Übersicht über den Threat Hunt Agent

Unterstützt in:

Der Threat Hunt Agent ist eine autonome KI-Funktion, die in Google Security Operations eingebettet ist und die proaktive Suche nach Bedrohungen in der Sicherheitstelemetrie Ihres Unternehmens automatisiert.

Dieser Leitfaden richtet sich an Google SecOps-Analysten und Threat Hunter, die die proaktive Suche nach Bedrohungen in der Sicherheitstelemetrie ihres Unternehmens automatisieren möchten. Er erklärt, wie Sie den Threat Hunt Agent verwenden, um Bedrohungssuchen autonom zu planen, Telemetriedaten abzufragen und forensische Beweise zu analysieren. Mit dem Threat Hunt Agent können Sie verborgene Angreifer erkennen und Sicherheitshypothesen ohne manuelle Recherche validieren. Eine erfolgreiche Suche verkürzt die Prüfzeit und beschleunigt die Reaktion auf neu auftretende Bedrohungen.

Anwendungsfall: Validierung von Bedrohungshypothesen automatisieren

  • Ziel: Die Recherche, die Erstellung von Abfragen und die Rauschfilterung automatisieren, die zur Validierung einer Bedrohungshypothese erforderlich sind.
  • Vorteil: Erfahrene Analysten können sich auf komplexe Aufgaben konzentrieren, da sie weniger Zeit für die manuelle Loganalyse und die Erstellung von Abfragen benötigen.

Schlüsselterminologie

  • Threat Hunt Agent: Eine autonome KI-Funktion, die auf Gemini basiert und auf Google Threat Intelligence, der Expertise von Mandiant-Experten und dem MITRE ATT&CK®-Framework basiert. Sie automatisiert die proaktive Suche nach Bedrohungen.
  • YARA-L 2.0 (YL2): Die Suchabfragesprache, die von Google SecOps verwendet wird, um historische Telemetriedaten abzufragen.
  • Feststellung: Das endgültige Urteil des Agenten. Beispiel: Substantial Evidence, Evidence Found oder Threat Not Found.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Enterprise Plus-Lizenz: Während der öffentlichen Vorschauphase ist der Threat Hunt Agent nur für Enterprise Plus-Kunden verfügbar. Das liegt am Integrationspunkt für neu auftretende Bedrohungen, der Google Threat Intelligence stark nutzt.
  • Neue Fallverwaltung:Sie müssen die neue Fallverwaltung aktivieren, um den Threat Hunt Agent zu verwenden. Die neue Fallverwaltung befindet sich derzeit in der öffentlichen Vorschau. Informationen zum Aktivieren von Vorschaufunktionen finden Sie unter Vorschaufunktionen verwalten.
  • Berechtigungen: Sie benötigen den entsprechenden Zugriff auf die Google SecOps-Plattform, insbesondere auf die Fallverwaltung.
  • Umgebungsprüfung: Wenn Ihre Organisation Umgebungen mit mehreren Mandanten oder segmentierte Umgebungen verwendet, prüfen Sie, ob Sie Zugriff auf die Zielumgebung haben.

Suche nach Bedrohungen starten

In den folgenden Schritten wird beschrieben, wie Sie den Threat Hunt Agent über das Fenster Emerging Threats (Neu auftretende Bedrohungen) starten:

  1. Wählen Sie im Navigationsmenü Detection > Emerging Threats (Erkennung > Neu auftretende Bedrohungen) aus. Klicken Sie auf New Threat Hunt (Neue Suche nach Bedrohungen).
  2. Konfigurieren Sie im Dialogfeld Agentic Threat Hunt (Agentengestützte Suche nach Bedrohungen) Folgendes:
    • Wählen Sie im Abschnitt What would you like to hunt for? (Wonach möchten Sie suchen?) die Bedrohungskategorie aus, die Sie untersuchen möchten:
      • Actor (Akteur): Suche nach bekannten Angreifergruppen, z. B. APT28 oder UNC2452.
      • Campaign (Kampagne): Suche nach organisierten Angreiferkampagnen.
      • Malware: Suche nach bestimmten Malware-Familien oder Loadern, z. B. FAKEUPDATES oder CHERRYRED.
      • Software Toolkit (Software-Toolkit): Suche nach missbrauchten Verwaltungstools oder Living-off-the-Land-Binaries (LOLbins), z. B. PowerShell, Certutil, oder vssadmin.
      • TTP: Suche nach bestimmten MITRE ATT&CK-Techniken, z. B. T1003.001 - OS Credential Dumping: LSASS Memory.
    • Nachdem Sie die Bedrohungskategorie ausgewählt haben, wählen Sie im Feld daneben den Namen, Alias oder die MITRE-ID der spezifischen Bedrohung aus.
    • Definieren Sie unter Select your hunt window (Suchzeitraum auswählen) den Zeitraum für die historischen Telemetriedaten, die analysiert werden sollen. Standardmäßig sind die letzten sieben Tage ausgewählt. Der maximale Zeitraum beträgt 30 Tage.
    • Wählen Sie im Menü Case environment (Fallumgebung) gegebenenfalls die Zielumgebung aus, in der gesucht werden soll.
  3. Klicken Sie auf Begin Hunt (Suche starten), um die Untersuchung zu starten.

