Analizzare gli avvisi e il contesto delle entità

Supportato in:

Questa guida è rivolta agli investigatori che vogliono identificare attività correlate e valutare i profili di rischio dagli avvisi. Puoi utilizzare questa guida per capire come passare da un avviso alla cronologia di un'entità. Un'indagine riuscita può ridurre il tempo di triage per gli incidenti complessi e aiutarti a concentrarti prima sulle minacce ad alto impatto.

Casi d'uso comuni

Questa sezione elenca alcuni casi d'uso comuni.

Valutazione e assegnazione della priorità delle richieste

Obiettivo: determina quali avvisi richiedono un'escalation immediata valutando il profilo di rischio delle entità coinvolte. Questo approccio va oltre l'elaborazione cronologica, identificando gli avvisi che rappresentano la minaccia più grande per l'organizzazione.

Workflow:

  1. Apri la dashboard Avvisi e visualizza un avviso.

  2. Copia l'ID risorsa o il nome utente e passa a Risk Analytics.

  3. Se l'entità ha già un punteggio di rischio elevato, dai la priorità a questa richiesta rispetto agli avvisi che riguardano entità a basso rischio.

Risultato: le risorse SOC limitate possono concentrarsi prima sulle minacce ad alto impatto.

Analizzare l'ambito di impatto di un avviso

Obiettivo: comprendere l'intera portata di un incidente monitorando l'attività correlata dell'avviso. Monitorando l'attività correlata nell'ambiente, puoi mappare la relazione tra sistemi e account compromessi per visualizzare la migrazione di una minaccia.

Workflow:

  1. Apri la dashboard Avvisi e visualizza un avviso a rischio elevato.

  2. Vai alla scheda del grafico per visualizzare le relazioni del grafico di contesto delle entità (ECG).

  3. Per ogni entità correlata, passa alla cronologia dei rilevamenti in Analisi del rischio.

  4. Cerca pattern di rilevamento sovrapposti per mappare la diffusione della minaccia.

Risultato:una mappa completa dell'incidente che identifica i sistemi e gli account interessati.

Indagine sul movimento laterale

Obiettivo: identificare in modo proattivo comportamenti dannosi confrontando gli eventi UDM con una base di riferimento della cronologia comportamentale normale. Puoi identificare anomalie sottili nelle comunicazioni interne e nei pattern di accesso che suggeriscono che un malintenzionato si sta spostando nella rete.

Workflow:

  1. Seleziona un'entità ed esamina la relativa cronologia comportamentale (orari di accesso abituali o accesso ai file).

  2. Cerca deviazioni negli eventi UDM, ad esempio un asset che comunica improvvisamente con un nuovo indirizzo IP interno o un utente che accede a un'applicazione sensibile per la prima volta.

  3. Valuta se queste anomalie hanno causato un recente picco nel punteggio di rischio dell'entità, anche se non è ancora stato attivato un avviso formale.

  4. Se colleghi gli eventi UDM alla cronologia dell'entità, puoi distinguere tra una modifica legittima dell'attività e un potenziale movimento laterale.

Risultato:rilevamento tempestivo delle minacce che aggirano gli avvisi basati sulle firme.

Prima di iniziare

Assicurati di disporre di quanto segue:

  • Autorizzazioni: devi disporre dell'accesso alla dashboard Avvisi, alla dashboard Analisi dei rischi e alle funzionalità di ricerca UDM.

  • Controllo dell'ambiente: attiva ECG e Risk Analytics per assicurarti che acquisiscano i dati per compilare le cronologie.

Esaminare i rilevamenti e il contesto delle entità

Completa i seguenti passaggi per collegare manualmente un avviso a un profilo di rischio e analizzare l'attività storica degli asset coinvolti.

Identificare l'entità da un avviso

Identifica l'asset o l'utente specifico coinvolto nell'avviso per stabilire un punto di partenza per l'indagine.

  1. Vai alla pagina Avvisi.

  2. Nella tabella Rilevamenti, fai clic sul nome dell'avviso per aprire la pagina corrispondente.

  3. Individua la tabella Input.

    • Se la tabella contiene Entità:

      1. Fai clic sul nome dell'entità per aprire la scheda Contesto entità.

      2. Identifica le entità correlate (ad esempio, un hash specifico, un indirizzo IP o un nome di asset).

      3. Copia l'ID risorsa o il nome utente.

    • Se la tabella contiene Rilevamenti o Eventi:

      1. Per i rilevamenti, fai clic sulla riga Rilevamento per visualizzare gli eventi sottostanti.

      2. Fai clic sulla riga dell'evento per aprire la scheda Visualizzatore eventi.

      3. Nella scheda Entità, identifica le entità correlate (ad esempio, un hash, un indirizzo IP o un nome di asset specifico).

      1. Copia l'ID risorsa o il nome utente identificato nell'avviso.

Passare all'analisi del rischio

Utilizza l'identificatore presente nell'avviso per accedere al profilo di rischio più ampio dell'entità all'interno della dashboard di analisi.

  1. Vai alla dashboard Analisi del rischio.

  2. Vai alla scheda Entità e incolla l'identificatore copiato nella barra di ricerca.

  3. Nei risultati, fai clic sul nome dell'entità per visualizzare la Cronologia dei rilevamenti dell'asset. La cronologia dei rilevamenti fornisce il contesto storico dell'asset o dell'utente.

Analizzare la cronologia dei rilevamenti

  1. Esamina l'elenco dei rilevamenti (ad esempio 19 detections) che hanno contribuito al punteggio di rischio attuale.

  2. Esamina la cronologia per vedere come si sono evolute nel tempo le relazioni tra gli eventi UDM e ECG per determinare la gravità dell'incidente.

Nota:se ignori la cronologia e guardi solo il singolo avviso, potresti non notare pattern di rilevamento sovrapposti che indicano una minaccia più grande e coordinata.

Risoluzione dei problemi

Questa sezione delinea le aspettative di rendimento e fornisce soluzioni self-service per i problemi comuni di indagine.

Latenza e limiti

Tieni presente che la correlazione dei nuovi eventi nella sequenza temporale richiede circa 10-15 minuti a causa della latenza di sincronizzazione. Evita di eseguire nuovamente le ricerche o di inviare un ticket di assistenza durante questo periodo.

Problemi comuni di indagine

Utilizza la seguente tabella per risolvere i problemi comuni di indagine.

Problema Descrizione Correggi
ID risorsa mancante L'avviso mostra solo un hash del file o un indirizzo IP senza un asset collegato. Esegui una ricerca UDM per quell'hash o IP per identificare l'principal.asset_id associato.
Cronologia vuota L'entità esiste in Risk Analytics, ma non sono elencati rilevamenti. Assicurati che l'entità abbia attivato i rilevamenti. In caso affermativo, verifica se la pipeline di importazione dell'ECG è attiva.

Convalida e test

Dopo l'indagine, puoi utilizzare facoltativamente la ricerca UDM per verificare che gli eventi specifici trovati nella cronologia esistano come log non elaborati, il che conferma l'accuratezza della correlazione.

Passaggi successivi

Indagare su un avviso

Esaminare un avviso GCTI

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.