Menyelidiki pemberitahuan dan konteks entity

Didukung di:

Panduan ini ditujukan bagi investigator yang ingin mengidentifikasi aktivitas yang berkorelasi dan mengevaluasi profil risiko dari pemberitahuan. Anda dapat menggunakan panduan ini untuk memahami cara beralih dari pemberitahuan ke linimasa entity. Investigasi yang berhasil dapat mengurangi waktu triase untuk insiden yang kompleks dan membantu Anda berfokus pada ancaman berdampak tinggi terlebih dahulu.

Kasus penggunaan umum

Bagian ini mencantumkan beberapa kasus penggunaan umum.

Triase dan penentuan prioritas kasus

Tujuan: Menentukan pemberitahuan mana yang memerlukan eskalasi segera dengan mengevaluasi profil risiko entitas yang terlibat. Pendekatan ini melampaui pemrosesan kronologis dengan mengidentifikasi pemberitahuan yang menimbulkan ancaman organisasi terbesar.

Alur kerja:

  1. Buka dasbor Notifikasi dan lihat notifikasi.

  2. Salin ID aset atau nama pengguna, lalu beralihlah ke Analisis Risiko.

  3. Jika entity sudah memiliki skor penilaian risiko entity yang tinggi, prioritaskan kasus ini daripada pemberitahuan yang melibatkan entity berisiko rendah.

Hasil: Resource SOC yang terbatas dapat berfokus pada ancaman berdampak tinggi terlebih dahulu.

Menganalisis cakupan dampak pemberitahuan

Tujuan: Memahami cakupan penuh insiden dengan melacak aktivitas yang terkait dengan pemberitahuan. Dengan melacak aktivitas yang berkorelasi di seluruh lingkungan, Anda dapat memetakan hubungan antara sistem dan akun yang disusupi untuk memvisualisasikan bagaimana ancaman telah bermigrasi.

Alur kerja:

  1. Buka dasbor Alerts dan lihat pemberitahuan risiko tinggi.

  2. Buka tab grafik untuk melihat hubungan grafik konteks entity (ECG).

  3. Untuk setiap entitas terkait, beralihlah ke Detections Timeline di Analisis Risiko.

  4. Cari pola deteksi yang tumpang-tindih untuk memetakan bagaimana ancaman mungkin telah menyebar.

Hasil: Peta insiden komprehensif yang mengidentifikasi sistem dan akun yang terpengaruh.

Penyelidikan pergerakan lateral

Tujuan: Mengidentifikasi perilaku berbahaya secara proaktif dengan membandingkan peristiwa UDM dengan dasar pengukuran histori perilaku normal. Anda dapat mengidentifikasi anomali kecil dalam komunikasi internal dan pola akses yang menunjukkan bahwa penyerang sedang bergerak melalui jaringan.

Alur kerja:

  1. Pilih entitas dan tinjau histori perilakunya (waktu login atau akses file yang biasa).

  2. Telusuri peristiwa UDM untuk menemukan penyimpangan, seperti aset yang tiba-tiba berkomunikasi dengan alamat IP internal baru atau pengguna yang mengakses aplikasi sensitif untuk pertama kalinya.

  3. Evaluasi apakah anomali ini telah menyebabkan lonjakan terbaru pada penilaian risiko entitas, meskipun pemberitahuan formal belum dipicu.

  4. Dengan menautkan peristiwa UDM ke histori entitas, Anda dapat membedakan antara perubahan bisnis yang sah dan potensi pergerakan lateral.

Hasil: Deteksi dini ancaman yang mengabaikan pemberitahuan berbasis pola.

Sebelum memulai

Pastikan Anda memiliki hal berikut:

  • Izin: Anda harus memiliki akses ke dasbor Alerts, dasbor Risk Analytics, dan kemampuan Penelusuran UDM.

  • Pemeriksaan lingkungan: Aktifkan EKG dan Analisis Risiko untuk memastikan bahwa keduanya menyerap data untuk mengisi linimasa.

