Tampilan detail Emerging Threats Center
Feed Pusat Ancaman Baru memberikan tampilan mendetail tentang kampanye, operasi, atau laporan yang dipilih. Saat Anda memilih ancaman dalam feed, sistem akan membuka halaman yang menggabungkan informasi dari Google Threat Intelligence dengan data dari lingkungan Anda untuk membantu Anda menganalisis dampak dan cakupan ancaman.
Setiap halaman berisi beberapa panel yang dapat diluaskan yang menampilkan intelijen ancaman, data deteksi, dan entitas terkait. Di setiap panel, klik chevron_forward Panah berikutnya di samping nama bagian untuk meluaskannya dan melihat detail selengkapnya.
Terminologi utama
Kampanye: Serangkaian serangan terkoordinasi oleh pelaku ancaman yang menargetkan beberapa organisasi dengan tujuan yang sama.
Operasi: Serangan terfokus yang menargetkan satu organisasi, sering kali berasal dari penyelidikan langsung dan dilindungi untuk menjaga privasi identitas korban.
Tampilan detail Ancaman Baru
Tampilan mendetail Pusat Ancaman Baru mencakup panel berikut:
Aturan Terkait
Panel Aturan Terkait mencantumkan aturan deteksi yang terkait dengan kampanye yang dipilih dan menyertakan visualisasi matriks MITRE ATT&CK yang menunjukkan cakupan aturan Anda untuk taktik, teknik, dan prosedur (TTP) tertentu. Asosiasi aturan hanya berlaku untuk kampanye, bukan untuk laporan.
Emerging Threats terus-menerus menyerap informasi dari Google Threat Intelligence dan menyelaraskannya dengan telemetri organisasi Anda. Solusi ini mengotomatiskan penemuan kampanye, pengayaan, dan korelasi melalui proses berikut:
- Menyerap kecerdasan kampanye: Sistem secara otomatis mengumpulkan kecerdasan kampanye atau operasi dari Google Threat Intelligence, yang mencakup data dari riset global, interaksi respons insiden Mandiant, dan telemetri Mandiant Managed Defense.
- Membuat peristiwa log simulasi: Di latar belakang, Gemini membuat peristiwa log simulasi anonim dengan fidelitas tinggi yang mencerminkan perilaku penyerang yang sebenarnya.
- Menyoroti cakupan deteksi secara otomatis: Sistem menjalankan peristiwa log yang disimulasikan terhadap aturan deteksi dan laporan cakupan yang dikurasi Google Cloud Threat Intelligence (GCTI) yang menunjukkan tempat Google SecOps melakukan deteksi dan tempat terdapat kesenjangan.
- Mempercepat pembuatan aturan: Setelah celah diidentifikasi, Gemini akan otomatis membuat draf aturan deteksi baru berdasarkan pola yang diuji dan memberikan ringkasan logika aturan dan perilaku yang diharapkan. Langkah terakhir memerlukan peninjauan dan persetujuan manusia terhadap aturan ini sebelum memindahkannya ke produksi.
Tabel berikut menjelaskan kolom di panel Aturan Terkait:
| Nama kolom | Deskripsi |
|---|---|
| Nama aturan | Menampilkan judul aturan dan kumpulan aturan atau kategori deteksi terkait. Mengklik nama aturan akan membuka halaman Detections, yang
menampilkan deteksi yang dihasilkan oleh aturan ini. |
| Tag | Mencantumkan tag atau label aturan yang diterapkan ke aturan deteksi. |
| Aktivitas 4 minggu terakhir | Menampilkan aktivitas deteksi atau pemberitahuan untuk aturan selama empat minggu terakhir. |
| Deteksi terakhir | Menampilkan stempel waktu notifikasi terbaru yang dihasilkan oleh aturan. |
| Keparahan | Menunjukkan tingkat keparahan yang dikonfigurasi untuk deteksi yang dihasilkan oleh aturan tertentu. |
| Pemberitahuan | Menentukan apakah pemberitahuan diaktifkan atau dinonaktifkan untuk aturan. |
| Status live | Menampilkan apakah aturan aktif atau tidak aktif di lingkungan Anda. |
Jika tidak ada aturan yang terkait dengan kampanye atau operasi, panel akan menampilkan teks Tidak ada aturan.
Melihat cakupan MITRE ATT&CK
Panel Aturan Terkait mencakup matriks visualisasi MITRE ATT&CK yang menampilkan cakupan aturan Anda untuk taktik, teknik, dan prosedur (TTP) tertentu.
Gunakan tab berikut untuk mengubah tata letak visualisasi:
- Kartu: Lihat teknik sebagai kartu mendetail yang dikelompokkan menurut taktik.
