Panoramica di Risk Analytics

Supportato in:

L'analisi dei rischi viene utilizzata per identificare comportamenti insoliti e comprendere il potenziale rischio che le entità rappresentano per la tua azienda. Nei sistemi che utilizzano l'RBAC dei dati, solo gli utenti con ambito globale possono accedere all'analisi del rischio. La dashboard Risk Analytics è composta da una sezione Behavioral Analytics, che elenca le entità in base ai punteggi di rischio delle entità di Google Security Operations, e da una sezione Elenco osservati speciali, che elenca le entità in base ai calcoli del rischio aziendale interno.

I punteggi di rischio vengono utilizzati in tutto Google SecOps. La definizione e la funzione di questi punteggi variano a seconda della funzionalità che utilizzi.

Risk Analytics è disponibile con le licenze Enterprise ed Enterprise Plus o come componente aggiuntivo di una licenza standalone di Google SecOps SIEM.

Entità, rischi e risultati in Risk Analytics

Questa sezione definisce i concetti di entità, rischio e risultati così come vengono presentati nella dashboard Risk Analytics.

  • Entità: rappresentazione contestuale di una risorsa o di un utente nel tuo ambiente. Tutti gli eventi associati alle entità forniscono un contesto sul livello di rischio dell'entità. Per saperne di più, consulta Oggetti logici: evento ed entità.

  • Finestra di calcolo del rischio: consente di modificare il periodo di tempo per la dashboard, in modo da esaminare i dati in periodi di tempo diversi. Ad esempio, puoi scoprire i tentativi di accesso con attacco di forza bruta utilizzando un intervallo di tempo più breve o esaminare attività dannose a lungo termine impostando un intervallo di tempo più lungo.

  • Normalizzato: i punteggi normalizzati sono impostati tra 1 e 1000 per distinguere le entità senza punteggi da quelle che hanno rilevamenti all'interno della finestra di rischio.

  • Tendenza normalizzata: variazione del punteggio di rischio dell'entità normalizzato rispetto alla finestra precedente.

  • Base: i punteggi di base vengono calcolati sommando i punteggi di rischio dei risultati (avvisi e rilevamenti) per un'entità durante la finestra di rischio con l'applicazione della ponderazione.

    La ponderazione definisce il modo in cui i punteggi di rischio di avvisi e rilevamenti contribuiscono ai calcoli del punteggio di rischio dell'entità. La ponderazione può assumere un valore compreso tra 0 e 1.
    Se il valore di ponderazione è 1, la ponderazione non avrà alcun impatto. Tutti gli altri valori sono percentuali (ad esempio, 0,5 corrisponde a 50%). Il valore di ponderazione predefinito è 0,2 e può essere modificato in Impostazioni. Per ulteriori informazioni, consulta Ponderazione del punteggio di rischio dell'entità.

  • Variazione di base: variazione del punteggio di rischio dell'entità di base rispetto alla finestra precedente.

  • Prima/ultima apparizione nella finestra: timestamp corrispondente al momento in cui l'entità è stata vista per la prima o l'ultima volta in un risultato (avviso o rilevamento) per il periodo di tempo specificato nella finestra di rischio.

Risultati in Analisi dei rischi

I seguenti termini vengono utilizzati nella pagina Risultati (fai clic su un'entità nella tabella delle entità per aprirla nella pagina Risultati).

  • Risultati: numero di risultati (avvisi e rilevamenti) che includono questa entità per il periodo di tempo nella finestra di rischio.

  • Gravità: la gravità è determinata dalla sorgente quando viene creato un risultato.

  • Priorità: la priorità è determinata dalla sorgente quando viene creato un risultato.

  • Punteggio di rischio: i punteggi di rischio sono determinati dalla sorgente quando viene creato un risultato. Se i punteggi di rischio non sono impostati, viene utilizzato il punteggio di rischio predefinito per gli avvisi e i rilevamenti. Il punteggio di rischio predefinito per gli avvisi è 40. Il punteggio di rischio predefinito per i rilevamenti è 15.

Calcolo del punteggio di rischio

Il calcolo del punteggio di rischio per ogni entità si basa sul punteggio di rischio dei risultati e viene modificato in base a un insieme di parametri che puoi specificare e a un insieme di parametri controllati da Google SecOps. I parametri che puoi controllare sono accessibili andando alla barra di navigazione e facendo clic su Impostazioni > Punteggi di rischio entità:

  • Coefficiente di avviso chiuso: se gli analisti della sicurezza contrassegnano un avviso come chiuso, questo viene moltiplicato per questo modificatore con virgola mobile. L'intervallo è 0-1. Il valore predefinito è 1.

  • Punteggio di rischio dei rilevamenti predefinito: specifica il punteggio di rischio per i rilevamenti nel motore delle regole. L'intervallo è 0-1000. Il valore predefinito è 15.