Menyelidiki deteksi dan konteks entity

Selesaikan langkah-langkah berikut untuk menautkan pemberitahuan secara manual ke profil risiko dan menganalisis aktivitas historis aset yang terlibat.

Mengidentifikasi entity dari pemberitahuan

Identifikasi aset atau pengguna tertentu yang terlibat dalam pemberitahuan untuk menetapkan titik awal penyelidikan Anda.

  1. Buka halaman Alerts.

  2. Di tabel Detections, klik nama pemberitahuan untuk membuka halaman pemberitahuan.

  3. Temukan tabel Inputs.

    • Jika tabel berisi Entities, lakukan hal berikut:

      1. Klik nama entity untuk membuka tab Entity context.

      2. Identifikasi entitas terkait (misalnya, hash, alamat IP, atau nama aset tertentu).

      3. Salin ID Aset atau Nama Pengguna.

    • Jika tabel berisi Detections atau Events, lakukan hal berikut:

      1. Untuk deteksi, klik baris Detection untuk melihat peristiwa yang mendasarinya.

      2. Klik baris peristiwa untuk membuka tab Penampil Peristiwa.

      3. Di tab Entities, identifikasi entity terkait (misalnya, hash, alamat IP, atau nama aset tertentu).

      1. Salin ID Aset atau Nama Pengguna yang diidentifikasi dalam pemberitahuan.

Beralih ke analisis risiko

Gunakan ID yang ditemukan dalam pemberitahuan untuk mengakses profil risiko entitas yang lebih luas dalam dasbor analisis.

  1. Buka dasbor Risk Analytics.

  2. Buka tab Entities dan tempel ID yang disalin ke kotak penelusuran.

  3. Dari hasil, klik nama entitas untuk melihat Linimasa Deteksi aset. Linimasa Deteksi memberikan konteks historis aset atau pengguna.

Menganalisis linimasa deteksi

  1. Periksa daftar deteksi (misalnya, 19 detections) yang berkontribusi pada penilaian risiko saat ini.

  2. Tinjau linimasa untuk melihat bagaimana peristiwa UDM dan hubungan ECG telah berkembang dari waktu ke waktu untuk menentukan tingkat keparahan insiden.

Catatan: Jika Anda mengabaikan linimasa dan hanya melihat satu pemberitahuan, Anda mungkin melewatkan pola deteksi yang tumpang-tindih yang mengindikasikan ancaman yang lebih besar dan terkoordinasi.

Pemecahan masalah

Bagian ini menguraikan ekspektasi performa dan memberikan perbaikan mandiri untuk masalah investigasi umum.

Latensi dan batas

Perlu diketahui bahwa korelasi peristiwa baru ke linimasa Anda memerlukan waktu sekitar 10–15 menit karena latensi sinkronisasi. Hindari menjalankan ulang penelusuran atau mengajukan tiket dukungan selama periode ini.

Masalah investigasi umum

Gunakan tabel berikut untuk mengatasi kesenjangan investigasi yang umum.

Masalah Deskripsi Perbaiki
ID aset tidak ada Notifikasi Anda hanya menampilkan hash file atau alamat IP tanpa aset tertaut. Jalankan penelusuran UDM untuk hash atau IP tersebut guna mengidentifikasi principal.asset_id terkait.
Linimasa kosong Entity ada di Analisis Risiko, tetapi tidak ada deteksi yang tercantum. Pastikan entity telah memicu deteksi. Jika sudah, verifikasi apakah pipeline penyerapan ECG Anda aktif.

Validasi dan pengujian

Setelah penyelidikan, Anda dapat menggunakan Penelusuran UDM untuk memverifikasi bahwa peristiwa tertentu yang ditemukan dalam linimasa ada sebagai log mentah, yang mengonfirmasi akurasi korelasi.

Langkah berikutnya

Menyelidiki notifikasi

Menyelidiki pemberitahuan GCTI

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.