- Ringkasan: Lihat ringkasan cakupan Anda yang dipadatkan.
- Peta mini: Lihat petak tingkat tinggi berkode warna dari matriks cakupan Anda.
Memfilter dan menelusuri matriks
Gunakan daftar berikut untuk memfilter aturan yang ditampilkan dalam matriks:
- Jenis Aturan: Memfilter matriks menurut aturan Semua, Terseleksi, atau Kustom.
- Status Aktif: Filter menurut status deployment aturan saat ini.
- Status Pemberitahuan: Memfilter aturan menurut status pemberitahuan Semua, Aktif, atau Nonaktif.
Untuk menemukan informasi cakupan tertentu, gunakan Search by list untuk menelusuri matriks menurut TTP, Jenis Log, Sumber Data MITRE, atau Nama Aturan.
Menyesuaikan metrik peta panas
Klik Opsi Lihat untuk menyesuaikan metrik peta panas:
- Tampilkan sub-teknik: Menampilkan atau menyembunyikan sub-teknik dalam matriks.
- Mode Agregasi: Mengubah cara sistem menghitung warna peta panas:
- Kumulatif: Menampilkan total cakupan untuk sebuah teknik dan sub-tekniknya.
- Rata-Rata Ternormalisasi: Menampilkan cakupan rata-rata ternormalisasi untuk teknik dan sub-tekniknya.
- Link Terlemah: Menampilkan nilai cakupan terendah untuk sebuah teknik dan sub-tekniknya.
Melihat detail teknik
Klik kartu tertentu untuk membuka panel konteks mendetail. Panel ini memberikan detail mendalam tentang teknik yang dipilih dan mencakup bagian berikut:
- Deskripsi: Penjelasan mendetail tentang teknik MITRE ATT&CK yang dipilih.
- Subteknik: Tabel yang mencantumkan subteknik terkait dan jumlah aturan terkait untuk setiap subteknik.
- Aturan yang Dikurasi: Tabel yang menampilkan aturan terkait yang cocok dengan filter yang diterapkan. Tabel ini mencakup nama aturan, status aktif, status pemberitahuan, dan TTP tertentu.
- Jenis Log: Tabel yang mencantumkan jenis log yang berlaku dan sumber data MITRE yang sesuai.
Aturan yang Dinonaktifkan
Panel Aturan yang Dinonaktifkan mencantumkan aturan deteksi yang terkait dengan kampanye atau operasi yang saat ini tidak diaktifkan, jika ada. Hal ini membantu Anda mengidentifikasi potensi kesenjangan cakupan ancaman. Asosiasi aturan untuk kampanye atau operasi ditentukan seperti yang dijelaskan dalam Aturan Terkait.
Tabel berikut menjelaskan kolom:
| Nama kolom | Deskripsi |
|---|---|
| Nama aturan | Menampilkan nama aturan yang dinonaktifkan. Klik nama aturan untuk membuka tampilan mendetail yang menjelaskan logika, konfigurasi, dan set aturan terkait, mirip dengan tampilan di halaman Curated Detections. |
| Kategori | Menampilkan jenis atau kategori aturan. |
| Set aturan | Mengidentifikasi sumber aturan, seperti Mandiant Frontline Threats, Mandiant Hunt Rules, atau Mandiant Intel Emerging Threats. |
| Presisi | Menunjukkan jenis presisi aturan (Broad atau Precise). |
| Pemberitahuan | Menampilkan apakah pemberitahuan diaktifkan atau tidak. |
| Terakhir diperbarui | Menampilkan stempel waktu saat aturan terakhir diubah. |
Entity Terkait Terbaru
Panel Entitas Terkait Terbaru mencantumkan entitas dari lingkungan Anda yang ditautkan ke ancaman yang dipilih dan berpotensi terpengaruh olehnya.
Panel ini mencantumkan entitas pengguna dan aset yang memenuhi kriteria berikut:
- Muncul dalam deteksi dalam tujuh hari terakhir.
- Muncul dalam peristiwa yang terkait dengan IoC yang terkait dengan ancaman.
- Memiliki skor risiko yang ditetapkan.