I seguenti parametri sono specificati da Google SecOps:

  • Modifica del punteggio di rischio con TTL: il punteggio di rischio di base dell'entità viene modificato da un fattore di moltiplicazione per l'intervallo di tempo.

  • Modifica del punteggio di rischio senza TTL: il punteggio di rischio dei rilevamenti viene modificato con un fattore di moltiplicazione.

Di seguito sono riportate le formule utilizzate per calcolare il punteggio di rischio e il punteggio di rischio normalizzato:

  • Calcolo del punteggio di rischio: (punteggio di rischio di base dell'entità) = (punteggio di rischio massimo per il risultato) + (ponderazione * (somma dei punteggi di rischio rimanenti per i risultati))

  • Punteggio di rischio normalizzato: i punteggi di rischio di base dell'entità vengono normalizzati in tutte le entità. Il punteggio di rischio di base dell'entità utilizza la normalizzazione min-max e varia da 1 a 1000. Le entità con rischio zero non sono incluse.

Precedenza delle entità per l'assegnazione del punteggio di rischio

Quando assegna il punteggio di rischio, Google SecOps utilizza un sottoinsieme di tipi di nomi di primo livello principal, src, target e about e assegna un punteggio di rischio in base ai campi alias dei sottotipi di eventi user e asset. Il calcolo del rischio non supporta i tipi di entità RESOURCE o GROUP.

Google SecOps assegna il punteggio di rischio all'alias (indicatore) più affidabile disponibile per un'entità all'interno di una determinata finestra di calcolo del rischio. I campi alias con ranking più alto hanno la precedenza nell'assegnazione dello scoring del rischio, con 1 che ha il ranking più alto. Se l'alias con il ranking più alto non è disponibile nella finestra di rischio, Google SecOps assegna il punteggio all'alias disponibile con il ranking più alto successivo.

Per i campi alias user, Google SecOps utilizza il seguente ranking per l'assegnazione del punteggio di rischio:

  1. windows_sid
  2. email_addresses
  3. userid
  4. employee_id
  5. product_object_id

Per i campi alias asset, Google SecOps utilizza il seguente ranking per l'assegnazione del punteggio di rischio:

  1. hostname
  2. mac
  3. asset_id
  4. ip
  5. product_object_id

Esempio di calcolo del punteggio di rischio

Di seguito viene descritta la sequenza completa di calcolo di un punteggio di rilevamento del rischio per un'entità:

  1. Input: i rilevamenti generati dalle regole vengono raggruppati in base agli indicatori sottostanti.
  2. (Facoltativo) Coefficiente di avviso chiuso: se il punteggio di rischio del rilevamento riguarda un avviso chiuso, il punteggio viene moltiplicato per il coefficiente di avviso chiuso.
  3. (Facoltativo) Modifica del punteggio di rischio predefinito Se non è impostato esplicitamente in una regola, viene applicato il punteggio di rischio dei rilevamenti predefinito. I punteggi di rischio dei rilevamenti predefiniti con o senza avvisi possono essere modificati nelle impostazioni dei punteggi di rischio delle entità.
  4. (Facoltativo) Modifica dei rilevamenti compositi: per impostazione predefinita, Google SecOps assegna lo scoring del rischio a tutte le entità negli eventi campionati. Assegna inoltre il punteggio a tutte le entità acquisite nelle sezioni match e outcome della regola. Per assegnare lo scoring del rischio a entità specifiche, specifica la variabile di risultato $risk_entity_to_score nella regola.
  5. Calcolo del punteggio di rischio: il fattore di ponderazione viene moltiplicato per la somma di tutti i rilevamenti (tranne il punteggio di rischio di rilevamento massimo) e poi aggiunto al punteggio di rischio di rilevamento massimo. Questo valore rappresenta il punteggio di rischio dell'entità non elaborata.
  6. Ponderazione della modifica: il punteggio di rischio dell'entità non elaborato viene moltiplicato per la ponderazione della modifica. Questa modifica è un'operazione una tantum, a meno che non sia impostato un TTL. Questo valore è il punteggio di rischio di base dell'entità.
  7. Ponderazione della lista di controllo: se un'entità fa parte di una lista di controllo, la ponderazione della lista di controllo viene aggiunta al punteggio di rischio di rilevamento.
  8. Punteggio di rischio normalizzato: il punteggio di rischio di base dell'entità viene normalizzato in tutte le entità utilizzando la normalizzazione min-max.

Impostazioni del punteggio di rischio

La pagina Punteggi di rischio delle entità ti consente di definire la modalità di calcolo dei punteggi di rischio per entità, avvisi e rilevamenti. Puoi applicare la ponderazione ai calcoli del punteggio di rischio dell'entità e impostare punteggi di rischio di avvisi e rilevamenti predefiniti. Le modifiche si applicano solo ai nuovi avvisi e rilevamenti e possono richiedere fino a 30 minuti per avere effetto.