Sobald Sie den Threat Hunt Agent starten, wird er autonom im Hintergrund ausgeführt und in Google SecOps wird in der Fallverwaltung ein neuer Fall erstellt. Der neue Fall verwendet das Präfix Threat Hunt for [Subject Name], um die Identifizierung von Fällen zu vereinfachen, die vom Threat Hunt Agent erstellt wurden. In der Spalte Tags (Tags) wird auch ein Threat Hunt-Tag angezeigt.

Sie können das Dialogfeld Agentic Threat Hunt (Agentengestützte Suche nach Bedrohungen) auch öffnen, um die Suche nach Bedrohungen über zusätzliche Einstiegspunkte zu starten:

  • Pop-ups von Google Threat Intelligence: Klicken Sie auf der Seite Threats Feed (Bedrohungsfeed) oder Campaign Detail (Kampagnendetails) neben einem Bedrohungsbericht oder Angreiferprofil auf Run Threat Hunt (Suche nach Bedrohungen ausführen).
  • Details zur Bedrohungszuordnung: Klicken Sie in den Threat Intelligence-Bereichen auf Run Threat Hunt (Suche nach Bedrohungen ausführen).
  • MITRE ATT&CK-Matrix: Klicken Sie unter MITRE ATT&CK auf einen Technikbereich. Klicken Sie dann auf Run Hunt (Suche ausführen).

Fälle für die Suche nach Bedrohungen ansehen

Sie können die Suche nach Bedrohungen jederzeit in der Warteschlange der Fallverwaltung finden und verfolgen:

  • Wählen Sie im Navigationsmenü Cases (Fälle) aus.
    • Nach Tag filtern: Wählen Sie mit dem Tag-Filter das Tag Threat Hunt (Suche nach Bedrohungen) aus.
    • Nach Name suchen: Verwenden Sie die Suchleiste, um nach bestimmten Suchtiteln zu suchen, z. B. Mimikatz.

Status und Benachrichtigungen

In der Fallliste und der Fallwand wird der Live-Status der Suche nach Bedrohungen angezeigt. Wenn Sie einen Fall öffnen, werden neben der Option Manage Tags (Tags verwalten) Tags angezeigt:

Status Erklärung
Threat Hunt Running (Suche nach Bedrohungen wird ausgeführt) Wird angezeigt, während der Agent aktiv plant, Abfragen übersetzt und UDM-Ereignisse scannt. Der Fallstatus bleibt offen und wird automatisch aktualisiert.
Completed (Abgeschlossen) Wird angezeigt, wenn der Agent die Analyse abgeschlossen und die endgültige Feststellung und die Zusammenfassung der Beweise veröffentlicht hat.
Queued (In der Warteschlange) Wird angezeigt, wenn der Agent darauf wartet, dass vorherige Suchen nach Bedrohungen abgeschlossen werden, bevor er beginnt.
Failed (Fehlgeschlagen) Wird angezeigt, wenn ein schwerwiegender Fehler auftritt (z. B. Zeitüberschreitung des Suchdienstes).

Fall für die Suche nach Bedrohungen überprüfen

So überprüfen und verwalten Sie einen Fall für die Suche nach Bedrohungen:

  1. Wählen Sie in der Warteschlange Cases (Fälle) den Fall aus, den Sie überprüfen möchten.
  2. Rufen Sie das Widget Agentic Threat Hunt (Agentengestützte Suche nach Bedrohungen) auf, um die Zusammenfassung des Falls zu sehen.
  3. Klicken Sie auf die Schaltfläche Determination (Feststellung), um das Ergebnis der Suche nach Bedrohungen zu sehen:
    • Substantial Evidence (Erhebliche Beweise): Es gibt starke, überzeugende Beweise dafür, dass das Bedrohungsverhalten erkannt wurde.
    • Evidence Found (Beweise gefunden): Es wurden potenzielle Indikatoren oder Bedrohungsverhaltensweisen erkannt, die die Hypothese stützen.
    • Threat Not Found (Keine Bedrohung gefunden): Es wurden keine Beweise für das Bedrohungsverhalten gefunden.
  4. Lesen Sie die Results Summary (Zusammenfassung der Ergebnisse). Dies ist eine Zusammenfassung der Suche, in der detailliert beschrieben wird, was der Threat Hunt Agent gefunden hat. Dazu können Informationen wie beobachtete Hostnamen, Nutzerkonten, Befehlszeilen für Prozesse, Zeitstempel und Verhaltenskontext gehören.

Detailliertere Informationen ansehen

So rufen Sie detailliertere Informationen zu einem Fall auf:

  1. Klicken Sie im Widget Agentic Threat Hunt (Agentengestützte Suche nach Bedrohungen) eines Falls unter Subject (Betreff) auf den Link.
  2. Klicken Sie auf eine der folgenden Optionen, die möglicherweise angezeigt werden:
    • Actor/Malware (Akteur/Malware): Öffnet die Seitenleiste Entity Summary (Zusammenfassung der Entität) mit detaillierten Threat Intelligence-Profilen.
    • MITRE Technique (MITRE-Technik): Öffnet das Overlay MITRE Details (MITRE-Details) mit Technikbeschreibungen und Anleitungen zur Risikominderung.
    • Campaign (Kampagne): Ruft direkt das Detailfenster Campaign (Kampagne) oder Emerging Threats (Neu auftretende Bedrohungen) auf.

Zeitachse der Suchschritte prüfen

Sehen Sie sich die forensische Spur der Untersuchung des Agenten auf der Zeitachse Hunt Steps (Suchschritte) an.

  1. Klicken Sie rechts im Widget Agentic Threat Hunt (Agentengestützte Suche nach Bedrohungen) auf View Hunt Detail (Details zur Suche ansehen).
  2. Maximieren Sie jeden Schritt, um die Details zu sehen.
  3. Sie haben folgende Möglichkeiten:
    • Atomic questions (Atomare Fragen) ansehen: Prüfen Sie jede einzelne Frage, die der Agent gestellt hat, um den Suchplan zu validieren.
    • Generated YL2 queries (Generierte YL2-Abfragen) prüfen: Sehen Sie sich die genauen YL2-Suchabfragen an, die vom Agenten verwendet wurden.
    • Event counts &telemetry (Anzahl der Ereignisse und Telemetriedaten) prüfen: Sehen Sie sich die Anzahl der relevanten Ereignisse an, die vom Agenten extrahiert wurden.
    • Step evidence (Beweise für Schritte) prüfen: Lesen Sie für jeden einzelnen Schritt forensische Beobachtungen, z. B. bestimmte Beziehungen zwischen übergeordneten und untergeordneten Prozessen oder Befehlszeilenflags.

Feedback zu Suchergebnissen geben

Helfen Sie uns, die Genauigkeit des KI-Agenten zu verbessern, indem Sie Feedback geben.

  1. Klicken Sie im Widget Agentic Threat Hunt (Agentengestützte Suche nach Bedrohungen) auf „Mag ich nicht“ thumb_down oder „Mag ich“ thumb_up.

  2. Im daraufhin geöffneten Dialogfeld Send Feedback (Feedback geben) können Sie Feedback senden, einschließlich Kommentaren, in denen Sie erläutern, warum die Feststellung oder Abfrage korrekt war oder wo Verbesserungsbedarf besteht.

  3. Klicken Sie auf Send Feedback (Feedback geben).

Fehlerbehebung

  • Ausführungszeit: Die Suche nach Bedrohungen dauert in der Regel 60 bis 90 Minuten. Das hängt vom ausgewählten Zeitraum und dem Umfang der Telemetriedaten in Ihrer Umgebung ab.
  • Status „In der Warteschlange“: Die Suche nach Bedrohungen kann in die Warteschlange gestellt werden, wenn der Agent darauf wartet, dass vorherige Suchen nach Bedrohungen abgeschlossen werden. Aus Gründen der KI-Kapazität sollten Sie vermeiden, mehrere redundante Suchen auszulösen.
  • Suchkontingent: Während der Vorschauphase können Kunden maximal zwei gleichzeitige Suchen nach Bedrohungen und bis zu fünf Suchen nach Bedrohungen pro Tag ausführen. Dies kann zur Verwaltung der globalen Kapazität angepasst werden.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten