Analiza los riesgos con el panel

Se admite en los siguientes sistemas operativos:

El panel de Análisis de riesgos te permite ver tu entorno desde una perspectiva basada en el riesgo. Visualizar las tendencias de riesgo de las entidades te ayuda a identificar comportamientos inusuales y comprender el riesgo potencial que representan las entidades para tu empresa.

En el panel de Análisis de riesgos, se enumeran las entidades en riesgo y los detalles de los factores de riesgo. En los sistemas que usan el RBAC de datos, solo los usuarios con alcance global pueden acceder a las estadísticas de riesgo. Para obtener más información, consulta Impacto del RBAC de datos en Risk Analytics.

Para acceder al panel de Análisis de riesgo, sigue estos pasos:

  1. En la barra de navegación, haz clic en Detección.
  2. En Detección, haz clic en Análisis de riesgo.

Recuento de entidades, puntuación de riesgo y tabla de entidades

Según los filtros que selecciones, el panel de Análisis de riesgo solo mostrará las 10,000 entidades con el riesgo más alto de la empresa. Todos los gráficos y las tablas del panel representan solo este conjunto de entidades.

El gráfico Total entity count en la parte superior izquierda muestra la cantidad de entidades que se supervisan en tu empresa con un riesgo superior a 0. Las entidades con una puntuación de riesgo de 0 se siguen rastreando, pero no se representarán en este gráfico. El recuento total se divide entre Activos y Usuarios.

Para obtener más información sobre las entidades, consulta Objetos lógicos: Evento y entidad. Para obtener más información sobre cómo se calculan las puntuaciones de riesgo, consulta Cálculo de la puntuación de riesgo.

En la tabla Entities, hay varias columnas relacionadas con la puntuación de riesgo de la entidad:

Columna Valor
Nombre de entidad Nombre de la entidad.
Tipo de entidad Tipo de entidad (recurso o usuario).
Normalizado Las puntuaciones normalizadas se calculan en todas las entidades y se escalan entre 0 y 1, 000 con la normalización min-máx.
Cambio en puntuación normalizada Cambio en la puntuación normalizada de riesgo de la entidad desde el período de cálculo de riesgo anterior.
Tendencia normalizada Aumento o disminución en el cambio porcentual de la puntuación de riesgo normalizada en comparación con el período de riesgo anterior.
Base La puntuación base de riesgo de entidad es igual a la puntuación de riesgo máxima del hallazgo más la ponderación multiplicada por la suma de las puntuaciones de riesgo de los hallazgos restantes.

La ponderación predeterminada es .2 y se puede cambiar en Configuración.
Cambio base Cambio en la puntuación base de riesgo de la entidad desde el período de cálculo de riesgo anterior.
Tendencia base Aumento o disminución en el cambio porcentual de la puntuación de riesgo base en comparación con el período de riesgo anterior.
Cantidad de hallazgos La cantidad de resultados (alertas y detecciones) que incluyen a esta entidad durante el período de cálculo de riesgo.
Primera aparición en el período Marca de tiempo de cuando la entidad apareció por primera vez en un hallazgo (alerta o detección) durante el período de cálculo de riesgo.
Última aparición en el período Marca de tiempo de cuando la entidad apareció por última vez en un hallazgo (alerta o detección) durante el período de cálculo de riesgo.

Cómo ajustar el período de cálculo del riesgo

El riesgo calculado que representa una entidad cambia según el período que se analiza. Si cambias el parámetro de configuración Período de cálculo de riesgo en la parte superior derecha (selecciona Período de 24 horas o Período de 7 días), se modificará la puntuación de riesgo calculada que se muestra aquí. Es posible que desees cambiar este parámetro de configuración según el tipo de ataque que busques. Por ejemplo, los ataques de fuerza bruta son más evidentes si se establece la ventana de cálculo de riesgo en 24 horas. Los períodos más largos te permiten detectar ataques a largo plazo. Las puntuaciones de riesgo de la entidad cambian según el período de cálculo de riesgo seleccionado.

