חקירת התראות והקשר של ישויות

נתמך ב:

המדריך הזה מיועד לחוקרים שרוצים לזהות פעילויות קשורות ולהעריך פרופילי סיכון מהתראות. אתם יכולים להשתמש במדריך הזה כדי להבין איך לעבור מהתראה לציר הזמן של ישות. חקירה מוצלחת יכולה לקצר את הזמן שנדרש למיון אירועים מורכבים, ולעזור לכם להתמקד קודם באיומים בעלי השפעה רבה.

תרחישים נפוצים לדוגמה

בקטע הזה מפורטים כמה תרחישים נפוצים לדוגמה.

מיון ותעדוף של בקשות תמיכה

המטרה: להעריך את פרופיל הסיכון של הישויות המעורבות כדי לקבוע אילו התראות דורשות העברה מיידית לטיפול ברמה גבוהה יותר. בגישה הזו, במקום לעבד את ההתראות לפי סדר כרונולוגי, המערכת מזהה את ההתראות שמייצגות את האיום הכי גדול על הארגון.

תהליך עבודה:

  1. פותחים את מרכז הבקרה התראות וצופים בהתראה.

  2. מעתיקים את מזהה הנכס או את שם המשתמש ועוברים אל ניתוח סיכונים.

  3. אם לישות כבר יש ציון סיכון גבוה, צריך לתת עדיפות למקרה הזה על פני התראות שקשורות לישויות בסיכון נמוך.

התוצאה: משאבי SOC מוגבלים יכולים להתמקד קודם באיומים בעלי השפעה רבה.

ניתוח היקף ההשפעה של התראה

המטרה: להבין את ההיקף המלא של אירוע על ידי מעקב אחרי הפעילות שקשורה להתראה. מעקב אחרי הפעילות המתואמת בסביבה מאפשר למפות את הקשר בין המערכות והחשבונות שנפרצו, כדי להמחיש את האופן שבו האיום התפשט.

תהליך עבודה:

  1. פותחים את לוח הבקרה התראות וצופים בהתראה בסיכון גבוה.

  2. כדי לראות את הקשרים בתרשים ההקשר של הישות (ECG), עוברים לכרטיסייה "תרשים".

  3. לכל ישות קשורה, עוברים אל ציר הזמן של הזיהויים בניתוח סיכונים.

  4. חפשו דפוסי זיהוי חופפים כדי למפות את האופן שבו האיום התפשט.

התוצאה: מיפוי מקיף של האירוע, שכולל זיהוי של המערכות והחשבונות שהושפעו.

בדיקת תנועה רוחבית

המטרה: זיהוי יזום של התנהגות זדונית על ידי השוואה בין אירועי UDM לבין היסטוריית התנהגות רגילה. אתם יכולים לזהות אנומליות קטנות בתקשורת הפנימית ובדפוסי הגישה, שיכולות להצביע על כך שתוקף נע בתוך הרשת.

תהליך עבודה:

  1. בוחרים ישות ובודקים את היסטוריית ההתנהגות שלה (זמני התחברות או גישה לקבצים).

  2. חפשו חריגות באירועי UDM, למשל נכס שמתקשר פתאום עם כתובת IP פנימית חדשה או משתמש שניגש לאפליקציה רגישה בפעם הראשונה.

  3. בדקו אם החריגות האלה גרמו לעלייה חדה בציון הסיכון של הישות לאחרונה, גם אם עדיין לא הופעלה התראה רשמית.

  4. קישור אירועי ה-UDM להיסטוריה של הישות מאפשר להבחין בין שינוי עסקי לגיטימי לבין תנועה רוחבית פוטנציאלית.

התוצאה: זיהוי מוקדם של איומים שעוקפים התראות שמבוססות על חתימות.

לפני שמתחילים

חשוב לוודא שהדברים הבאים קיימים:

  • הרשאות: צריכה להיות לכם גישה למרכז הבקרה של ההתראות, למרכז הבקרה של ניתוח הסיכונים וליכולות החיפוש ב-UDM.

  • בדיקת הסביבה: מפעילים את אק"ג ואת ניתוח סיכונים כדי לוודא שהם מטמיעים נתונים לאכלוס צירי הזמן.