Tabel berikut menjelaskan kolom di panel Entitas Terkait Terbaru:
| Nama kolom | Deskripsi |
|---|---|
| Nama entity | Menampilkan aset atau entitas yang terkait dengan kampanye atau operasi. Klik nama entitas untuk membuka halaman Analisis Risiko, yang menampilkan detail tentang perubahan skor risiko terbaru entitas tersebut dan deteksi yang berkontribusi terhadap perubahan tersebut. |
| Jenis entitas | Menunjukkan jenis entitas, seperti aset atau akun pengguna. |
| Kecocokan IOC | Menampilkan jumlah IoC dari kampanye atau operasi yang cocok dengan telemetri organisasi Anda dan terkait dengan entitas dalam deteksi terbaru. |
| Skor risiko entity | Menampilkan skor risiko yang dihitung untuk entitas berdasarkan kecocokan IoC terbaru. |
IOC
Panel IOC menampilkan tabel berikut:
Kecocokan IOC
Tabel IOC Matches mencantumkan IoC yang terdeteksi atau cocok dalam lingkungan Anda untuk kampanye atau operasi yang dipilih.
Tabel berikut menjelaskan kolom:
| Nama kolom | Deskripsi |
|---|---|
| IOC | Menampilkan domain, alamat IP, hash, atau URL. Mengklik IoC akan membuka panel Entity context, yang memberikan informasi tambahan tentang IoC dan tempat IoC tersebut terlihat di lingkungan Anda. |
| Jenis | Menampilkan kategori IoC, seperti DOMAIN, IP, FILE (HASH_SHA256), atau URL. |
| Skor GTI | Menampilkan skor ancaman yang ditetapkan oleh GTI pada skala 0-100. |
| Prioritas GCTI | Menunjukkan tingkat prioritas relatif yang ditetapkan oleh GCTI. |
| Aset | Mencantumkan aset di lingkungan Anda yang terlibat dalam peristiwa yang cocok dengan IoC. |
| Asosiasi | Menampilkan entitas GTI terkait untuk indikator, seperti pelaku ancaman atau kampanye. |
| Pertama terlihat | Menampilkan kapan indikator pertama kali terdeteksi di lingkungan Anda. |
| Terakhir terlihat | Menampilkan waktu terakhir indikator terdeteksi di lingkungan Anda. |
Saat Anda mengklik IoC dalam tabel, panel Konteks entitas akan terbuka untuk memberikan informasi tambahan tentang indikator. Untuk mengetahui informasi umum tentang cara meninjau atribut entitas, pemberitahuan, dan melakukan tindakan cepat, lihat Menggunakan Penelusuran UDM untuk menyelidiki entitas.
Anda juga dapat menggunakan panel Konteks entity untuk meninjau detail ancaman lanjutan berikut:
- Status point-in-time: Gunakan pemilih tanggal dan waktu untuk melihat atribut entity persis seperti yang muncul pada waktu tertentu.
- Kasus terkait: Lihat tabel kasus yang terkait dengan entitas dalam periode lihat balik yang ditentukan (misalnya, 30 hari terakhir). Tabel ini mencakup nama kasus, tahap, prioritas, dan status.
- Threat intelligence terkait: Luaskan bagian bawah untuk melihat data Google Threat Intelligence terkait yang ditautkan ke entitas. Bagian ini mencakup:
- Laporan: Melihat laporan ancaman terkait dan tanggal publikasinya.
- Kampanye: Lihat kampanye ancaman terkait dan waktu pembuatannya.
- Operasi: Lihat operasi ancaman terkait dan kapan operasi tersebut dibuat.
- Pelaku: Identifikasi pelaku ancaman yang terhubung dan tanggal aktivitas terbaru mereka.
- Malware: Mengidentifikasi jenis malware yang terkait dengan entitas.
IOC terkait GTI
Tabel IOC terkait GTI mencantumkan IOC tambahan yang dikaitkan GTI dengan kampanye atau operasi. Klik tab File, URL, Domain, atau IP untuk melihat indikator spesifik untuk kategori tersebut.
Tabel berikut menjelaskan kolom:
| Nama kolom | Deskripsi |
|---|---|
| IOC | Menampilkan domain, alamat IP, hash, atau URL. |
| Jenis | Menampilkan kategori IoC, seperti DOMAIN, IP, FILE, HASH_SHA256, atau URL. |
| Skor GTI | Menampilkan skor ancaman yang ditetapkan oleh GTI pada skala 0-100. |
| Pelaku terkait | Mencantumkan pelaku ancaman yang terhubung ke IoC.
Anda dapat mengklik nama aktor untuk melihat informasi selengkapnya di panel |
| Malware terkait | Mencantumkan jenis malware yang ditautkan ke IoC.
Anda dapat mengklik nama malware untuk melihat informasi selengkapnya di panel |
| GTI ditemukan | Menampilkan stempel waktu saat GTI pertama kali mencatat IoC. |
| GTI terakhir diperbarui | Menampilkan stempel waktu saat IoC terakhir diperbarui oleh GTI. |
Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.