Examiner les alertes et le contexte des entités

Compatible avec :

Ce guide s'adresse aux enquêteurs qui souhaitent identifier les activités corrélées et évaluer les profils de risque à partir des alertes. Ce guide vous explique comment passer d'une alerte à la chronologie d'une entité. Une investigation réussie peut réduire le temps de tri des incidents complexes et vous aider à vous concentrer d'abord sur les menaces à fort impact.

Cas d'utilisation courants

Cette section répertorie certains cas d'utilisation courants.

Tri et priorisation des demandes d'assistance

Objectif : Déterminer quelles alertes nécessitent une escalade immédiate en évaluant le profil de risque des entités concernées. Cette approche va au-delà du traitement chronologique en identifiant les alertes qui représentent la plus grande menace pour l'organisation.

Workflow :

  1. Ouvrez le tableau de bord Alertes et affichez une alerte.

  2. Copiez l'ID d'élément ou le nom d'utilisateur, puis accédez à Analyse des risques.

  3. Si l'entité présente déjà un score de risque élevé, donnez la priorité à ce cas par rapport aux alertes impliquant des entités à faible risque.

Résultat : les ressources limitées du SOC peuvent se concentrer en priorité sur les menaces à fort impact.

Analyser l'étendue de l'impact d'une alerte

Objectif : comprendre l'ensemble d'un incident en suivant l'activité corrélée de l'alerte. En suivant l'activité corrélée dans l'environnement, vous pouvez cartographier la relation entre les systèmes et les comptes compromis pour visualiser la façon dont une menace a migré.

Workflow :

  1. Ouvrez le tableau de bord Alertes et affichez une alerte à risque élevé.

  2. Accédez à l'onglet "Graphique" pour afficher les relations du graphique contextuel d'entité (ECG).

  3. Pour chaque entité associée, accédez à la chronologie des détections dans Risk Analytics.

  4. Recherchez des schémas de détection qui se chevauchent pour cartographier la propagation de la menace.

Résultat : une carte complète de l'incident qui identifie les systèmes et les comptes concernés.

Investigation sur les mouvements latéraux

Objectif : identifier de manière proactive les comportements malveillants en comparant les événements UDM à une référence d'historique de comportement normal. Vous pouvez identifier des anomalies subtiles dans les communications internes et les modèles d'accès qui suggèrent qu'un pirate informatique se déplace sur le réseau.

Workflow :

  1. Sélectionnez une entité et examinez son historique de comportement (heures de connexion ou accès aux fichiers habituels).

  2. Recherchez les écarts dans les événements UDM, par exemple un élément qui communique soudainement avec une nouvelle adresse IP interne ou un utilisateur qui accède à une application sensible pour la première fois.

  3. Déterminez si ces anomalies ont provoqué une augmentation récente du score de risque de l'entité, même si aucune alerte formelle n'a encore été déclenchée.

  4. En associant les événements UDM à l'historique de l'entité, vous pouvez distinguer un changement d'activité légitime d'un mouvement latéral potentiel.

Résultat : détection précoce des menaces qui contournent les alertes basées sur les signatures.

Avant de commencer

Assurez-vous de disposer des éléments suivants :

  • Autorisations : vous devez avoir accès au tableau de bord des alertes, au tableau de bord d'analyse des risques et aux fonctionnalités de recherche UDM.

  • Vérification de l'environnement : activez ECG et l'analyse des risques pour vous assurer qu'ils ingèrent des données afin de remplir les chronologies.

Examiner les détections et le contexte de l'entité

Pour associer manuellement une alerte à un profil de risque et analyser l'activité historique des éléments concernés, procédez comme suit :

Identifier l'entité à partir d'une alerte

Identifiez l'élément ou l'utilisateur spécifique impliqué dans l'alerte pour établir un point de départ pour votre investigation.

  1. Accédez à la page Alertes.

  2. Dans le tableau Détections, cliquez sur le nom de l'alerte pour ouvrir la page correspondante.

  3. Recherchez le tableau Inputs (Entrées).

    • Si la table contient des entités, procédez comme suit :

      1. Cliquez sur le nom de l'entité pour ouvrir l'onglet Contexte de l'entité.

      2. Identifiez les entités associées (par exemple, un hachage, une adresse IP ou un nom d'élément spécifiques).

      3. Copiez l'ID d'élément ou le nom d'utilisateur.

    • Si le tableau contient des détections ou des événements, procédez comme suit :

      1. Pour les détections, cliquez sur la ligne Détection pour afficher les événements sous-jacents.

      2. Cliquez sur la ligne de l'événement pour ouvrir l'onglet Visionneuse d'événements.

      3. Dans l'onglet Entités, identifiez les entités associées (par exemple, un hachage, une adresse IP ou un nom d'élément spécifiques).

      1. Copiez l'ID d'élément ou le nom d'utilisateur identifié dans l'alerte.

Passer à l'analyse des risques

Utilisez l'identifiant figurant dans l'alerte pour accéder au profil de risque plus large de l'entité dans le tableau de bord d'analyse.

  1. Accédez au tableau de bord Analyse des risques.

  2. Accédez à l'onglet Entités et collez l'identifiant copié dans la barre de recherche.

  3. Dans les résultats, cliquez sur le nom de l'entité pour afficher la chronologie des détections de l'élément. La chronologie des détections fournit le contexte historique de l'élément ou de l'utilisateur.

Analyser la chronologie des détections

  1. Examinez la liste des détections (par exemple, 19 detections) qui ont contribué au score de risque actuel.

  2. Examinez la chronologie pour voir comment les événements UDM et les relations ECG ont évolué au fil du temps afin de déterminer la gravité de l'incident.

Remarque : Si vous ignorez la chronologie et ne tenez compte que d'une seule alerte, vous risquez de passer à côté de schémas de détection qui se chevauchent et qui indiquent une menace coordonnée plus importante.

Dépannage

Cette section décrit les attentes en termes de performances et fournit des solutions en libre-service pour les problèmes d'investigation courants.

Latence et limites

Sachez que la corrélation des nouveaux événements dans votre chronologie prend environ 10 à 15 minutes en raison de la latence de synchronisation. Évitez de relancer des recherches ou d'envoyer une demande d'assistance pendant cette période.

Problèmes d'investigation courants

Utilisez le tableau suivant pour résoudre les problèmes d'investigation courants.

Problème Description Corriger
ID d'élément manquant Votre alerte n'affiche qu'un hachage de fichier ou une adresse IP sans élément associé. Exécutez une recherche UDM pour ce hachage ou cette adresse IP afin d'identifier le principal.asset_id associé.
Chronologie vide L'entité existe dans Risk Analytics, mais aucune détection n'est listée. Assurez-vous que l'entité a déclenché des détections. Si c'est le cas, vérifiez si votre pipeline d'ingestion ECG est actif.

Validation et test

Après votre investigation, vous pouvez éventuellement utiliser la recherche UDM pour vérifier que des événements spécifiques trouvés dans la chronologie existent en tant que journaux bruts, ce qui confirme l'exactitude de la corrélation.

Étapes suivantes

Examiner une alerte

Examiner une alerte GCTI

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.