חקירת זיהויים והקשר של ישויות

כדי לקשר באופן ידני התראה לפרופיל סיכון ולנתח את הפעילות ההיסטורית של הנכסים המעורבים, פועלים לפי השלבים הבאים:

זיהוי הישות מהתראה

מזהים את הנכס או המשתמש הספציפיים שמעורבים בהתראה כדי לקבוע נקודת התחלה לחקירה.

  1. עוברים לדף התראות.

  2. בטבלה זיהויים, לוחצים על שם ההתראה כדי לפתוח את דף ההתראה.

  3. מאתרים את הטבלה Inputs.

    • אם הטבלה מכילה ישויות, מבצעים את הפעולות הבאות:

      1. לוחצים על שם הישות כדי לפתוח את הכרטיסייה הקשר הישות.

      2. מזהים את הישויות הקשורות (לדוגמה, גיבוב ספציפי, כתובת IP או שם נכס).

      3. מעתיקים את מזהה הנכס או את שם המשתמש.

    • אם הטבלה מכילה זיהויים או אירועים, מבצעים את הפעולות הבאות:

      1. כדי לראות את האירועים שזוהו, לוחצים על השורה Detection.

      2. לוחצים על שורת האירוע כדי לפתוח את הכרטיסייה מציג האירועים.

      3. בכרטיסייה Entities, מזהים את הישויות הקשורות (לדוגמה, גיבוב ספציפי, כתובת IP או שם נכס).

      1. מעתיקים את מזהה הנכס או את שם המשתמש שזוהו בהתראה.

מעבר לניתוח סיכונים

כדי לגשת לפרופיל הסיכון הרחב יותר של הישות בלוח הבקרה של ניתוח הנתונים, משתמשים במזהה שמופיע בהתראה.

  1. עוברים למרכז הבקרה ניתוח סיכונים.

  2. עוברים לכרטיסייה Entities ומדביקים את המזהה שהועתק בשורת החיפוש.

  3. בתוצאות, לוחצים על שם הישות כדי להציג את ציר הזמן של הזיהויים של הנכס. ציר הזמן של הזיהויים מספק את ההקשר ההיסטורי של הנכס או המשתמש.

ניתוח ציר הזמן של הזיהויים

  1. בודקים את רשימת הזיהויים (לדוגמה, 19 detections) שתרמו לחישוב של ציון סיכונים הנוכחי.

  2. בודקים את ציר הזמן כדי לראות איך אירועי UDM והקשרים ב-ECG התפתחו לאורך זמן, ולקבוע את חומרת האירוע.

הערה: אם מתעלמים מציר הזמן ומסתכלים רק על ההתראה הבודדת, יכול להיות שתפספסו דפוסי זיהוי חופפים שמצביעים על איום גדול ומתואם יותר.

פתרון בעיות

בקטע הזה מפורטות הציפיות לגבי הביצועים ומוצעים פתרונות בשירות עצמי לבעיות נפוצות בחקירות.

זמן אחזור ומגבלות

חשוב לדעת: בגלל זמן האחזור של הסנכרון, לוקח בערך 10-15 דקות עד שאירועים חדשים מופיעים בציר הזמן. במהלך חלון הזמן הזה, אל תריצו מחדש את החיפושים ואל תשלחו כרטיס תמיכה.

בעיות נפוצות בחקירות

אתם יכולים להיעזר בטבלה הבאה כדי לפתור בעיות נפוצות בחקירות.

שגיאה תיאור תיקון
חסר מזהה נכס ההתראה מציגה רק גיבוב (hash) של קובץ או כתובת IP בלי נכס מקושר. מריצים חיפוש ב-UDM של ה-hash או כתובת ה-IP כדי לזהות את ה-principal.asset_id המשויך.
ציר זמן ריק הישות קיימת ב-Risk Analytics אבל לא מופיעים זיהויים. מוודאים שהישות הפעילה זיהויים. אם כן, בודקים אם צינור עיבוד הנתונים של הטמעת ה-ECG פעיל.

אימות ובדיקה

אחרי החקירה, אתם יכולים להשתמש בחיפוש ב-UDM כדי לוודא שאירועים ספציפיים שנמצאו בציר הזמן קיימים כיומנים גולמיים, וכך לאשר את הדיוק של המתאם.

המאמרים הבאים

בדיקת התראה

חקירת התראה של GCTI

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.