Las puntuaciones de riesgo de las entidades se vuelven a calcular varias veces al día para los períodos de las 24 horas y 7 días, según los hallazgos generados en esos períodos respectivos. En el panel de riesgo, se proporcionan las puntuaciones de riesgo calculadas más recientemente. También puedes ver los puntajes de riesgo históricos seleccionando una fecha y hora específicas en el selector de fechas que se encuentra junto al parámetro de configuración “Ventana de cálculo del riesgo”. Se mostrarán los riesgos de la entidad calculados para el período de las 24 horas o 7 días que finaliza en la fecha y hora elegidas.

Restringe tu búsqueda con filtros rápidos

Los filtros rápidos te permiten restringir la búsqueda para mostrar solo los resultados relevantes para tus necesidades específicas.

Para usar los filtros rápidos en el panel de Análisis de riesgo, sigue estos pasos:

  1. Haz clic en filter_alt sobre la tabla Entidades. Aparecerá la ventana Filtros.
  2. Selecciona una de las columnas:
    • Cantidad de hallazgos
    • Puntuación normalizada de riesgo de entidad
    • Tendencia normalizada de riesgo de entidad
    • Tipo
  3. Selecciona Mostrar solo o Filtrar.
  4. Selecciona un valor (puedes seleccionar más de un valor para expandir el rango):
    • Cantidad de hallazgos: Valores de 0 a más de 1,000
    • Puntuación normalizada de riesgo de la entidad: Los valores van de 0 a 1,000.
    • Tendencia normalizada de riesgo de entidad: Porcentajes de menos del -99% a más del 199%.
    • Tipo: Selecciona Recursos o Usuarios.
  5. (Opcional) Para agregar filtros adicionales, haz clic en Agregar filtro y repite este proceso desde el paso 2.
  6. Después de terminar de configurar los filtros, haz clic en Aplicar.

Por ejemplo, si seleccionas Tendencia normalizada de riesgo de entidad, luego Mostrar solo y, por último, marcas la casilla >199%, solo se mostrarán las entidades con un cambio en el riesgo de entidad normalizado superior al 199%.

Investiga una entidad con la página de la entidad

Para investigar una entidad, sigue estos pasos:

  1. Desplázate por la columna Nombre de la entidad o usa la barra de búsqueda para encontrar una entidad.
  2. Haz clic en la entidad que deseas investigar.

Se abrirá la página de la entidad. En esta página, puedes examinar solo los hallazgos asociados con esa entidad. El gráfico Cronograma de hallazgos en la parte superior hace un seguimiento de las puntuaciones de riesgo y los hallazgos de la entidad a lo largo del tiempo. Este gráfico se compone de métricas precalculadas que se muestran en formato de gráfico de líneas para mostrar las tendencias a lo largo del tiempo. Las anomalías se pueden ver como picos en el gráfico de líneas. Debajo del gráfico, se encuentra la tabla Hallazgos, en la que se muestran los eventos y las actividades con los que se asoció la entidad seleccionada.

En la parte inferior derecha, hay un panel Ver detalles de la entidad que se puede contraer y que contiene un resumen de los detalles importantes sobre la entidad seleccionada. Para completar un análisis detallado de la entidad seleccionada, haz clic en Ver detalles de la entidad para ver la entidad en la vista Recurso o Usuario, según si la entidad es un recurso o un usuario, respectivamente. Para obtener más información, consulta Cómo investigar una entidad de activo o Cómo investigar a un usuario.

Investiga una entidad con las estadísticas de entidades

El análisis de entidades proporciona a los analistas del SOC y a los cazadores de amenazas una vista detallada del comportamiento de una entidad, incluido su perfil de referencia, las anomalías y los enriquecimientos contextuales.

