アラートとエンティティのコンテキストを調査する

以下でサポートされています。

このガイドは、関連するアクティビティを特定し、アラートからリスク プロファイルを評価する調査担当者を対象としています。このガイドでは、アラートからエンティティのタイムラインにピボットする方法について説明します。調査が成功すると、複雑なインシデントのトリアージ時間を短縮し、影響の大きい脅威に最初に集中できます。

一般的なユースケース

このセクションでは、一般的なユースケースをいくつか紹介します。

トリアージとケースの優先順位付け

目標: 関連するエンティティのリスク プロファイルを評価して、直ちにエスカレーションする必要があるアラートを特定します。このアプローチでは、組織にとって最も大きな脅威となるアラートを特定することで、時系列処理を超えた対応が可能になります。

ワークフロー:

  1. [アラート] ダッシュボードを開いて、アラートを表示します。

  2. アセット ID またはユーザー名をコピーして、[リスク分析] にピボットします。

  3. エンティティのリスクスコアがすでに高い場合は、リスクの低いエンティティに関連するアラートよりもこのケースを優先します。

結果: SOC の限られたリソースを、影響の大きい脅威に優先的に集中させることができます。

アラートの影響範囲を分析する

目的: アラートの関連アクティビティを追跡して、インシデントの全範囲を把握します。環境全体で関連するアクティビティを追跡することで、不正使用されたシステムとアカウントの関係をマッピングし、脅威がどのように移行したかを可視化できます。

ワークフロー:

  1. [アラート] ダッシュボードを開き、高リスクのアラートを表示します。

  2. [グラフ] タブに移動して、エンティティ コンテキスト グラフ（ECG）の関係を表示します。

  3. 関連するエンティティごとに、Risk Analytics の [Detections timeline] にピボットします。

  4. 重複する検出パターンを探して、脅威がどのように拡散したかをマッピングします。

結果: 影響を受けたシステムとアカウントを特定するインシデントの包括的なマップ。

ラテラル ムーブメントの調査

目的: UDM イベントを通常の動作履歴のベースラインと比較して、悪意のある動作を事前に特定します。内部通信とアクセス パターンにおける微妙な異常を特定し、攻撃者がネットワーク内を移動していることを示唆できます。

ワークフロー:

  1. エンティティを選択し、その行動履歴（通常のログイン時間やファイル アクセスなど）を確認します。

  2. アセットが突然新しい内部 IP アドレスと通信したり、ユーザーが機密性の高いアプリケーションに初めてアクセスしたりするなど、UDM イベントで逸脱を検索します。

  3. 正式なアラートがまだトリガーされていない場合でも、これらの異常によってエンティティ リスクスコアが最近急上昇したかどうかを評価します。

  4. UDM イベントをエンティティの履歴にリンクすることで、正当なビジネス上の変更と潜在的なラテラル ムーブメントを区別できます。

結果: シグネチャベースのアラートをバイパスする脅威を早期に検出します。

始める前に

次のものが揃っていることを確認してください。

  • 権限: アラート ダッシュボード、リスク分析ダッシュボード、UDM 検索機能にアクセスできる必要があります。

  • 環境チェック: ECG とリスク分析を有効にして、タイムラインにデータを入力していることを確認します。

検出とエンティティ コンテキストを調査する

アラートをリスク プロファイルに手動でリンクし、関連するアセットの過去のアクティビティを分析する手順は次のとおりです。

アラートからエンティティを特定する

アラートに関与している特定のアセットまたはユーザーを特定して、調査の出発点を確立します。

  1. [アラート] ページに移動します。

  2. [検出] テーブルで、アラート名をクリックしてアラート ページを開きます。

  3. [入力] テーブルを見つけます。

    • テーブルにエンティティが含まれている場合は、次の操作を行います。

      1. エンティティ名をクリックして、[エンティティ コンテキスト] タブを開きます。

      2. 関連するエンティティ（特定のハッシュ、IP アドレス、アセット名など）を特定します。

      3. アセット ID またはユーザー名をコピーします。

    • テーブルに [検出] または [イベント] が含まれている場合は、次の操作を行います。

      1. 検出結果については、[検出] 行をクリックして、基盤となるイベントを表示します。

      2. イベント行をクリックして、[イベント ビューア] タブを開きます。

      3. [エンティティ] タブで、関連するエンティティ（特定のハッシュ、IP アドレス、アセット名など）を特定します。

      1. アラートで特定されたアセット ID またはユーザー名をコピーします。

リスク分析にピボットする

アラートで検出された識別子を使用して、分析ダッシュボード内のエンティティのより広範なリスク プロファイルにアクセスします。

  1. リスク分析ダッシュボードに移動します。

  2. [エンティティ] タブに移動し、コピーした識別子を検索バーに貼り付けます。

  3. 結果でエンティティ名をクリックして、アセットの [検出タイムライン] を表示します。[Detections Timeline] には、アセットまたはユーザーの過去のコンテキストが表示されます。

検出のタイムラインを分析する

  1. 現在のリスクスコアに影響した検出結果（19 detections など）のリストを確認します。

  2. タイムラインを確認して、UDM イベントと ECG の関係が時間の経過とともにどのように変化したかを確認し、インシデントの重大度を判断します。

注: タイムラインを無視して単一のアラートのみを確認すると、より大規模で連携した脅威を示す重複する検出パターンを見逃す可能性があります。

トラブルシューティング

このセクションでは、パフォーマンスの期待値の概要と、一般的な調査の問題に対するセルフサービスでの修正方法について説明します。

レイテンシと上限

同期のレイテンシにより、新しいイベントのタイムラインへの関連付けには約 10 ～ 15 分かかります。この期間中は、検索の再実行やサポート チケットの送信は行わないでください。

調査に関する一般的な問題

次の表を使用して、一般的な調査のギャップを解消します。

問題 説明 修正
アセット ID がありません アラートに、リンクされたアセットのないファイル ハッシュまたは IP アドレスのみが表示されます。 そのハッシュまたは IP の UDM 検索を実行して、関連する principal.asset_id を特定します。
空のタイムライン エンティティは Risk Analytics に存在するが、検出結果が一覧表示されない。 エンティティによって検出がトリガーされていることを確認します。有効になっている場合は、心電図取り込みパイプラインがアクティブかどうかを確認します。

検証とテスト

調査後、必要に応じて UDM 検索を使用して、タイムラインで見つかった特定のイベントが未加工のログとして存在することを確認し、関連付けの精度を確認できます。

次のステップ

アラートの調査

GCTI アラートを調査する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。