Vue détaillée du centre des menaces émergentes
Le flux du Centre des menaces émergentes fournit une vue détaillée des campagnes, opérations ou rapports sélectionnés. Lorsque vous sélectionnez une menace dans le flux, le système ouvre une page qui combine les informations de Google Threat Intelligence avec les données de votre environnement pour vous aider à analyser l'impact et la couverture des menaces.
Chaque page contient plusieurs panneaux extensibles qui affichent des informations sur les menaces associées, des données de détection et des entités associées. Dans chaque panneau, cliquez sur chevron_forward Flèche à côté du nom de la section pour la développer et afficher plus de détails.
Terminologie clé
Campagne : série coordonnée d'attaques menées par des acteurs malveillants ciblant plusieurs organisations ayant un objectif commun.
Opération : attaque ciblée sur une seule organisation, souvent issue d'enquêtes directes et protégée pour préserver l'identité de la victime.
Vue détaillée des menaces émergentes
La vue détaillée du Centre des menaces émergentes inclut les panneaux suivants :
Règles associées
Le panneau Règles associées liste les règles de détection liées à la campagne sélectionnée et inclut une visualisation de la matrice MITRE ATT&CK qui montre la couverture de vos règles pour des tactiques, techniques et procédures (TTP) spécifiques. Les associations de règles ne s'appliquent qu'aux campagnes, et non aux rapports.
Emerging Threats ingère en permanence des renseignements provenant de Google Threat Intelligence et les aligne sur la télémétrie de votre organisation. Il automatise la découverte, l'enrichissement et la corrélation des campagnes grâce aux processus suivants :
- Ingérer les renseignements sur les campagnes : le système collecte automatiquement les renseignements sur les campagnes ou les opérations à partir de Google Threat Intelligence, qui inclut des données issues de la recherche mondiale, des engagements de réponse aux incidents Mandiant et de la télémétrie Mandiant Managed Defense.
- Générer des événements de journaux simulés : en arrière-plan, Gemini produit des événements de journaux simulés anonymisés et haute fidélité qui reflètent le comportement réel des adversaires.
- Mettre en évidence automatiquement la couverture de détection : le système exécute les événements de journaux simulés par rapport aux règles de détection et aux rapports de couverture organisés par Google Cloud Threat Intelligence (GCTI), qui indiquent où Google SecOps dispose de détections et où il existe des lacunes.
- Accélérer la création de règles : une fois les lacunes identifiées, Gemini rédige automatiquement de nouvelles règles de détection basées sur les modèles testés et fournit un résumé de la logique des règles et du comportement attendu. La dernière étape nécessite un examen et une approbation manuels de ces règles avant de les transférer en production.
Le tableau suivant décrit les colonnes du panneau Règles associées :
| Nom de colonne | Description |
|---|---|
| Nom de la règle | Affiche le titre de la règle et l'ensemble de règles ou la catégorie de détection associés. En cliquant sur le nom de la règle, vous ouvrez la page Detections, qui
affiche les détections produites par cette règle. |
| Tags | Liste les tags ou les libellés de règle appliqués à la règle de détection. |
| Activité au cours des quatre dernières semaines | Affiche l'activité d'alerte ou de détection de la règle au cours des quatre dernières semaines. |
| Dernière détection | Affiche le code temporel de l'alerte la plus récente générée par la règle. |
| Gravité | Indique le niveau de gravité configuré pour les détections générées par la règle donnée. |
| Alertes | Indique si les alertes sont activées ou désactivées pour la règle. |
| État de la diffusion en direct | Indique si la règle est active ou inactive dans votre environnement. |
Si aucune règle n'est associée à la campagne ou à l'opération, le panneau affiche le texte Aucune règle.
Afficher la couverture MITRE ATT&CK
Le panneau Règles associées inclut une matrice de visualisation MITRE ATT&CK qui indique la couverture de vos règles pour des tactiques, techniques et procédures (TTP) spécifiques.
Utilisez les onglets suivants pour modifier la mise en page de la visualisation :
- Fiches : affichez les techniques sous forme de fiches détaillées regroupées par tactique.
- Vue d'ensemble : affichez un résumé condensé de votre couverture.
- Minimap : affichez une grille générale et colorée de votre matrice de couverture.
Filtrer et rechercher dans la matrice
Utilisez les listes suivantes pour filtrer les règles affichées dans la matrice :
- Type de règle : filtrez la matrice par règles "Toutes", "Sélectionnées" ou "Personnalisées".
- État en ligne : filtrez les règles en fonction de leur état de déploiement actuel.
- État des alertes : filtrez les règles en fonction de l'état des alertes (Toutes, Activées ou Désactivées).
Pour trouver des informations spécifiques sur la couverture, utilisez la liste "Rechercher par" pour rechercher la matrice par TTP, Type de journal, Source de données MITRE ou Nom de la règle.
Personnaliser les métriques de la carte de densité
Cliquez sur Afficher les options pour personnaliser les métriques de la carte de densité :
- Afficher les sous-techniques : affiche ou masque les sous-techniques dans la matrice.
- Mode d'agrégation : modifie la façon dont le système calcule les couleurs de la carte thermique :
- Cumulée : affiche la couverture totale pour une technique et ses sous-techniques.
- Moyenne normalisée : affiche la couverture moyenne normalisée pour une technique et ses sous-techniques.
- Point faible : affiche la valeur de couverture la plus faible pour une technique et ses sous-techniques.
Afficher les détails techniques
Cliquez sur une fiche spécifique pour ouvrir un panneau contextuel détaillé. Ce panneau fournit des informations détaillées sur la technique sélectionnée et comprend les sections suivantes :
- Description : explication détaillée de la technique MITRE ATT&CK sélectionnée.
- Sous-techniques : tableau listant les sous-techniques associées et le nombre de règles associées pour chacune d'elles.
- Règles sélectionnées : tableau affichant les règles associées qui correspondent aux filtres que vous avez appliqués. Ce tableau inclut le nom de la règle, son état actuel, l'état des alertes et les TTP spécifiques.
- Types de journaux : tableau listant les types de journaux applicables et les sources de données MITRE correspondantes.
Règles désactivées
Le panneau Règles désactivées liste les règles de détection liées à la campagne ou à l'opération qui ne sont pas activées actuellement, le cas échéant. Cela vous aide à identifier les éventuelles lacunes en termes de couverture des menaces. Les associations de règles pour une campagne ou une opération sont déterminées comme décrit dans Règles associées.
Le tableau suivant décrit les colonnes :
| Nom de colonne | Description |
|---|---|
| Nom de la règle | Indique le nom de la règle désactivée. Cliquez sur le nom de la règle pour ouvrir une vue détaillée qui décrit la logique, la configuration et l'ensemble de règles associé, comme sur la page Curated Detections. |
| Catégorie | Affiche le type ou la catégorie de la règle. |
| Ensemble de règles | Identifie la source de la règle, par exemple Mandiant Frontline Threats, Mandiant Hunt Rules ou Mandiant Intel Emerging Threats. |
| Précision | Indique le type de précision de la règle (Générale ou Précise). |
| Alertes | Indique si les alertes sont activées. |
| Dernière mise à jour | Affiche le code temporel de la dernière modification de la règle. |
Entités associées récentes
Le panneau Entités associées récentes liste les entités de votre environnement qui sont associées à la menace sélectionnée et qui sont potentiellement affectées par celle-ci.
Le panneau liste les entités utilisateur et d'assets qui répondent aux critères suivants :
- Apparu dans les détections au cours des sept derniers jours.
- Apparaît dans les événements liés à un IoC associé à la menace.
- avoir un score de risque attribué ;
Le tableau suivant décrit les colonnes du panneau Entités associées récentes :
| Nom de colonne | Description |
|---|---|
| Nom de l'entité | Affiche le composant ou l'entité associés à une campagne ou une opération. Cliquez sur le nom de l'entité pour ouvrir la page Analyse des risques, qui affiche des informations sur les récentes modifications du score de risque de cette entité et les détections qui y ont contribué. |
| Type d'entité | Indique le type d'entité, par exemple asset ou account (compte) pour un utilisateur. |
| Correspondances IoC | Indique le nombre d'IOC de la campagne ou de l'opération qui correspondent à la télémétrie de votre organisation et qui sont associés à l'entité dans les détections récentes. |
| Score de risque de l'entité | Affiche le score de risque calculé pour l'entité en fonction des correspondances récentes avec des IoC. |
IOC
Le panneau IOC affiche les tableaux suivants :
Correspondances IOC
Le tableau Correspondances d'IOC liste les IOC détectés ou correspondants dans votre environnement pour la campagne ou l'opération sélectionnée.
Le tableau suivant décrit les colonnes :
| Nom de colonne | Description |
|---|---|
| IOC | Affiche le domaine, l'adresse IP, le hachage ou l'URL. Cliquez sur l'IoC pour ouvrir le panneau Entity context, qui fournit des informations supplémentaires sur l'IoC et les endroits où il a été détecté dans votre environnement. |
| Type | Affiche la catégorie de l'IoC, par exemple DOMAIN, IP, FILE (HASH_SHA256) ou URL. |
| Score GTI | Affiche le score de menace attribué par GTI sur une échelle de 0 à 100. |
| Priorité GCTI | Indique le niveau de priorité relative attribué par GCTI. |
| Éléments | Liste les composants de votre environnement impliqués dans les événements correspondant à l'IoC. |
| Associations | Affiche les entités GTI associées à l'indicateur, telles que les acteurs malveillants ou les campagnes. |
| Première occurrence | Indique la date à laquelle l'indicateur a été détecté pour la première fois dans votre environnement. |
| Dernière activité | Affiche la dernière heure à laquelle l'indicateur a été détecté dans votre environnement. |
Lorsque vous cliquez sur un IoC dans le tableau, le panneau de contexte de l'entité s'ouvre pour fournir des informations supplémentaires sur l'indicateur. Pour obtenir des informations générales sur l'examen des attributs d'entité et des alertes, et sur l'exécution d'actions rapides, consultez Utiliser la recherche UDM pour examiner une entité.
Vous pouvez également utiliser le panneau de contexte de l'entité pour examiner les détails suivants sur les menaces avancées :
- État à un moment précis : utilisez le sélecteur de date et d'heure pour afficher les attributs de l'entité exactement tels qu'ils apparaissent à un moment précis.
- Demandes associées : affichez un tableau des demandes associées à l'entité au cours d'une période d'analyse donnée (par exemple, les 30 derniers jours). Ce tableau inclut le nom, l'étape, la priorité et l'état de la demande.
- Renseignement sur les menaces associé : développez les sections du bas pour afficher les données Google Threat Intelligence associées à l'entité. Ces sections incluent :
- Rapports : affichez les rapports sur les menaces associées et leurs dates de publication.
- Campagnes : affichez les campagnes de menaces associées et leur date de création.
- Opérations : affichez les opérations de menace associées et leur date de création.
- Acteurs : identifiez les acteurs malveillants associés et la date de leur activité la plus récente.
- Logiciel malveillant : identifiez les familles de logiciels malveillants associées à l'entité.
IoC associés à GTI
Le tableau des IoC associés à GTI liste les IoC supplémentaires que GTI associe aux campagnes ou opérations. Cliquez sur l'onglet Fichiers, URL, Domaines ou Adresses IP pour afficher les indicateurs spécifiques à cette catégorie.
Le tableau suivant décrit les colonnes :
| Nom de colonne | Description |
|---|---|
| IOC | Affiche le domaine, l'adresse IP, le hachage ou l'URL. |
| Type | Affiche la catégorie de l'IoC, telle que DOMAIN, IP, FILE, HASH_SHA256 ou URL. |
| Score GTI | Affiche le score de menace attribué par GTI sur une échelle de 0 à 100. |
| Acteurs associés | Liste les acteurs malveillants associés à l'IoC.
Vous pouvez cliquer sur le nom d'un acteur pour afficher plus d'informations dans le panneau |
| Logiciel malveillant associé | Liste les familles de logiciels malveillants associées à l'IoC.
Vous pouvez cliquer sur le nom du logiciel malveillant pour afficher plus d'informations dans le panneau |
| Découvert par GTI | Affiche le code temporel de la première fois où GTI a enregistré l'IoC. |
| Dernière mise à jour par GTI | Affiche le code temporel de la dernière mise à jour de l'IoC par GTI. |
Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.