En la página de la entidad, selecciona un período de hasta 90 días en la línea de tiempo de los hallazgos y haz clic en Ver estadísticas de la selección. Se abrirá una barra lateral que te mostrará las estadísticas asociadas a esta entidad dentro del intervalo de tiempo seleccionado. Cada análisis muestra un agregado de todos los valores de análisis dentro del período. Cuando se detecta, un análisis incluye una lista de alertas y detecciones relacionadas que se pueden examinar más a fondo haciendo clic en Ver más para abrir la vista correspondiente de Alertas o Detección. Para obtener más información, consulta Cómo investigar una alerta.

Se proporcionan las siguientes estadísticas de entidades:

  • Recuento del nombre del evento de alerta
  • Intentos de autenticación correctos
  • Fallan los intentos de autenticación
  • Intentos de autenticación totales
  • Bytes de DNS salientes
  • Las consultas de DNS fallan
  • Consultas de DNS correctas
  • Consultas de DNS totales
  • Ejecuciones de archivos correctas
  • Falla la ejecución de archivos
  • Ejecuciones de archivos totales
  • Consultas HTTP correctas
  • Falla en las consultas HTTP
  • Consultas HTTP totales
  • Bytes de entrada de la red
  • Bytes de red salientes
  • Total de bytes de red
  • Intentos totales de autenticación de Workspace
  • Cantidad total de correos electrónicos enviados de Workspace
  • Bytes salientes de la red de Workspace
  • Total de bytes de red de Workspace
  • Acciones de cambio totales del espacio de trabajo
  • Acciones de descarga totales del espacio de trabajo

Cómo modificar una puntuación de riesgo de entidad

Cuando la información o los eventos externos afectan el riesgo real de una entidad, puedes actualizar su puntuación de riesgo.

Por ejemplo, puedes disminuir temporalmente la puntuación de riesgo de un empleado que acaba de terminar un ejercicio de equipo rojo (como una prueba de penetración) para que los analistas no tengan que perder tiempo investigando por qué aumentó el riesgo de ese empleado. También puedes aumentar temporalmente la puntuación de riesgo de un empleado involucrado en un caso judicial.

  1. En la tabla Entidades de la página Análisis de riesgo, mantén el puntero sobre la columna del extremo derecho de la fila. Es posible que debas desplazarte hacia la derecha en la pantalla. Haz clic en more_vert.

    y selecciona Actualizar la puntuación de riesgo de entidad.

  2. En el cuadro de diálogo Actualizar la puntuación de riesgo de la entidad, configura los valores para lo siguiente:

    • Factor de multiplicación: Te permite aumentar o disminuir la puntuación de riesgo de una entidad con un factor de multiplicación de 0.0 a 100.0. Por ejemplo, si descubriste evidencia nueva sobre una entidad que la hace el doble de riesgosa, actualiza el factor de multiplicación a 50 para reflejar el factor de riesgo real de la entidad.
    • Período: Es el período durante el que se aplica el factor de multiplicación. Puedes seleccionar Ahora o entre 1 día y 14 días. Si seleccionas Ahora, el factor de multiplicación se aplica a la puntuación de riesgo de entidad del período actual de cálculo de riesgos. Solo las alertas y detecciones existentes se incluyen en el cálculo. Cuando el período seleccionado finalice, las actualizaciones a la puntuación de riesgo de entidad se detendrán y la puntuación de riesgo volverá a la normalidad.
    • Motivo: Te permite dejar contexto adicional para otros usuarios sobre por qué se realizó esta actualización. Elige entre las siguientes opciones: Nueva evidencia, Puntuación de riesgo incorrecta, Perfil de riesgo cambiado, Requisitos de cumplimiento o Otro.

Si intentas realizar un cambio que ya se hizo (por ejemplo, quieres actualizar el factor de multiplicación de una entidad al 25%, pero otro miembro del equipo ya realizó ese cambio), aparecerá un diálogo que indica que el cambio ya se realizó, incluida la información sobre quién realizó el cambio y cuándo.

Consulta las actualizaciones de la puntuación de riesgo en los detalles de la entidad

Puedes ver todas las actualizaciones de la puntuación de riesgo de una entidad en la página Perfil de la entidad.

