Menyelidiki pemberitahuan dan konteks entitas

Didukung di:

Panduan ini ditujukan bagi penyelidik yang ingin mengidentifikasi aktivitas yang berkorelasi dan mengevaluasi profil risiko dari peringatan. Anda dapat menggunakan panduan ini untuk memahami cara beralih dari pemberitahuan ke linimasa entitas. Investigasi yang berhasil dapat mengurangi waktu triase untuk insiden yang kompleks dan membantu Anda berfokus pada ancaman berdampak tinggi terlebih dahulu.

Kasus penggunaan umum

Bagian ini mencantumkan beberapa kasus penggunaan umum.

Triase dan penentuan prioritas kasus

Tujuan: Tentukan pemberitahuan mana yang memerlukan eskalasi langsung dengan mengevaluasi profil risiko entitas yang terlibat. Pendekatan ini melampaui pemrosesan kronologis dengan mengidentifikasi pemberitahuan yang menimbulkan ancaman terbesar bagi organisasi.

Alur kerja:

  1. Buka dasbor Pemberitahuan dan lihat pemberitahuan.

  2. Salin ID aset atau nama pengguna, lalu beralih ke Analisis Risiko.

  3. Jika entity sudah memiliki skor risiko entity yang tinggi, prioritaskan kasus ini daripada pemberitahuan yang melibatkan entity berisiko rendah.

Hasil: Sumber daya SOC yang terbatas dapat berfokus pada ancaman berdampak tinggi terlebih dahulu.

Menganalisis cakupan dampak pemberitahuan

Tujuan: Memahami cakupan penuh insiden dengan melacak aktivitas yang berkorelasi dengan pemberitahuan. Dengan melacak aktivitas yang berkorelasi di seluruh lingkungan, Anda dapat memetakan hubungan antara sistem dan akun yang disusupi untuk memvisualisasikan cara ancaman bermigrasi.

Alur kerja:

  1. Buka dasbor Alerts dan lihat pemberitahuan berisiko tinggi.

  2. Buka tab grafik untuk melihat hubungan grafik konteks entity (ECG).

  3. Untuk setiap entitas terkait, lakukan pivot ke Linimasa deteksi di Analisis Risiko.

  4. Cari pola deteksi yang tumpang-tindih untuk memetakan cara penyebaran ancaman.

Hasil: Peta komprehensif insiden yang mengidentifikasi sistem dan akun yang terpengaruh.

Penyelidikan pergerakan lateral

Tujuan: Mengidentifikasi perilaku berbahaya secara proaktif dengan membandingkan peristiwa UDM dengan dasar pengukuran histori perilaku normal. Anda dapat mengidentifikasi anomali halus dalam komunikasi internal dan pola akses yang menunjukkan bahwa penyerang bergerak melalui jaringan.

Alur kerja:

  1. Pilih entitas dan tinjau histori perilakunya (waktu login biasa atau akses file).

  2. Cari penyimpangan peristiwa UDM, seperti aset yang tiba-tiba berkomunikasi dengan alamat IP internal baru atau pengguna yang mengakses aplikasi sensitif untuk pertama kalinya.

  3. Evaluasi apakah anomali ini telah menyebabkan lonjakan skor risiko entitas baru-baru ini, meskipun pemberitahuan formal belum dipicu.

  4. Dengan menautkan peristiwa UDM ke histori entitas, Anda dapat membedakan antara perubahan bisnis yang sah dan potensi pergerakan lateral.

Hasil: Deteksi dini ancaman yang melewati pemberitahuan berbasis signature.

Sebelum memulai

Pastikan Anda telah melakukan hal berikut:

  • Izin: Anda harus memiliki akses ke dasbor Pemberitahuan, dasbor Analisis Risiko, dan kemampuan Penelusuran UDM.

  • Pemeriksaan lingkungan: Aktifkan EKG dan Analisis Risiko untuk memastikan bahwa keduanya menyerap data untuk mengisi linimasa.

Menyelidiki deteksi dan konteks entitas

Selesaikan langkah-langkah berikut untuk menautkan pemberitahuan ke profil risiko secara manual dan menganalisis aktivitas historis aset yang terlibat.

Mengidentifikasi entity dari pemberitahuan

Identifikasi aset atau pengguna tertentu yang terlibat dalam pemberitahuan untuk menentukan titik awal penyelidikan Anda.

  1. Buka halaman Pemberitahuan.

  2. Di tabel Deteksi, klik nama pemberitahuan untuk membuka halaman pemberitahuan.

  3. Cari tabel Inputs.

    • Jika tabel berisi Entitas, lakukan hal berikut:

      1. Klik nama entity untuk membuka tab Konteks entity.

      2. Identifikasi entitas terkait (misalnya, hash, alamat IP, atau nama aset tertentu).

      3. Salin ID Aset atau Nama Pengguna.

    • Jika tabel berisi Deteksi atau Peristiwa, lakukan hal berikut:

      1. Untuk deteksi, klik baris Deteksi untuk melihat peristiwa pokok.

      2. Klik baris peristiwa untuk membuka tab Event viewer.

      3. Di tab Entitas, identifikasi entitas terkait (misalnya, hash, alamat IP, atau nama aset tertentu).

      1. Salin ID Aset atau Nama Pengguna yang diidentifikasi dalam pemberitahuan.

Beralih ke analisis risiko

Gunakan ID yang ditemukan dalam pemberitahuan untuk mengakses profil risiko entitas yang lebih luas dalam dasbor analisis.

  1. Buka dasbor Analisis Risiko.

  2. Buka tab Entitas dan tempel ID yang disalin ke kotak penelusuran.

  3. Dari hasil, klik nama entity untuk melihat Linimasa Deteksi aset. Linimasa Deteksi memberikan konteks historis aset atau pengguna.

Menganalisis linimasa deteksi

  1. Periksa daftar deteksi (misalnya, 19 detections) yang berkontribusi pada skor risiko saat ini.

  2. Tinjau linimasa untuk melihat perkembangan hubungan UDM dan EKG dari waktu ke waktu untuk menentukan tingkat keparahan insiden.

Catatan: Jika Anda mengabaikan linimasa dan hanya melihat satu pemberitahuan, Anda mungkin melewatkan pola deteksi yang tumpang-tindih yang mengindikasikan ancaman yang lebih besar dan terkoordinasi.

Pemecahan masalah

Bagian ini menguraikan ekspektasi performa dan memberikan perbaikan layanan mandiri untuk masalah penyelidikan umum.

Latensi dan batas

Perlu diketahui bahwa korelasi peristiwa baru ke linimasa Anda memerlukan waktu sekitar 10–15 menit karena latensi sinkronisasi. Hindari menjalankan ulang penelusuran atau mengirimkan tiket dukungan selama periode ini.

Masalah umum investigasi

Gunakan tabel berikut untuk mengatasi kesenjangan penyelidikan umum.

Masalah Deskripsi Perbaiki
ID aset tidak ada Pemberitahuan Anda hanya menampilkan hash file atau alamat IP tanpa aset tertaut. Jalankan penelusuran UDM untuk hash atau IP tersebut guna mengidentifikasi principal.asset_id terkait.
Linimasa kosong Entitas ada di Analisis Risiko, tetapi tidak ada deteksi yang tercantum. Pastikan entity telah memicu deteksi. Jika sudah, verifikasi apakah pipeline penyerapan EKG Anda aktif.

Validasi dan pengujian

Setelah melakukan investigasi, Anda dapat secara opsional menggunakan Penelusuran UDM untuk memverifikasi bahwa peristiwa tertentu yang ditemukan di linimasa ada sebagai log mentah, yang mengonfirmasi akurasi korelasi.

Langkah berikutnya

Menyelidiki pemberitahuan

Menyelidiki pemberitahuan GCTI

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.