חקירת התראות והקשר של ישויות

נתמך ב:

המדריך הזה מיועד לחוקרים שרוצים לזהות פעילויות שקשורות זו לזו ולהעריך פרופילי סיכון מתוך התראות. המדריך הזה מסביר איך לעבור מהתראה לציר הזמן של ישות. חקירה מוצלחת יכולה לקצר את הזמן שנדרש למיון אירועים מורכבים ולעזור לכם להתמקד קודם באיומים בעלי השפעה גבוהה.

תרחישים נפוצים לדוגמה

בקטע הזה מפורטים כמה תרחישי שימוש נפוצים.

מיון וקביעת סדר עדיפויות של בקשות תמיכה

המטרה: לקבוע אילו התראות דורשות העברה לטיפול ברמה גבוהה יותר באופן מיידי, על ידי הערכת פרופיל הסיכון של הישויות הרלוונטיות. הגישה הזו חורגת מעיבוד כרונולוגי, כי היא מזהה התראות שמציבות את האיום הגדול ביותר על הארגון.

תהליך עבודה:

  1. פותחים את לוח הבקרה התראות וצופים בהתראה.

  2. מעתיקים את מזהה הנכס או את שם המשתמש ועוברים אל ניתוח סיכונים.

  3. אם לישות כבר יש ציון סיכון גבוה, צריך לתת עדיפות לטיפול במקרה הזה על פני התראות שקשורות לישויות עם סיכון נמוך.

התוצאה: משאבי SOC מוגבלים יכולים להתמקד קודם באיומים בעלי השפעה גבוהה.

ניתוח היקף ההשפעה של התראה

מטרה: להבין את ההיקף המלא של אירוע על ידי מעקב אחרי הפעילות שמשויכת להתראה. על ידי מעקב אחר הפעילות המתואמת בסביבה, אפשר למפות את הקשר בין מערכות וחשבונות שנפרצו כדי להמחיש איך איום עבר ממקום למקום.

תהליך עבודה:

  1. פותחים את לוח הבקרה Alerts וצופים בהתראה על סיכון גבוה.

  2. עוברים לכרטיסייה 'גרף' כדי לראות את הקשרים בגרף ההקשר של הישות (ECG).

  3. לכל ישות קשורה, עוברים לציר הזמן של הזיהויים בניתוח סיכונים.

  4. מחפשים דפוסים חופפים של זיהוי כדי למפות את האופן שבו האיום התפשט.

תוצאה: מפה מקיפה של האירוע שמזהה את המערכות והחשבונות שהושפעו.

חקירת תנועה רוחבית

מטרה: לזהות התנהגות זדונית באופן יזום על ידי השוואת אירועים ב-UDM להיסטוריית התנהגות רגילה. אתם יכולים לזהות אנומליות קלות בתקשורת הפנימית ובדפוסי הגישה, שמצביעים על כך שתוקף נע ברשת.

תהליך עבודה:

  1. בוחרים ישות ובודקים את היסטוריית ההתנהגות שלה (שעות כניסה רגילות או גישה לקבצים).

  2. מחפשים אירועי UDM עם חריגות, כמו נכס שמתקשר פתאום עם כתובת IP פנימית חדשה או משתמש שניגש לאפליקציה רגישה בפעם הראשונה.

  3. כדאי לבדוק אם החריגות האלה גרמו לעלייה חדה לאחרונה בציון הסיכון של הישות, גם אם עדיין לא הופעלה התראה רשמית.

  4. קישור אירועי UDM להיסטוריה של הישות מאפשר להבחין בין שינוי עסקי לגיטימי לבין תנועה לרוחב פוטנציאלית.

תוצאה: זיהוי מוקדם של איומים שעוקפים את ההתראות שמבוססות על חתימות.

לפני שמתחילים

חשוב לוודא שיש לכם את הפריטים הבאים:

  • הרשאות: צריכה להיות לכם גישה ללוח הבקרה של ההתראות, ללוח הבקרה של ניתוח הסיכונים וליכולות החיפוש של UDM.

  • בדיקת הסביבה: מפעילים את ECG ואת Risk Analytics כדי לוודא שהם קולטים נתונים לאכלוס ציר הזמן.

