使用信息中心分析风险

支持：

借助 Risk Analytics 信息中心，您可以从基于风险的角度查看环境。直观呈现实体风险趋势有助于您识别异常行为，并了解实体对企业构成的潜在风险。

Risk Analytics 信息中心会列出有风险的实体和风险因素详情。在使用数据 RBAC 的系统中，只有具有全局范围的用户才能访问风险分析。如需了解详情，请参阅数据 RBAC 对风险分析的影响。

如需前往 Risk Analytics 信息中心，请按以下步骤操作：

  1. 在导航栏中，点击检测 。
  2. 在检测 中，点击 Risk Analytics 。

实体数量、风险得分和实体表

根据您选择的过滤条件，Risk Analytics 信息中心仅显示企业中风险最高的 10,000 个实体。 信息中心中的所有图表和表格仅代表这组实体。

左上角的实体总数 图表显示了企业中正在跟踪的风险大于 0 的实体数量。风险得分为 0 的实体仍在被跟踪，但不会在此图表中显示。总数分为资产 和用户 。

如需详细了解实体，请参阅逻辑对象：事件和 实体。 如需详细了解风险得分的计算方式，请参阅风险得分 计算。

在实体 表格中，有多个与实体风险得分相关的列：

列 值
实体名称 实体的名称。
实体类型 实体的类型（资产或用户）。
标准化 标准化得分是跨多个实体计算得出的，通过最小-最大标准化方法将得分缩放至 0 至 1, 000 之间。
标准化变化 自上一个风险计算窗口期以来，标准化实体风险得分的变化情况。
标准化趋势 与上一个风险窗口期相比，标准化风险得分的百分比变化是增加还是减少。
底座 基本实体风险得分等于发现结果的最高风险得分加上权重乘以其余发现结果的风险得分总和。

权重默认值为 .2，可在“设置”中更改。
基本变化 自上一个风险计算窗口期以来，基本实体风险得分的变化情况。
基本趋势 与上一个风险窗口期相比，基本风险得分的百分比变化是增加还是减少。
发现结果数量 在风险计算窗口期内，包含此实体的发现结果（提醒和检测）数量。
在窗口期内首次出现的时间 在风险计算窗口期内，该实体首次在发现结果（提醒或检测）中出现时的时间戳。
在窗口期内最后出现的时间 在风险计算窗口期内，该实体最后在发现结果（提醒或检测）中出现时的时间戳。

调整风险计算窗口期

实体构成的计算风险会因所检查的时间段而异。更改右上角的风险计算窗口期 设置（选择 24 小时窗口期 或 7 天窗口期 ）会更改此处显示的计算风险得分。您可能需要根据要查找的攻击类型更改此设置。例如，将风险计算窗口期 设置为 24 小时 可以更清楚地发现暴力破解攻击。较长的时间范围可让您发现长期攻击。实体风险得分会因所选风险计算窗口期而异。

对于 24 小时和 7 天的回溯窗口期，系统每天都会根据相应回溯期内生成的发现结果多次重新计算实体风险得分。风险信息中心提供最近计算的风险得分。您还可以在“风险计算窗口期”设置旁边的日期选择器中选择特定日期和时间，以查看历史风险得分。这将显示在所选日期和时间结束的 24 小时或 7 天窗口期内计算出的实体风险。

使用快速过滤条件缩小搜索范围

借助快速过滤条件，您可以缩小搜索范围，仅显示与您的特定需求相关的结果。

如需在 Risk Analytics 信息中心中使用快速过滤条件，请按以下步骤操作：

  1. 点击 实体 表格上方的 filter_alt 。系统会显示过滤条件 窗口。
  2. 选择以下列之一：
    • 发现结果数量
    • 标准化实体风险得分
    • 标准化实体风险趋势
    • 类型
  3. 选择仅显示 或过滤掉 。
  4. 选择一个值（您可以选择多个值来扩大范围）：
    • 发现结果数量：介于 0 到大于 1000 之间的值。
    • 标准化实体风险得分：介于 0 到 1000 之间的值。
    • 标准化实体风险趋势：小于 -99% 到大于 199% 之间的百分比。
    • 类型：选择资产或用户。
  5. （可选）如需添加其他过滤条件，请点击添加过滤条件 ，然后从第 2 步开始重复此过程。
  6. 配置完过滤条件后，点击应用 。

例如，如果您选择标准化实体风险趋势，然后选择仅显示 并勾选>199%，则只会显示标准化实体风险 变化大于 199% 的实体。

使用实体页面调查实体

如需调查实体，请按以下步骤操作：

  1. 滚动浏览实体名称 列，或使用搜索栏查找实体。
  2. 点击要调查的实体。

系统随即会打开实体页面。在此页面上，您可以仅检查与该实体关联的发现结果。顶部的发现结果时间轴 图表会跟踪实体风险得分和发现结果随时间变化的情况。此图表由预先计算的指标组成，以折线图格式显示，以显示随时间变化的趋势。 异常情况在折线图上显示为峰值。图表下方是发现结果 表格，其中显示了所选实体关联的事件和活动。

右下角有一个可收起的查看实体详情 面板，其中包含所选实体的重要详情摘要。如需完成对所选实体的详细检查，请点击查看实体详情 ，以在资产 视图或用户 视图中查看实体，具体取决于实体是资产还是用户。如需了解详情，请参阅调查 资产实体或 调查用户。

使用实体分析调查实体

实体分析可为 SOC 分析师和威胁搜寻者提供实体行为的详细视图，包括实体的基准配置文件、异常情况和上下文丰富信息。

在实体页面中，在发现结果 时间轴上选择最长 90 天的时间范围，然后点击查看所选内容的分析。系统随即会打开一个侧边栏，其中显示了所选时间范围内与此实体关联的分析。每项分析都会显示时间范围内所有分析值的汇总。检测到分析时，其中会包含相关提醒和检测的列表，您可以点击查看更多 打开相应的提醒 或检测 视图，以便进一步检查。如需了解详情， 请参阅调查提醒。

系统提供了以下实体分析：

  • 提醒事件名称计数
  • 身份验证尝试成功次数
  • 身份验证尝试失败次数
  • 身份验证尝试总次数
  • DNS 出站字节数
  • DNS 查询失败次数
  • DNS 查询成功次数
  • DNS 查询总次数
  • 文件执行成功次数
  • 文件执行失败次数
  • 文件执行总次数
  • HTTP 查询成功次数
  • HTTP 查询失败次数
  • HTTP 查询总次数
  • 网络入站字节数
  • 网络出站字节数
  • 网络总字节数
  • Workspace 身份验证尝试总次数
  • Workspace 电子邮件发送总次数
  • Workspace 网络出站字节数
  • Workspace 网络总字节数
  • Workspace 更改操作总次数
  • Workspace 下载操作总次数

修改实体风险得分

当外部信息或事件影响实体的真实风险时，您可以更新实体的风险得分。

例如，您可以暂时降低刚刚完成红队演练（例如渗透测试）的员工的风险得分，这样分析师就不必浪费时间调查该员工的风险为何增加。您还可以暂时提高涉及诉讼案件的员工的风险得分。

  1. 在 Risk Analytics 页面的实体 表格中，将指针悬停在行最右侧的列上。您可能需要向右滚动显示内容。点击 more_vert

    并选择更新实体风险得分 。

  2. 在更新实体风险得分 对话框中，为以下项配置值：

    • 放大系数：允许您使用 0.0 - 100.0 的放大系数来提高或降低实体的风险 得分。例如，如果您发现了有关实体的新证据，表明该实体的风险是原来的两倍，请将放大系数更新为 50，以反映实体的真实风险因素。
    • 时间段：应用放大系数的时间段 。您可以选择现在 或介于 1 天 和 14 天 之间的时间段。 如果您选择现在，放大系数将在当前风险计算窗口期内应用于实体 风险得分。只有现有 提醒和检测会纳入计算。 当所选时间段结束时，对实体风险得分的更新即会停止，风险得分会恢复正常。
    • 原因：允许您为其他用户留下有关 为何进行此更新的其他背景信息。从以下选项中进行选择：新 证据、风险得分不正确、风险配置文件已更改、 合规性要求或其他。

如果您尝试进行已进行的更改（例如，您想将实体的放大系数更新为 25%，但另一位团队成员已进行了该更改），系统会显示一个对话框，说明该更改已进行，包括进行更改的人员和时间等信息。

在实体详情中查看风险得分更新

您可以在实体配置文件 页面中查看实体的所有风险得分更新。

  1. 点击要查看其风险得分更新历史记录的实体，以打开实体配置文件 页面。
  2. 在事件时间表图中，每次有人更改实体的风险得分时，都会以白色文本显示风险得分修改标签。
  3. 将指针悬停在文本上，以显示一个对话框，其中包含更改的日期、用户和原因。

监控列表

借助监控列表 页面，您可以监控企业中的特定实体。

  1. 在左侧导航栏中，点击检测 。
  2. 在检测 中，点击 Risk Analytics 。
  3. 点击监控列表 标签页。

添加监控列表

如需向 Google Security Operations 账号添加监控列表，请完成以下步骤。您最多可以配置 200 个监控列表。

  1. 点击创建监控列表 。
  2. 指定监控列表名称 。
  3. （可选）指定说明 。
  4. （可选）指定介于 0 到 100 之间的放大系数 。默认值为 1。
  5. （可选）按照 “将实体添加到监控列表”部分中的说明，在窗口的右侧指定实体。您可以在此处添加以下实体类型：
    • ASSET_IP_ADDRESS
    • EMAIL
    • EMPLOYEE_ID
    • HOSTNAME
    • MAC
    • PRODUCT_OBJECT_ID
    • PRODUCT_SPECIFIC_ID
    • USERNAME
    • WINDOWS_SID
  6. 点击创建监控列表 。

固定监控列表

  1. 点击修改显示 。
  2. 点击要固定的监控列表旁边的复选框。
  3. 点击保存 。

取消固定监控列表

  1. 在监控列表信息中心内，选择要取消固定的监控列表 ，然后选择 more_vert 。
  2. 点击从显示中移除 。

修改监控列表

  1. 在监控列表 信息中心内，选择要修改的监控列表，然后 点击 more_vert 图标。
  2. 点击修改监控列表 。

删除监控列表

  1. 在 监控列表 信息中心内，选择要删除的监控列表 ，然后点击 more_vert 。
  2. 点击删除监控列表 。

将实体添加到监控列表

如需将实体添加到监控列表，请使用以下格式之一逐行指定实体名称、类型和（可选）命名空间。

  • NAME,TYPE

  • NAME,TYPE,NAMESPACE

    TYPE 可以是下列选项之一：

    • ASSET_IP_ADDRESS
    • EMAIL
    • EMPLOYEE_ID
    • HOSTNAME
    • MAC
    • PRODUCT_OBJECT_ID
    • PRODUCT_SPECIFIC_ID
    • USERNAME
    • WINDOWS_SID

    NAMESPACE 只能为以下资产 实体类型指定：

    • ASSET_IP_ADDRESS
    • HOSTNAME
    • MAC
    • PRODUCT_OBJECT_ID
    • PRODUCT_SPECIFIC_ID

例如：

205.148.5.0,ASSET_IP_ADDRESS
website.com,HOSTNAME,chronicle

此示例表示添加到监控列表中的两个实体：一个资产 IP 地址 205.148.5.0 和一个主机名 website.com（位于 chronicle 命名空间下）。一个监控列表最多可以包含 10,000 个实体。

从监控列表中移除实体

如需从监控列表中移除实体，请移除代表要移除的实体的行，然后点击保存 。

更改风险得分设置

借助实体风险得分 页面，您可以定义如何计算实体、提醒和检测的风险得分。在此页面上，您可以根据搜索的独特需求定制风险计算方式。

实体风险得分 页面中有三个字段可以更新：

如需更改其中任何设置，请按以下步骤操作：

  1. 在导航栏中，依次选择设置 > 实体风险得分 。
  2. 相应地更新风险得分。
  3. 点击保存 。返回主 Risk Analytics 页面后，您会在屏幕顶部看到一条消息，确认已对实体风险得分 进行了更改。
  4. （可选）如需重置其中任何值，请点击相应值右侧的重置 。

更新仅适用于新的提醒和检测。更改可能需要最多 30 分钟才能生效。

实体风险得分权重

权重定义了提醒和检测风险得分对实体风险得分计算的贡献。权重是一个介于 0 到 1 之间的值，默认值为 0.2。

以下是一些示例，说明了不同的数字如何影响实体风险得分计算：

  • 实体风险得分权重 0。原始风险得分是实体所有检测中的最高检测风险得分。
  • 实体风险得分权重 1。原始风险得分是实体所有检测的风险得分之和。
  • 实体风险得分权重 0.5。风险得分会为实体风险得分最高的检测赋予完整权重，并为所有其他检测赋予一半权重。

检测的默认风险得分

借助检测的默认风险得分 ，您可以为检测风险得分指定一个默认值。检测风险得分用于计算实体风险得分。检测的风险得分在编写规则时定义。如果规则中未定义风险得分，则使用默认值。默认得分为 15，风险得分范围为 0-100。

提醒的默认风险得分

与检测的默认风险得分类似，此字段允许您为提醒风险得分指定一个 默认值。如果规则中未定义风险得分，则使用默认值 40。风险得分范围为 0-1000。

如需了解如何在规则中定义风险得分，请参阅结果部分 语法。

已解决提醒系数

已解决提醒系数用于对分析师标记为“已解决”的提醒的风险得分进行修改。它是一个介于 0 到 1（含 0 和 1）之间的浮点修饰数。默认值为 1.0，这意味着所有未解决和已解决的提醒都保留其原始得分。如果已解决提醒系数的值为 0.0，则所有已解决的提醒的风险得分都为 0，并且不会再提高整体实体的风险得分。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。