  • Ponderazione del punteggio di rischio dell'entità: la ponderazione definisce il modo in cui i punteggi di rischio di avvisi e rilevamenti vengono presi in considerazione nei calcoli del punteggio di rischio dell'entità. La ponderazione è un valore compreso tra 0 e 1. La formula per il punteggio di rischio di base dell'entità è definita come segue:

    Punteggio di rischio di base dell'entità = (punteggio di rischio massimo per il risultato) + (ponderazione * (somma dei punteggi di rischio rimanenti per i risultati))

  • Punteggi di rischio predefiniti per gli avvisi: specifica il punteggio di rischio predefinito per gli avvisi nella pagina Impostazioni. Il valore predefinito è 40. Puoi modificare i singoli punteggi di rischio degli avvisi nelle regole stesse. Queste impostazioni sostituiscono quelle predefinite configurate nella pagina Impostazioni.

  • Punteggi di rischio predefiniti per i rilevamenti: specifica il punteggio di rischio dei rilevamenti predefinito nella pagina Impostazioni. Il valore predefinito è 15. Puoi modificare i singoli punteggi di rischio di rilevamento nelle regole stesse. Queste impostazioni sostituiscono quelle predefinite configurate nella pagina Impostazioni.

Analisi del rischio quasi in tempo reale per i clienti aziendali

Questo ricalcolo rapido ti consente di utilizzare gli avvisi basati sul rischio (RBA) per soddisfare gli obiettivi di livello di servizio (SLO) del servizio di avvisi aziendale riducendo al minimo il ritardo nell'identificazione e nella risposta agli asset probabilmente compromessi.

Risoluzione MRI per lo scoring del rischio in UEBA

Per l'analisi comportamentale di entità e utente (UEBA), la logica di risoluzione dell'indicatore più affidabile (MRI) identifica l'identificatore più autorevole per un'entità (utente o asset) supportata quando sono presenti più indicatori. Questo processo è necessario per l'indicizzazione e lo scoring del rischio. Il calcolo del rischio non supporta i tipi di entità RESOURCE o GROUP. In questo modo, il rischio viene attribuito all'identità più stabile disponibile per un utente in diverse origini dati. La risoluzione MRI utilizza le seguenti procedure per identificare l'indicatore più affidabile:

  • Priorità basata sul tipo: ogni categoria di indicatori ha una mappa di priorità interna in cui i valori più elevati indicano una maggiore affidabilità. Ad esempio, WINDOWS_SID (priorità 4) è intrinsecamente più affidabile dell'ID dipendente (priorità 1).
  • Risoluzione dei pareggi: se due indicatori hanno la stessa priorità, il sistema confronta i nomi visualizzati e gli spazi dei nomi per decidere quale indicatore è più affidabile.

Gerarchia di affidabilità all'interno dei tipi di entità

La gerarchia seguente elenca gli indicatori disponibili dal più affidabile (priorità 4) al meno affidabile (priorità 0) all'interno di ogni tipo di entità.

  1. Indicatori utente
    1. SID Windows: priorità 4
    2. Email: priorità 3
    3. Nome utente: priorità 2
    4. ID dipendente: priorità 1
    5. ID oggetto prodotto: priorità 0
  2. Indicatori degli asset
    1. Nome host: nomi host di primo livello con priorità se configurati (priorità 4)
    2. Indirizzo MAC: priorità 3
    3. ID specifico del prodotto o ID asset: priorità 2
    4. Indirizzo IP dell'asset: priorità 1
    5. ID oggetto prodotto: priorità 0

Risoluzione dell'ambito MRI

L'ambito della risoluzione MRI è limitato ai seguenti tipi di entità:

  • ASSET_IP_ADDRESS
  • MAC, HOSTNAME
  • PRODUCT_SPECIFIC_ID
  • EMAIL
  • NOME UTENTE
  • WINDOWS_SID
  • EMPLOYEE_ID
  • PRODUCT_OBJECT_ID.

Non utilizziamo la risoluzione MRI con gli indicatori di processo e file.

variabile di risultato risk_entity_to_score

Per impostazione predefinita, Google SecOps assegna lo scoring del rischio a tutte le entità negli eventi campionati. Assegna inoltre il punteggio a tutte le entità acquisite nelle sezioni match e outcome di una regola. Per assegnare lo scoring del rischio a entità specifiche, specifica la variabile di risultato risk_entity_to_score nella regola.

La variabile di risultato risk_entity_to_score specifica l'entità da valutare, non il campo in cui visualizzare il punteggio. Per evitare la frammentazione del rischio, Google SecOps consolida il rischio nell'MRI disponibile per l'entità selezionata in un determinato periodo di calcolo del rischio. Se specifichi un identificatore non MRI in risk_entity_to_score, Google SecOps non assegna il punteggio direttamente a questo identificatore. Aggiorna invece l'MRI disponibile per l'entità nella finestra di rischio.

Per saperne di più, consulta la sezione Variabile di risultato risk_entity_to_score.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.