigt.
- Übersicht: Hier finden Sie eine komprimierte Zusammenfassung Ihrer Abdeckung.
- Minimap: Hier sehen Sie ein allgemeines, farbcodiertes Raster Ihrer Abdeckungsmatrix.
Matrix filtern und durchsuchen
Verwenden Sie die folgenden Listen, um die in der Matrix angezeigten Regeln zu filtern:
- Regeltyp: Filtern Sie die Matrix nach „Alle“, „Kuratiert“ oder „Benutzerdefiniert“.
- Livestatus: Filtern Sie nach dem aktuellen Bereitstellungsstatus der Regeln.
- Benachrichtigungsstatus: Regeln nach dem Benachrichtigungsstatus Alle, Ein oder Aus filtern.
Wenn Sie bestimmte Informationen zur Abdeckung suchen möchten, verwenden Sie die Liste „Suchen nach“, um die Matrix nach TTP, Log Type, MITRE Data Source oder Rule Name zu durchsuchen.
Heatmap-Messwerte anpassen
Klicken Sie auf Ansichtsoptionen, um die Heatmap-Messwerte anzupassen:
- Untertechniken anzeigen: Blendet Untertechniken in der Matrix ein oder aus.
- Aggregationsmodus: Ändert die Berechnung der Heatmap-Farben durch das System:
- Kumulativ: Hier wird die Gesamtabdeckung für eine Technik und ihre Untertechniken angezeigt.
- Normalisierter Durchschnitt: Hier wird die normalisierte durchschnittliche Abdeckung für eine Technik und ihre Untertechniken angezeigt.
- Weakest Link (Schwachstelle): Hier wird der niedrigste Abdeckungswert für eine Technik und ihre Untertechniken angezeigt.
Technikdetails ansehen
Klicken Sie auf eine bestimmte Karte, um einen detaillierten Kontextbereich zu öffnen. Dieser Bereich enthält detaillierte Informationen zur ausgewählten Technik und die folgenden Abschnitte:
- Beschreibung: Eine detaillierte Beschreibung der ausgewählten MITRE-ATT&CK-Technik.
- Untertechniken: Eine Tabelle mit den zugehörigen Untertechniken und der Anzahl der zugehörigen Regeln für jede Untertechnik.
- Kuratierte Regeln: Eine Tabelle mit den zugehörigen Regeln, die Ihren angewendeten Filtern entsprechen. Diese Tabelle enthält den Regelnamen, den Livestatus, den Benachrichtigungsstatus und die spezifische TTP.
- Logtypen: Eine Tabelle mit den anwendbaren Logtypen und den entsprechenden MITRE-Datenquellen.
Deaktivierte Regeln
Im Bereich Deaktivierte Regeln werden alle Erkennungsregeln für die Kampagne oder den Vorgang aufgeführt, die derzeit nicht aktiviert sind. So können Sie potenzielle Lücken bei der Abdeckung von Bedrohungen erkennen. Regelzuordnungen für eine Kampagne oder einen Vorgang werden wie unter Zugeordnete Regeln beschrieben bestimmt.
In der folgenden Tabelle werden die Spalten beschrieben:
| Spaltenname | Beschreibung |
|---|---|
| Regelname | Zeigt den Namen der deaktivierten Regel an. Klicken Sie auf den Namen der Regel, um eine detaillierte Ansicht zu öffnen, in der die Logik, Konfiguration und der zugehörige Regelsatz der Regel beschrieben werden. Diese Ansicht ähnelt der auf der Seite Curated Detections. |
| Kategorie | Zeigt den Regeltyp oder die Regelkategorie an. |
| Regelsatz | Gibt die Regelquelle an, z. B. Mandiant Frontline Threats, Mandiant Hunt Rules oder Mandiant Intel Emerging Threats. |
| Precision | Gibt den Typ der Regelgenauigkeit an (Allgemein oder Exakt). |
| Benachrichtigungen | Gibt an, ob Benachrichtigungen aktiviert sind. |
| Zuletzt aktualisiert | Zeigt den Zeitstempel der letzten Änderung der Regel an. |
Letzte verknüpfte Entitäten
Im Bereich Zuletzt verknüpfte Entitäten werden Entitäten aus Ihrer Umgebung aufgeführt, die mit der ausgewählten Bedrohung verknüpft sind und möglicherweise davon betroffen sind.
Im Bereich werden Nutzer- und Asset-Entitäten aufgeführt, die die folgenden Kriterien erfüllen:
- In den letzten sieben Tagen in Erkennungen aufgetreten.
- In Ereignissen, die mit einem IoC verknüpft sind, das mit der Bedrohung in Verbindung steht.
- Einen zugewiesenen Risikowert haben.
In der folgenden Tabelle werden die Spalten im Bereich Zuletzt verknüpfte Rechtssubjekte beschrieben:
| Spaltenname | Beschreibung |
|---|---|
| Entitätsname | Zeigt das Asset oder die Einheit an, die mit einer Kampagne oder einem Vorgang verknüpft ist. Klicken Sie auf den Namen der Einheit, um die Seite Risikoanalyse zu öffnen. Dort finden Sie Details zu den letzten Änderungen des Risikowerts dieser Einheit und zu den erkannten Bedrohungen, die dazu beigetragen haben. |
| Entitätstyp | Gibt den Typ der Entität an, z. B. Asset oder Nutzerkonto. |
| IOC-Übereinstimmungen | Hier sehen Sie die Anzahl der IoCs aus der Kampagne oder dem Vorgang, die mit der Telemetrie Ihrer Organisation übereinstimmen und mit der Einheit in den letzten Erkennungen verknüpft sind. |
| Risikobewertung für Entitäten | Zeigt die berechnete Risikobewertung für die Entität basierend auf den letzten IOC-Übereinstimmungen an. |
IOCs
Im Bereich IOCs werden die folgenden Tabellen angezeigt:
IOC-Übereinstimmungen
In der Tabelle IOC Matches (IOC-Übereinstimmungen) werden IOCs aufgeführt, die in Ihrer Umgebung für die ausgewählte Kampagne oder Operation erkannt oder abgeglichen wurden.
