Investiga las alertas y el contexto de las entidades
Esta guía está dirigida a los investigadores que desean identificar actividades correlacionadas y evaluar los perfiles de riesgo a partir de las alertas. Puedes usar esta guía para comprender cómo pasar de una alerta a la cronología de una entidad. Una investigación exitosa puede reducir el tiempo de clasificación de los incidentes complejos y ayudarte a enfocarte primero en las amenazas de alto impacto.
Casos de uso habituales
En esta sección, se enumeran algunos casos de uso comunes.
Evaluación y priorización de casos
Objetivo: Determinar qué alertas requieren una derivación inmediata evaluando el perfil de riesgo de las entidades involucradas. Este enfoque va más allá del procesamiento cronológico, ya que identifica las alertas que representan la mayor amenaza para la organización.
Flujo de trabajo:
Abre el panel Alertas y consulta una alerta.
Copia el ID del activo o el nombre de usuario y cambia a Risk Analytics.
Si la entidad ya tiene una puntuación de riesgo alta, prioriza este caso por sobre las alertas que involucren entidades de riesgo bajo.
Resultado: Los recursos limitados del SOC pueden enfocarse primero en las amenazas de alto impacto.
Analizar el alcance del impacto de una alerta
Objetivo: Comprender el alcance completo de un incidente haciendo un seguimiento de la actividad correlacionada de la alerta. Si haces un seguimiento de la actividad correlacionada en todo el entorno, puedes trazar la relación entre los sistemas y las cuentas vulnerados para visualizar cómo migró una amenaza.
Flujo de trabajo:
Abre el panel Alertas y consulta una alerta de riesgo alto.
Ve a la pestaña Gráfico para ver las relaciones del gráfico de contexto de la entidad (ECG).
Para cada entidad relacionada, cambia a la cronología de detecciones en Análisis de riesgos.
Busca patrones de detección superpuestos para trazar un mapa de cómo se pudo haber propagado la amenaza.
Resultado: Un mapa integral del incidente que identifica los sistemas y las cuentas afectados.
Investigación de movimiento lateral
Objetivo: Identificar de forma proactiva el comportamiento malicioso comparando los eventos de UDM con un modelo de referencia del historial de comportamiento normal. Puedes identificar anomalías sutiles en las comunicaciones internas y los patrones de acceso que sugieren que un atacante se está moviendo por la red.
Flujo de trabajo:
Selecciona una entidad y revisa su historial de comportamiento (horas de acceso habituales o acceso a archivos).
Busca desviaciones en los eventos de UDM, como un recurso que se comunica de repente con una nueva dirección IP interna o un usuario que accede a una aplicación sensible por primera vez.
Evalúa si estas anomalías provocaron un aumento reciente en la puntuación de riesgo de la entidad, incluso si aún no se activó una alerta formal.
Si vinculas los eventos de UDM al historial de la entidad, puedes distinguir entre un cambio empresarial legítimo y un posible movimiento lateral.
Resultado: Detección temprana de amenazas que evaden las alertas basadas en firmas.
Antes de comenzar
Asegúrate de tener lo siguiente:
Permisos: Debes tener acceso al panel de alertas, al panel de análisis de riesgos y a las funciones de búsqueda de UDM.
Verificación del entorno: Habilita ECG y Análisis de riesgos para asegurarte de que estén transfiriendo datos para propagar los cronogramas.
Investiga las detecciones y el contexto de las entidades
Completa los siguientes pasos para vincular manualmente una alerta a un perfil de riesgo y analizar la actividad histórica de los activos involucrados.
Identifica la entidad a partir de una alerta
Identifica el recurso o el usuario específico involucrado en la alerta para establecer un punto de partida para tu investigación.
Ve a la página Alertas.
En la tabla Detecciones, haz clic en el nombre de la alerta para abrir la página de alertas.
Busca la tabla Entradas.
Si la tabla contiene Entidades, haz lo siguiente:
Haz clic en el nombre de la entidad para abrir la pestaña Contexto de la entidad.
Identifica las entidades relacionadas (por ejemplo, un hash, una dirección IP o un nombre de recurso específicos).
Copia el ID del activo o el nombre de usuario.
Si la tabla contiene Detecciones o Eventos, haz lo siguiente:
En el caso de las detecciones, haz clic en la fila Detección para ver los eventos subyacentes.
Haz clic en la fila del evento para abrir la pestaña Visualizador de eventos.
En la pestaña Entidades, identifica las entidades relacionadas (por ejemplo, un hash, una dirección IP o un nombre de recurso específicos).
- Copia el ID del activo o el nombre de usuario que se identificó en la alerta.
Cómo pasar al análisis de riesgos
Usa el identificador que se encuentra en la alerta para acceder al perfil de riesgo más amplio de la entidad en el panel de estadísticas.
Ve al panel Análisis de riesgos.
Ve a la pestaña Entidades y pega el identificador copiado en la barra de búsqueda.
En los resultados, haz clic en el nombre de la entidad para ver el cronograma de detecciones del recurso. La cronología de detecciones proporciona el contexto histórico del recurso o usuario.
Analiza el cronograma de detecciones
Examina la lista de detecciones (por ejemplo,
19 detections) que contribuyeron a la puntuación de riesgo actual.Revisa el cronograma para ver cómo evolucionaron los eventos de UDM y las relaciones de ECG con el tiempo y determinar la gravedad del incidente.
Nota: Si ignoras la cronología y solo observas la alerta única, es posible que te pierdas patrones de detección superpuestos que indiquen una amenaza coordinada más grande.
Soluciona problemas
En esta sección, se describen las expectativas de rendimiento y se proporcionan correcciones de autoservicio para problemas de investigación comunes.
Latencia y límites
Ten en cuenta que la correlación de eventos nuevos en tu cronología tarda aproximadamente entre 10 y 15 minutos debido a la latencia de sincronización. Evita volver a ejecutar búsquedas o presentar un ticket de asistencia durante este período.
Problemas comunes de investigación
Usa la siguiente tabla para resolver las brechas de investigación comunes.
| Problema | Descripción | Corregir |
|---|---|---|
| Falta el ID del activo | La alerta solo muestra un hash de archivo o una dirección IP sin un recurso vinculado. | Ejecuta una búsqueda de UDM para ese hash o IP con el objetivo de identificar el
principal.asset_id asociado.
|
| Línea de tiempo vacía | La entidad existe en Análisis de riesgo, pero no se muestran detecciones. | Asegúrate de que la entidad haya activado detecciones. Si es así, verifica si tu canalización de transferencia de ECG está activa. |
Validación y prueba
Después de la investigación, puedes usar la búsqueda de UDM de forma opcional para verificar que los eventos específicos que se encuentran en el cronograma existan como registros sin procesar, lo que confirma la exactitud de la correlación.
¿Qué sigue?
¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.