תצוגת פרטים במרכז האיומים המתעוררים

נתמך ב:

הפיד של Emerging Threats Center מספק תצוגה מפורטת של קמפיינים, פעולות או דוחות נבחרים. כשבוחרים איום בפיד, המערכת פותחת דף שמשלב מידע מ-Google Threat Intelligence עם נתונים מהסביבה שלכם, כדי לעזור לכם לנתח את ההשפעה של האיום ואת הכיסוי שלו.

כל דף מכיל כמה חלוניות שאפשר להרחיב, שמוצגים בהן נתונים על מודיעין איומים, נתוני זיהוי וישויות משויכות. בכל חלונית, לוחצים על chevron_forward החץ לצד שם הקטע כדי להרחיב אותו ולראות פרטים נוספים.

מונחים חשובים

  • קמפיין: סדרה מתואמת של מתקפות מצד גורמי איום שמטרגטים כמה ארגונים עם יעד משותף.

  • מבצע: התקפה ממוקדת שמכוונת לארגון יחיד, שלרוב נובעת מחקירות ישירות ומוגנת כדי לשמור על פרטיות הזהות של הקורבן.

תצוגה מפורטת של איומים מתעוררים

התצוגה המפורטת של מרכז האיומים המתעוררים כוללת את החלוניות הבאות:

כללים משויכים

בחלונית כללים משויכים מפורטים כללי זיהוי שקשורים לקמפיין שנבחר, ומוצגת בה ויזואליזציה של מטריצת MITRE ATT&CK שמראה את הכיסוי של הכללים שלכם לטקטיקות, לטכניקות ולנהלים (TTP) ספציפיים. שיוך כללים רלוונטי רק לקמפיינים, ולא לדוחות.

התכונה Emerging Threats (איומים מתפתחים) מקבלת באופן רציף מודיעין מ-Google Threat Intelligence (מודיעין איומים של Google) ומתאימה אותו לטלמטריה של הארגון. הוא מבצע אוטומציה של גילוי קמפיינים, העשרה ומתאם באמצעות התהליכים הבאים:

  1. קליטת נתונים על קמפיינים: המערכת אוספת באופן אוטומטי נתונים על קמפיינים או על פעולות מ-Google Threat Intelligence, כולל נתונים ממחקר גלובלי, ממעורבות בתגובה לאירועים של Mandiant ומטלמטריה של Mandiant Managed Defense.
  2. יצירת אירועים מסימולציות של יומנים: ברקע, Gemini יוצר סימולציות של אירועים ביומנים באיכות גבוהה ובאופן אנונימי, שמשקפים התנהגות אמיתית של גורמים עוינים.
  3. הדגשה אוטומטית של כיסוי הזיהוי: המערכת מריצה את האירועים המדומים ביומן בהתאם לכללי הזיהוי שנאספו ולדוחות הכיסוי של Google Cloud Threat Intelligence (GCTI)‎, שמציגים את המקומות שבהם Google SecOps מזהה איומים ואת הפערים שקיימים.
  4. יצירת כללים מהירה יותר: אחרי ש-Gemini מזהה פערים, הוא יוצר באופן אוטומטי טיוטות של כללי זיהוי חדשים על סמך הדפוסים שנבדקו, ומספק סיכום של לוגיקת הכלל וההתנהגות הצפויה. בשלב האחרון נדרשת בדיקה אנושית ואישור של הכללים האלה לפני שמעבירים אותם לסביבת הייצור.

בטבלה הבאה מתוארות העמודות בחלונית כללים משויכים:

שם העמודה תיאור
שם הכלל מוצג שם הכלל וקבוצת הכללים או קטגוריית הזיהוי שמשויכים אליו.
לחיצה על שם הכלל פותחת את הדף Detections, שבו מוצגים הזיהויים שהופקו על ידי הכלל הזה.
תגים רשימת תגי הכללים או התוויות שהוחלו על כלל הזיהוי.
פעילות מ-4 השבועות האחרונים מוצגת פעילות של התראות או של זיהויים שקשורים לכלל במהלך ארבעת השבועות האחרונים.
הזיהוי האחרון חותמת הזמן של ההתראה האחרונה שנוצרה על ידי הכלל.
חוּמרה מציין את רמת החומרה שהוגדרה לזיהויים שנוצרו על ידי הכלל הנתון.
שליחת התראות המדיניות הזו קובעת אם ההתראות מופעלות או מושבתות עבור הכלל.
סטטוס בזמן אמת העמודה הזו מראה אם הכלל פעיל או לא פעיל בסביבה שלכם.

אם אין כללים שמשויכים לקמפיין או לפעולה, בחלונית מוצג הטקסט No rules.

צפייה בכיסוי של MITRE ATT&CK

החלונית Associated Rules כוללת מטריצת ויזואליזציה של MITRE ATT&CK שמציגה את הכיסוי של הכללים שלכם לטקטיקות, לטכניקות ולנהלים (TTP) ספציפיים.

כדי לשנות את פריסת התצוגה החזותית, משתמשים בכרטיסיות הבאות:

  • כרטיסים: הצגת טכניקות ככרטיסים מפורטים שמקובצים לפי טקטיקה.
  • סקירה כללית: סיכום דחוס של הכיסוי.
  • מפה קטנה: תצוגה של רשת ברמה גבוהה עם קידוד צבעים של מטריצת הכיסוי.

סינון וחיפוש במטריצה

אפשר להשתמש ברשימות הבאות כדי לסנן את הכללים שמוצגים במטריצה:

  • סוג הכלל: מסננים את המטריצה לפי כללים, כללים שנבחרו או כללים מותאמים אישית.
  • סטטוס פעיל: סינון לפי סטטוס הפריסה הנוכחי של הכללים.
  • סטטוס ההתראות: סינון כללים לפי סטטוס ההתראות: הכול, מופעל או מושבת.

כדי למצוא מידע ספציפי על הכיסוי, משתמשים באפשרות 'חיפוש לפי רשימה' כדי לחפש במטריצה לפי TTP,‏ Log Type,‏ MITRE Data Source או Rule Name.

התאמה אישית של מדדים במפת חום

לוחצים על אפשרויות תצוגה כדי להתאים אישית את המדדים של מפת החום:

  • הצגת טכניקות משנה: הצגה או הסתרה של טכניקות משנה במטריצה.
  • מצב צבירה: משנה את האופן שבו המערכת מחשבת את הצבעים במפת החום:
    • מצטבר: מוצג הכיסוי הכולל של טכניקה ושל טכניקות המשנה שלה.
    • ממוצע מנורמל: מציג את הכיסוי הממוצע המנורמל של טכניקה ושל טכניקות המשנה שלה.
    • החוליה החלשה: מוצג ערך הכיסוי הנמוך ביותר לטכניקה ולטכניקות המשנה שלה.

הצגת פרטי הטכניקה

לוחצים על כרטיס ספציפי כדי לפתוח חלונית הקשר מפורטת. בחלונית הזו מוצגים פרטים מעמיקים על הטכניקה שנבחרה, והיא כוללת את הקטעים הבאים:

  • תיאור: הסבר מפורט על טכניקת MITRE ATT&CK שנבחרה.
  • Subtechniques: טבלה עם רשימה של טכניקות משנה קשורות ומספר הכללים שמשויכים לכל אחת מהן.
  • כללים שנבחרו בקפידה: טבלה שבה מוצגים הכללים המשויכים שתואמים למסננים שהוחלו. הטבלה הזו כוללת את שם הכלל, הסטטוס הפעיל, סטטוס ההתראה ו-TTP ספציפי.
  • סוגי יומנים: טבלה עם רשימה של סוגי היומנים הרלוונטיים ומקורות הנתונים התואמים של MITRE.

כללים מושבתים

בחלונית כללים מושבתים מופיעים כללים לזיהוי שקשורים לקמפיין או לפעולה, ושלא מופעלים כרגע, אם יש כאלה. כך תוכלו לזהות פערים פוטנציאליים בכיסוי האיומים. השיוכים של כללים לקמפיין או לפעולה נקבעים כמו שמתואר בקטע כללים משויכים.

הטבלה הבאה מתארת את העמודות:

שם העמודה תיאור
שם הכלל השם של הכלל שהושבת.
לוחצים על שם הכלל כדי לפתוח תצוגה מפורטת שמתארת את הלוגיקה, ההגדרה ואת קבוצת הכללים המשויכת של הכלל, בדומה לתצוגה בדף Curated Detections.
קטגוריה הסוג או הקטגוריה של הכלל.
קבוצת כללים מזהה את מקור הכלל, למשל Mandiant Frontline Threats,‏ Mandiant Hunt Rules או Mandiant Intel Emerging Threats.
דיוק מציין את רמת הדיוק של הכלל (רחבה או מדויקת).
שליחת התראות מראה אם ההתראות מופעלות.
עדכון אחרון חותמת הזמן שבה הכלל השתנה לאחרונה.

ישויות משויכות שהיו בשימוש לאחרונה

בחלונית Recent Associated Entities מופיעה רשימה של ישויות מהסביבה שלכם שמקושרות לאיום שנבחר ואולי הושפעו ממנו.

בחלונית מוצגים משתמשים וישויות של נכסים שעומדים בקריטריונים הבאים:

  • הופיעו בזיהויים ב-7 הימים האחרונים.
  • הופיע באירועים שמקושרים לאינדיקטור של פשרה שמשויך לאיום.
  • יש להם ציון סיכון שהוקצה להם.

בטבלה הבאה מתוארות העמודות בחלונית Recent Associated Entities (ישויות משויכות אחרונות):

שם העמודה תיאור
שם הישות הנכס או הישות שמשויכים לקמפיין או לפעולה.

לוחצים על שם הישות כדי לפתוח את הדף Risk Analytics, שבו מוצגים פרטים על השינויים האחרונים בציון הסיכון של הישות ועל הגילויים שתרמו לציון הזה.
סוג ישות מציין את סוג הישות, כמו נכס או חשבון משתמש.
התאמות ל-IOC מציג את מספר ה-IoC מהקמפיין או מהפעולה שתואמים לטלמטריה של הארגון ומשויכים לישות בזיהויים האחרונים.
ציון הסיכון של הישות מוצג בו ציון הסיכון המחושב של הישות על סמך התאמות אחרונות של IoC.

IOCs

בלוח IOCs מוצגות הטבלאות הבאות:

התאמות ל-IOC

בטבלה התאמות של IOC מפורטים ה-IOC שזוהו או התאימו בסביבה שלכם לקמפיין או לפעולה שנבחרו.

הטבלה הבאה מתארת את העמודות:

שם העמודה תיאור
IOC הצגת הדומיין, כתובת ה-IP, הגיבוב או כתובת ה-URL.
לחיצה על ה-IoC פותחת את החלונית Entity context, שבה מופיע מידע נוסף על ה-IoC ואיפה הוא נצפה בסביבה שלכם.
סוג הקטגוריה של ה-IoC, למשל DOMAIN,‏ IP,‏ FILE (HASH_SHA256) או URL.
ציון GTI הציון שמוקצה על ידי GTI בסולם של 0 עד 100.
עדיפות GCTI מציין את רמת העדיפות היחסית שהוקצתה על ידי GCTI.
נכסים רשימת הנכסים בסביבה שלכם שקשורים לאירועים שתואמים ל-IoC.
שיוכים הצגת ישויות GTI קשורות עבור האינדיקטור, כמו גורמי איום או קמפיינים.
הוצגה לראשונה התאריך שבו האינדיקטור זוהה לראשונה בסביבה שלכם.
התחברת לאחרונה השדה הזה מציג את הפעם האחרונה שבה זוהה האינדיקטור בסביבה שלכם.

כשלוחצים על IoC בטבלה, נפתחת חלונית ההקשר של הישות עם מידע נוסף על האינדיקטור. מידע כללי על בדיקת מאפייני ישויות, התראות וביצוע פעולות מהירות זמין במאמר שימוש ב-UDM Search כדי לחקור ישות.

אפשר גם להשתמש בחלונית ההקשר של הישות כדי לבדוק את הפרטים המתקדמים הבאים של האיום:

  • מצב בנקודת זמן מסוימת: אפשר להשתמש בכלי לבחירת תאריך ושעה כדי לראות את המאפיינים של הישות בדיוק כפי שהם מופיעים בנקודת זמן מסוימת.
  • בקשות תמיכה קשורות: בטבלה מוצגות בקשות תמיכה שקשורות לישות בטווח זמן מוגדר (לדוגמה, 30 הימים האחרונים). הטבלה הזו כוללת את שם הפנייה, השלב, העדיפות והסטטוס.
  • מודיעין איומי סייבר שמשויך לישות: אפשר להרחיב את הקטעים התחתונים כדי לראות נתונים קשורים של Google Threat Intelligence שמקושרים לישות. הקטעים האלה כוללים:
    • דוחות: צפייה בדוחות קשורים על איומים ובתאריכי הפרסום שלהם.
    • קמפיינים: צפייה בקמפיינים משויכים של איומים ובמועד היצירה שלהם.
    • פעולות: צפייה בפעולות שקשורות לאיומים ובמועד שבו הן נוצרו.
    • שחקנים: זיהוי של שחקני איומים מחוברים ותאריך הפעילות האחרונה שלהם.
    • תוכנות זדוניות: זיהוי משפחות של תוכנות זדוניות שמקושרות לישות.

אינדיקטורים של פשרה (IOC) שמשויכים ל-GTI

בטבלה 'אינדיקטורים של פשרות (IOC) שמשויכים ל-GTI' מפורטים אינדיקטורים נוספים של פשרות ש-GTI משייך לקמפיינים או לפעולות. לוחצים על הכרטיסייה Files (קבצים), URLs (כתובות URL), Domains (דומיינים) או IPs (כתובות IP) כדי להציג את האינדיקטורים הספציפיים של הקטגוריה הזו.

הטבלה הבאה מתארת את העמודות:

שם העמודה תיאור
IOC הצגת הדומיין, כתובת ה-IP, הגיבוב או כתובת ה-URL.
סוג הקטגוריה של ה-IoC, כמו DOMAIN,‏ IP,‏ FILE,‏ HASH_SHA256 או URL.
ציון GTI הציון שמוקצה על ידי GTI בסולם של 0 עד 100.
שחקנים משויכים רשימה של גורמים מאיימים שמחוברים ל-IoC.

כדי לראות מידע נוסף, אפשר ללחוץ על שם השחקן בחלונית Actor Details. מידע נוסף זמין במאמר בנושא צפייה בשחקנים ובתוכנות זדוניות משויכים.
תוכנות זדוניות משויכות רשימה של משפחות תוכנות זדוניות שמקושרות ל-IoC.

כדי לראות מידע נוסף בחלונית Malware Details, אפשר ללחוץ על שם התוכנה הזדונית. מידע נוסף זמין במאמר בנושא צפייה בשחקנים ובתוכנות זדוניות שמשויכים לתוצאות.
זוהה GTI חותמת הזמן שבה GTI תיעד לראשונה את ה-IoC.
העדכון האחרון של GTI חותמת הזמן שבה GTI עדכן לאחרונה את ה-IoC.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.