In der folgenden Tabelle werden die Spalten beschrieben:
| Spaltenname | Beschreibung |
|---|---|
| IOC | Hier werden die Domain, IP-Adresse, der Hash oder die URL angezeigt. Wenn Sie auf den IoC klicken, wird der Bereich Entity context geöffnet. Dort finden Sie weitere Informationen zum IoC und dazu, wo er in Ihrer Umgebung zu sehen war. |
| Typ | Zeigt die IoC-Kategorie an, z. B. DOMAIN, IP, FILE (HASH_SHA256) oder URL. |
| GTI-Score | Zeigt die von GTI zugewiesene Bedrohungsbewertung auf einer Skala von 0 bis 100. |
| GCTI-Priorität | Gibt die von GCTI zugewiesene relative Prioritätsstufe an. |
| Assets | Listet Assets in Ihrer Umgebung auf, die an Ereignissen beteiligt sind, die mit dem IoC übereinstimmen. |
| Verknüpfungen | Zeigt zugehörige GTI-Entitäten für den Indikator an, z. B. Hacker oder Kampagnen. |
| Zuerst aufgetreten | Gibt an, wann der Indikator zum ersten Mal in Ihrer Umgebung erkannt wurde. |
| Zuletzt erfasst | Zeigt den Zeitpunkt an, zu dem der Indikator zuletzt in Ihrer Umgebung erkannt wurde. |
Wenn Sie in der Tabelle auf einen IoC klicken, wird der Bereich „Entitätskontext“ geöffnet, in dem zusätzliche Informationen zum Indikator angezeigt werden. Allgemeine Informationen zum Überprüfen von Attributen und Benachrichtigungen von Entitäten sowie zum Ergreifen schneller Maßnahmen finden Sie unter UDM Search zum Untersuchen einer Entität verwenden.
Im Bereich „Entitätskontext“ können Sie auch die folgenden erweiterten Details zu Bedrohungen ansehen:
- Status zu einem bestimmten Zeitpunkt: Mit der Datums- und Uhrzeitauswahl können Sie sich die Attribute der Entität genau so ansehen, wie sie zu einem bestimmten Zeitpunkt angezeigt werden.
- Zugehörige Anfragen: Hier sehen Sie eine Tabelle mit Anfragen, die sich auf die Einheit beziehen und in einem bestimmten Rückblickzeitraum (z. B. in den letzten 30 Tagen) eingegangen sind. Diese Tabelle enthält den Namen des Falls, die Phase, die Priorität und den Status.
- Zugehörige Threat Intelligence-Daten: Maximieren Sie die unteren Abschnitte, um verknüpfte Google Threat Intelligence-Daten für die Einheit aufzurufen. Dazu gehören:
- Berichte: Hier können Sie zugehörige Berichte zu Sicherheitsrisiken und deren Veröffentlichungsdatum ansehen.
- Kampagnen: Hier sehen Sie die zugehörigen Bedrohungskampagnen und wann sie erstellt wurden.
- Vorgänge: Hier sehen Sie die zugehörigen Bedrohungsvorgänge und wann sie erstellt wurden.
- Akteure: Identifizieren Sie verbundene Angreifer und das Datum ihrer letzten Aktivität.
- Malware: Identifizieren Sie Malware-Familien, die mit der Einheit verknüpft sind.
Mit GTI verknüpfte IOCs
In der Tabelle „GTI-associated IOCs“ (Mit GTI verknüpfte IOCs) sind zusätzliche IOCs aufgeführt, die GTI den Kampagnen oder Vorgängen zuordnet. Klicken Sie auf den Tab Dateien, URLs, Domains oder IPs, um die spezifischen Indikatoren für die jeweilige Kategorie aufzurufen.
In der folgenden Tabelle werden die Spalten beschrieben:
| Spaltenname | Beschreibung |
|---|---|
| IOC | Hier werden die Domain, IP-Adresse, der Hash oder die URL angezeigt. |
| Typ | Zeigt die IoC-Kategorie an, z. B. DOMAIN, IP, FILE, HASH_SHA256 oder URL. |
| GTI-Score | Zeigt den von GTI zugewiesenen Bedrohungs-Score auf einer Skala von 0 bis 100. |
| Weitere Angreifer | Listet die mit dem IoC verknüpften Bedrohungsakteure auf.
Sie können auf den Namen eines Akteurs klicken, um weitere Informationen im |
| Zugehörige Malware | Hier werden die mit dem IoC verknüpften Malware-Familien aufgeführt.
Sie können auf den Namen der Malware klicken, um weitere Informationen im |
| Von Google Threat Intelligence erkannt | Zeigt den Zeitstempel an, zu dem GTI das IoC zum ersten Mal aufgezeichnet hat. |
| Letzte Aktualisierung in Google Threat Intelligence | Zeigt den Zeitstempel an, der angibt, wann der IoC zuletzt von GTI aktualisiert wurde. |
Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten