風險分析總覽

支援的國家/地區：

風險分析可用於找出異常行為，並瞭解實體對企業造成的潛在風險。在採用資料 RBAC 的系統中，只有具備全域範圍的使用者可以存取風險分析。風險分析資訊主頁包含「行為分析」和「監控清單」兩個部分，前者會根據 Google Security Operations 實體風險分數列出實體，後者則會根據企業內部風險計算結果列出實體。

風險分數會用於 Google SecOps 各處。這些分數的定義和功能會因使用的功能而異。

您必須擁有 Enterprise 和 Enterprise Plus 授權，或加購 Google SecOps SIEM 獨立授權，才能使用風險分析功能。

風險分析中的實體、風險和發現項目

本節將定義實體、風險和發現項目的概念，這些概念會顯示在風險分析資訊主頁上。

  • 實體：環境中資產或使用者的脈絡表示法。與實體相關聯的所有事件都會提供實體風險程度的背景資訊。詳情請參閱「邏輯物件：事件和實體」。

  • 風險計算時間範圍：可變更資訊主頁的時間範圍，以便查看不同時間範圍的資料。舉例來說，您可以設定較短的時間範圍，找出蠻力登入嘗試，或是設定較長的時間範圍，檢查長期惡意活動。

  • 正規化：正規化分數介於 1 到 1000 之間，可區分沒有分數的實體，以及在風險期間內有偵測結果的實體。

  • 正規化趨勢：正規化實體風險分數自上一個期間以來的變化。

  • 基本：基本分數的計算方式為：將風險期間內實體發現項目 (警告和偵測項目) 的風險分數加總，並套用權重。

    權重會定義快訊和偵測項目風險分數在計算實體風險分數時的影響程度。權重值可介於 0 到 1 之間。
    如果權重值為 1，權重就不會產生影響。其他值皆為百分比 (例如 .5 等於 50%)。預設權重值為 .2，您可以在「設定」中變更這個數字。詳情請參閱「實體風險分數的加權」。

  • 基本變化：自上一個期間以來，基本實體風險分數的變化。

  • 時間範圍內首次/上次出現時間：時間戳記，對應於實體在風險期間內，首次或上次出現在發現項目 (警告或偵測項目) 的時間。

風險分析中的發現項目

「發現項目」頁面會使用下列術語 (按一下實體表格中的實體，即可在「發現項目」頁面中開啟)。

  • 發現項目：在風險計算期間，含有這個實體的發現項目 (警告和偵測項目) 數量。

  • 嚴重性：發現項目建立時，會依據來源設定嚴重性。

  • 優先順序：發現項目建立時，會依據來源設定優先順序。

  • 風險分數：發現項目建立時，會依據來源設定風險分數。 如果未設定風險分數，系統會使用快訊和偵測項目的預設風險分數。警報的預設風險分數為 40 分。偵測項目的預設風險分數為 15 分。

風險分數計算方式

系統會根據調查結果的風險分數計算每個實體的風險分數，並根據您可指定的一組參數和 Google SecOps 控制的一組參數進行修改。如要存取可控制的參數，請前往導覽列，然後依序點選「設定」>「實體風險分數」：

  • 已結案警告係數：如果安全分析師將警告標示為已結案，系統會將警告的風險分數乘以這個浮點數調整係數。範圍為 0 到 1。預設值為 1。

  • 預設偵測項目風險分數：在規則引擎中指定偵測項目的風險分數。範圍為 0 到 1000。預設值為 15。

Google SecOps 會指定下列參數：

  • 使用存留時間修改風險分數：基本實體風險分數會根據時間範圍的乘數進行調整。

  • 沒有存留時間的風險分數修改：偵測項目風險分數會以乘數修改。

以下是計算風險分數和標準化風險分數的公式：

  • 風險分數計算：(基本實體風險分數) = (發現項目的風險分數上限) + (權重 * (剩餘發現項目的風險分數總和))

  • 正規化風險分數：所有實體的基本實體風險分數都會經過正規化。基本實體風險分數使用最小值與最大值正規化法，範圍從 1 到 1000。風險為零的實體不會納入。

指派風險分數的實體優先順序

指派風險分數時，Google SecOps 會使用頂層名詞類型 principal、src、target 和 about 的子集，並根據 user 和 asset 事件子類型的別名欄位指派風險分數。風險評分不支援 RESOURCE 或 GROUP 實體類型。

Google SecOps 會在特定風險計算期間內，為實體最可靠的別名 (指標) 指派風險分數。指派風險評分時，系統會優先採用排名較高的別名字段，1 的排名最高。如果風險時間範圍內沒有排名最高的別名，Google SecOps 會將分數指派給排名次高的可用別名。

如果是user別名欄位，Google SecOps 會依下列排名指派風險分數：

  1. windows_sid
  2. email_addresses
  3. userid
  4. employee_id
  5. product_object_id

如果是asset別名欄位，Google SecOps 會依下列排名指派風險分數：

  1. hostname
  2. mac
  3. asset_id
  4. ip
  5. product_object_id

風險分數計算範例

以下說明實體的風險偵測分數計算完整順序：

  1. 輸入：系統會根據規則產生的偵測項目所依據的指標，將這些項目分組。
  2. (選用) 已結案警告係數：如果偵測項目風險分數是針對已結案的警告，系統會將分數乘以已結案警告係數。
  3. (選用) 修改預設風險分數：如果規則中未明確設定，系統會套用預設偵測項目風險分數。您可以在實體風險分數設定中，變更預設警告或非警告偵測項目風險分數。
  4. (選用) 修改複合式偵測結果：根據預設，Google SecOps 會為取樣事件中的所有實體指派風險評分。並將分數指派給規則的 match 和 outcome 區段中擷取的所有實體。如要改為將風險評分指派給特定實體，請在規則中指定 $risk_entity_to_score 結果變數。
  5. 風險分數計算：將權重因子乘以所有偵測項目的總和 (最高偵測風險分數除外)，然後加上最高偵測風險分數。這個值代表實體的原始風險分數。
  6. 修改權重：原始實體風險分數會乘以修改權重。除非設定 TTL，否則這項修改作業只會執行一次。這個值就是基本實體風險分數。
  7. 觀察清單權重：如果實體屬於觀察清單，系統會將觀察清單權重加進偵測風險分數。
  8. 正規化風險分數：使用最小值與最大值正規化法，將所有實體的基本實體風險分數正規化。

風險分數設定

您可以在「實體風險分數」頁面中，定義實體、快訊和偵測項目的風險分數計算方式。您可以為計算出的實體風險分數加權，並設定預設快訊和偵測項目風險分數。變更只會套用至新的快訊和偵測項目，最多可能需要 30 分鐘才會生效。

  • 實體風險分數權重：權重會定義快訊和偵測項目風險分數在實體風險分數計算中的權重。權重是介於 0 到 1 的值。基本實體風險分數的公式定義如下：

    基本實體風險分數 = (發現項目的風險分數上限) + (權重 * (剩餘發現項目的風險分數總和))

  • 警告的預設風險分數：在「設定」頁面中指定預設警告風險分數。預設值為 40。您可以在規則中修改個別快訊的風險分數。這些設定會覆寫在「設定」頁面中設定的任何預設值。

  • 偵測項目的預設風險分數：在「設定」頁面中指定預設偵測項目風險分數。預設值為 15。您可以在規則中修改個別偵測風險分數。這些設定會覆寫「設定」頁面中設定的任何預設值。

企業客戶可使用近乎即時的風險分析功能

這項快速重新計算功能可讓您使用風險警報 (RBA) 達成企業警報服務等級目標 (SLO)，方法是盡量縮短識別及回應可能遭入侵資產的時間。

UEBA 風險評分的 MRI 解析度

對於使用者與實體行為分析 (UEBA)，當存在多個指標時，最可靠指標 (MRI) 解析邏輯會找出支援實體 (使用者或資產) 的最權威 ID。這項程序是建立索引和風險評分的必要步驟。風險評分不支援 RESOURCE 或 GROUP 實體類型。這可確保風險歸因於使用者在不同資料來源中最穩定的身分。MRI 解決方案會透過下列程序，找出更可靠的指標：

  • 類型優先順序：每個指標類別都有內部優先順序對應表，值越高表示可靠性越高。舉例來說，WINDOWS_SID (優先順序 4) 本質上比員工 ID (優先順序 1) 更可靠。
  • 打破僵局：如果兩個指標的優先順序相同，系統會比較兩者的顯示名稱和命名空間，判斷哪個指標較為可靠。

實體類型中的可靠性階層

以下階層列出各實體類型中可用的指標，從最可靠 (優先順序 4) 到最不可靠 (優先順序 0)。

  1. 使用者指標
    1. Windows SID：優先順序 4
    2. 電子郵件：優先順序 3
    3. 使用者名稱：優先順序 2
    4. 員工 ID：優先順序 1
    5. 產品物件 ID：優先順序 0
  2. 素材資源指標
    1. 主機名稱：如果已設定，則優先使用頂層主機名稱 (優先順序 4)
    2. MAC 位址：優先順序 3
    3. 產品專屬 ID 或資產 ID：優先順序 2
    4. 資產 IP 位址：優先順序 1
    5. 產品物件 ID：優先順序 0

MRI 範圍解析

MRI 解析範圍僅限於下列實體類型：

  • ASSET_IP_ADDRESS
  • MAC、HOSTNAME
  • PRODUCT_SPECIFIC_ID
  • 電子郵件
  • 使用者名稱
  • WINDOWS_SID
  • EMPLOYEE_ID
  • PRODUCT_OBJECT_ID。

我們不會使用 MRI 解析度處理程序和檔案指標。

risk_entity_to_score 結果變數

根據預設，Google SecOps 會為取樣事件中的所有實體指派風險分數。並將分數指派給規則的 match 和 outcome 區段中擷取的所有實體。如要改為將風險評分指派給特定實體，請在規則中指定 risk_entity_to_score 結果變數。

risk_entity_to_score 結果變數會指定要評分的實體，而不是要顯示分數的欄位。為避免風險分散，Google SecOps 會在特定風險計算時間範圍內，將所選實體的風險整合至 MRI。如果您在 risk_entity_to_score 中指定非 MRI 的 ID，Google SecOps 不會直接將分數指派給該 ID。而是更新風險窗口中該實體的 MRI。

詳情請參閱「risk_entity_to_score 結果變數」。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。