בדיקת זיהויים והקשר של ישויות

כדי לקשר התראה לפרופיל סיכון באופן ידני ולנתח את הפעילות ההיסטורית של הנכסים הרלוונטיים, פועלים לפי השלבים הבאים.

זיהוי הישות מתוך התראה

מזהים את הנכס או המשתמש הספציפיים שקשורים להתראה כדי ליצור נקודת התחלה לחקירה.

  1. עוברים לדף התראות.

  2. בטבלה Detections (זיהויים), לוחצים על שם ההתראה כדי לפתוח את דף ההתראה.

  3. מחפשים את הטבלה Inputs (נתוני קלט).

    • אם הטבלה מכילה את הישויות, צריך לבצע את הפעולות הבאות:

      1. לוחצים על שם הישות כדי לפתוח את הכרטיסייה הקשר הישות.

      2. צריך לזהות את הישויות שקשורות לדיווח (למשל, גיבוב ספציפי, כתובת IP או שם נכס).

      3. מעתיקים את מזהה הנכס או את שם המשתמש.

    • אם הטבלה מכילה את העמודות Detections או Events, מבצעים את הפעולות הבאות:

      1. כדי לראות את האירועים שזוהו, לוחצים על השורה זיהוי.

      2. לוחצים על השורה של האירוע כדי לפתוח את הכרטיסייה Event viewer (צפייה באירועים).

      3. בכרטיסייה ישויות, מזהים את הישויות הקשורות (לדוגמה, גיבוב ספציפי, כתובת IP או שם נכס).

      1. מעתיקים את מזהה הנכס או את שם המשתמש שמופיעים בהתראה.

מעבר לניתוח סיכונים

אפשר להשתמש במזהה שמופיע בהתראה כדי לגשת לפרופיל הסיכון הרחב יותר של הישות בלוח הבקרה של ניתוח הנתונים.

  1. עוברים אל מרכז הבקרה Risk Analytics.

  2. עוברים לכרטיסייה ישויות ומדביקים את המזהה שהועתק בסרגל החיפוש.

  3. בתוצאות, לוחצים על שם הישות כדי לראות את ציר הזמן של זיהויים של הנכס. ציר הזמן של הזיהויים מספק את ההקשר ההיסטורי של הנכס או המשתמש.

ניתוח ציר הזמן של הזיהויים

  1. בודקים את רשימת הזיהויים (לדוגמה, 19 detections) שהשפיעו על ציון הסיכון הנוכחי.

  2. בודקים את ציר הזמן כדי לראות איך אירועי UDM והקשרים של ECG התפתחו לאורך זמן, כדי לקבוע את חומרת האירוע.

הערה: אם מתעלמים מציר הזמן ומתמקדים רק בהתראה אחת, יכול להיות שלא יזוהו דפוסי זיהוי חופפים שמצביעים על איום גדול יותר ומתואם.

פתרון בעיות

בקטע הזה מפורטות ציפיות הביצועים ופתרונות בשירות עצמי לבעיות נפוצות שמתגלות במהלך בדיקות.

זמן אחזור ומגבלות

חשוב לדעת שייקח בערך 10 עד 15 דקות עד שהאירועים החדשים יופיעו בציר הזמן, בגלל זמן האחזור של הסנכרון. מומלץ להימנע מהרצת חיפושים מחדש או משליחת כרטיס תמיכה במהלך התקופה הזו.

בעיות נפוצות בחקירה

בטבלה הבאה מפורטים פתרונות לבעיות נפוצות שקשורות לחוסר בנתונים.

שגיאה תיאור תיקון
חסר מזהה נכס בהתראה מוצג רק גיבוב של קובץ או כתובת IP, בלי נכס מקושר. מריצים חיפוש ב-UDM לפי הגיבוב או כתובת ה-IP כדי לזהות את principal.asset_id.
ציר זמן ריק הישות קיימת ב-Risk Analytics אבל לא מופיעים זיהויים. מוודאים שהישות הפעילה זיהויים. אם כן, צריך לוודא שצינור העיבוד של נתוני האק"ג מופעל.

אימות ובדיקה

אחרי החקירה, אפשר להשתמש בחיפוש UDM כדי לוודא שאירועים ספציפיים שנמצאו בציר הזמן קיימים כיומנים גולמיים, וכך לאשר את הדיוק של המתאם.

המאמרים הבאים

חקירת התראה

חקירת התראה של GCTI

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.