  1. Haz clic en la entidad cuyo historial de actualizaciones de la puntuación de riesgo deseas ver para abrir la página Perfil de la entidad.
  2. En el gráfico de cronograma de eventos, cada vez que alguien cambió la puntuación de riesgo de la entidad, se indica con la etiqueta Modificación de la puntuación de riesgo en texto blanco.
  3. Mantén el puntero sobre el texto para mostrar un diálogo con la fecha, el usuario y el motivo del cambio.

Lista de monitoreo

La página Listas de seguimiento te permite supervisar entidades específicas de toda tu empresa.

  1. En la barra de navegación izquierda, haz clic en Detección.
  2. En Detección, haz clic en Análisis de riesgo.
  3. Haz clic en la pestaña Listas de observación.

Cómo agregar una lista de seguimiento

Para agregar una lista de vigilancia a tu cuenta de Google Security Operations, completa los siguientes pasos. Puedes configurar hasta 200 listas de observación.

  1. Haz clic en Crear lista de seguimiento.
  2. Especifica un nombre para la lista de seguimiento.
  3. Especifica una Descripción (opcional).
  4. (Opcional) Especifica un factor de multiplicación entre 0 y 100. El valor predeterminado es 1.
  5. (Opcional) Especifica entidades en el lado derecho de la ventana siguiendo la sección Agregar entidades a una lista de seguimiento. Aquí puedes agregar los siguientes tipos de entidades:
    • ASSET_IP_ADDRESS
    • EMAIL
    • EMPLOYEE_ID
    • HOSTNAME
    • MAC
    • PRODUCT_OBJECT_ID
    • PRODUCT_SPECIFIC_ID
    • USERNAME
    • WINDOWS_SID
  6. Haz clic en Crear lista de seguimiento.

Cómo fijar una lista

  1. Haz clic en Editar pantalla.
  2. Haz clic en la casilla de verificación junto a la lista de seguimiento que deseas fijar.
  3. Haz clic en Guardar.

Cómo dejar de fijar una lista

  1. En el panel Listas para ver, selecciona la lista que deseas dejar de fijar y, luego, more_vert .
  2. Haz clic en Quitar de la pantalla.

Cómo editar una lista de seguimiento

  1. En el panel Listas de seguimiento, selecciona la lista de seguimiento que deseas editar y haz clic en el ícono more_vert .
  2. Haz clic en Editar lista de seguimiento.

Cómo borrar una lista de seguimiento

  1. En el panel Watchlists, selecciona la lista para ver que quieras borrar y haz clic en more_vert .
  2. Haz clic en Borrar lista de seguimiento.

Cómo agregar entidades a una lista de seguimiento

Para agregar entidades a una lista de vigilancia, debes especificar el nombre, el tipo y el espacio de nombres (opcional) de la entidad línea por línea con uno de los siguientes formatos.

  • NAME,TYPE

  • NAME,TYPE,NAMESPACE

    TYPE puede ser uno de los datos siguientes:

    • ASSET_IP_ADDRESS
    • EMAIL
    • EMPLOYEE_ID
    • HOSTNAME
    • MAC
    • PRODUCT_OBJECT_ID
    • PRODUCT_SPECIFIC_ID
    • USERNAME
    • WINDOWS_SID

    NAMESPACE solo se puede especificar para los siguientes tipos de entidades de recursos:

    • ASSET_IP_ADDRESS
    • HOSTNAME
    • MAC
    • PRODUCT_OBJECT_ID
    • PRODUCT_SPECIFIC_ID

Por ejemplo:

205.148.5.0,ASSET_IP_ADDRESS
website.com,HOSTNAME,chronicle

En este ejemplo, se representan dos entidades agregadas a la lista de vigilancia: una dirección IP de activo 205.148.5.0 y un nombre de host website.com en el espacio de nombres chronicle. Puedes tener hasta 10,000 entidades en una lista de monitoreo.

Cómo quitar entidades de una lista de seguimiento

Para quitar entidades de una lista de vigilancia, borra las líneas que representan las entidades que deseas quitar y haz clic en Guardar.

Cómo cambiar la configuración de la puntuación de riesgo

La página Puntuación de riesgo de entidad te permite definir cómo se calculan las puntuaciones de riesgo de las entidades, las alertas y las detecciones. En esta página, puedes personalizar la forma en que se calcula el riesgo según las necesidades únicas de tu búsqueda.

En la página Puntuación de riesgo de entidad, hay tres campos que puedes actualizar:

Para cambiar cualquiera de estos parámetros de configuración, sigue estos pasos:

  1. En la barra de navegación, selecciona Configuración > Puntuaciones de riesgo de la entidad.
  2. Actualiza las puntuaciones de riesgo según corresponda.
  3. Haz clic en Guardar. Cuando vuelvas a la página principal de Análisis de riesgo, verás un mensaje en la parte superior de la pantalla que confirma que se realizó un cambio en la Puntuación de riesgo de la entidad.
  4. (Opcional) Para restablecer cualquiera de estos valores, haz clic en Restablecer a la derecha del valor.

Las actualizaciones solo se aplicarán a las alertas y detecciones nuevas. Los cambios pueden tardar hasta 30 minutos en aplicarse.

Ponderación de la puntuación de riesgo de entidad

La ponderación define cómo las puntuaciones de riesgo de alertas y detecciones contribuyen a los cálculos de la puntuación de riesgo de la entidad. La ponderación es un valor de 0 a 1, y el valor predeterminado es 0.2.

Estos son algunos ejemplos de cómo las diferentes cifras afectan el cálculo de la puntuación de riesgo de la entidad:

  • Ponderación de la puntuación de riesgo de la entidad 0. La puntuación de riesgo sin procesar es la puntuación de riesgo de detección máxima entre todas las detecciones de la entidad.
  • Ponderación de la puntuación de riesgo de la entidad 1. La puntuación de riesgo sin procesar es la suma de todas las puntuaciones de riesgo de detección de la entidad.
  • Ponderación de la puntuación de riesgo de la entidad 0.5. La puntuación de riesgo le otorga el peso completo a la detección con la puntuación de riesgo máxima para la entidad y la mitad del peso para todas las demás detecciones.

Puntuación de riesgo predeterminada para las detecciones

La puntuación de riesgo predeterminada para las detecciones te permite asignar un valor predeterminado a las puntuaciones de riesgo de las detecciones. Las puntuaciones de riesgo de detección se utilizan para calcular las puntuaciones de riesgo de entidad. Las puntuaciones de riesgo para detecciones se definen cuando se escribe una regla. Si no se define una puntuación de riesgo en la regla, se usa el valor predeterminado. La puntuación predeterminada es 15, y el rango de la puntuación de riesgo es de 0 a 100.

Puntuación de riesgo predeterminada para las alertas

De manera similar a Puntuación de riesgo predeterminada para las detecciones, este campo te permite asignar un valor predeterminado para las puntuaciones de riesgo de las alertas. Si no se define una puntuación de riesgo en la regla, se usa el valor predeterminado de 40. El rango de la puntuación de riesgo es de 0 a 1,000.

Para obtener información sobre cómo definir la puntuación de riesgo en una regla, consulta la sintaxis de la sección Outcome.

Coeficiente de alertas cerradas

El coeficiente de alerta cerrada modifica la puntuación de riesgo de las alertas marcadas como cerradas por los analistas. Es un modificador de punto flotante entre 0 y 1, incluidos ambos. El valor predeterminado es 1.0, lo que significa que todas las alertas abiertas y cerradas conservan sus puntuaciones originales. Si el coeficiente de alertas cerradas tiene un valor de 0.0, todas las alertas cerradas reciben una puntuación de riesgo de 0 y ya no aumentarán la puntuación de riesgo de la entidad general.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.