アラートとエンティティのコンテキストを調査する

以下でサポートされています。

このガイドは、アラートから関連するアクティビティを特定し、リスク プロファイルを評価する調査担当者を対象としています。このガイドでは、アラートからエンティティのタイムラインにピボットする方法について説明します。調査が成功すると、複雑なインシデントのトリアージ時間を短縮し、影響の大きい脅威に最初に集中できます。

一般的なユースケース

このセクションでは、一般的なユースケースをいくつか紹介します。

トリアージとケースの優先順位付け

目標: 関連するエンティティのリスク プロファイルを評価して、緊急エスカレーションが必要なアラートを特定します。このアプローチでは、組織にとって最も大きな脅威となるアラートを特定することで、時系列処理を超えた対応が可能になります。

ワークフロー:

  1. [アラート] ダッシュボードを開き、アラートを表示します。

  2. アセット ID またはユーザー名をコピーして、[リスク分析] にピボットします。

  3. エンティティのリスクスコアがすでに高い場合は、リスクの低いエンティティを含むアラートよりも、このケースを優先します。

結果: 限られた SOC リソースを、影響の大きい脅威に優先的に割り当てることができます。

アラートの影響範囲を分析する

目標: アラートに関連するアクティビティを追跡して、インシデントの全体像を把握します。環境全体で相関アクティビティを追跡することで、不正使用されたシステムとアカウントの関係をマッピングし、脅威がどのように移行したかを可視化できます。

ワークフロー:

  1. [アラート] ダッシュボードを開き、高リスクのアラートを表示します。

  2. [グラフ] タブに移動して、エンティティ コンテキスト グラフ（ECG）の関係を表示します。

  3. 関連するエンティティごとに、リスク分析の検出タイムラインにピボットします。

  4. 重複する検出パターンを探して、脅威がどのように拡散したかをマッピングします。

結果: 影響を受けたシステムとアカウントを特定するインシデントの包括的なマップ。

ラテラル ムーブメントの調査

目的: UDM イベントを正常な行動履歴のベースラインと比較して、悪意のある行動をプロアクティブに特定します。内部通信とアクセス パターンの微妙な異常を特定して、攻撃者がネットワーク内を移動していることを示唆できます。

ワークフロー:

  1. エンティティを選択し、その行動履歴（通常のログイン時間やファイル アクセス）を確認します。

  2. UDM イベントで、アセットが突然新しい内部 IP アドレスと通信したり、ユーザーが機密性の高いアプリケーションに初めてアクセスしたりするなどの逸脱を検索します。

  3. これらの異常が、正式なアラートがまだトリガーされていない場合でも、エンティティのリスク スコアリングの最近の急増を引き起こしたかどうかを評価します。

  4. UDM イベントをエンティティの履歴にリンクすることで、正当なビジネス変更と潜在的なラテラル ムーブメントを区別できます。

結果: シグネチャベースのアラートを回避する脅威を早期に検出。

始める前に

次のものが揃っていることを確認してください。

  • 権限: アラート ダッシュボード、リスク分析ダッシュボード、UDM 検索機能にアクセスできる必要があります。

  • 環境チェック: ECG とリスク分析を有効にして、タイムラインに入力するデータが取り込まれるようにします。

検出結果とエンティティ コンテキストを調査する

次の手順に沿って、アラートをリスク プロファイルに手動でリンクし、関連するアセットの過去のアクティビティを分析します。

アラートからエンティティを特定する

アラートに関連する特定のアセットまたはユーザーを特定して、調査の開始点を確立します。

  1. [アラート] ページに移動します。

  2. [Detections] テーブルで、アラート名をクリックしてアラートページを開きます。

  3. [Inputs] テーブルを見つけます。

    • テーブルにエンティティが含まれている場合は、次の操作を行います。

      1. エンティティ名をクリックして、[エンティティ コンテキスト] タブを開きます。

      2. 関連するエンティティ（特定のハッシュ、IP アドレス、アセット名など）を特定します。

      3. [アセット ID] または [Username] をコピーします。

    • テーブルに [検出] または [イベント] が含まれている場合は、次の操作を行います。

      1. 検出結果の場合は、[検出] 行をクリックして、基になるイベントを表示します。

      2. イベントの行をクリックして、[イベント ビューア] タブを開きます。

      3. [エンティティ] タブで、関連するエンティティ（特定のハッシュ、IP アドレス、アセット名など）を特定します。

      1. アラートで特定されたアセット ID またはユーザー名をコピーします。

リスク分析にピボットする

アラートに表示される ID を使用して、分析ダッシュボード内のエンティティのより広範なリスク プロファイルにアクセスします。

  1. [リスク分析] ダッシュボードに移動します。

  2. [エンティティ] タブに移動し、コピーした識別子を検索バーに貼り付けます。

  3. 結果からエンティティ名をクリックして、アセットの検出タイムラインを表示します。[検出タイムライン] には、アセットまたはユーザーの履歴コンテキストが表示されます。

検出のタイムラインを分析する

  1. 現在のリスクスコアに影響した検出結果（19 detections など）のリストを確認します。

  2. タイムラインを確認して、UDM イベントと ECG の関係が時間の経過とともにどのように変化したかを確認し、インシデントの重大度を判断します。

注: タイムラインを無視して単一のアラートのみを確認すると、より大規模で協調的な脅威を示す重複する検出パターンを見逃す可能性があります。

トラブルシューティング

このセクションでは、パフォーマンスの期待値の概要と、一般的な調査の問題に対するセルフサービス修正について説明します。

レイテンシと上限

同期のレイテンシにより、新しいイベントがタイムラインに相関されるまでに約 10 ～ 15 分かかります。この期間中は、検索を再実行したり、サポート チケットを登録したりしないでください。

調査に関する一般的な問題

次の表を使用して、一般的な調査ギャップを解決します。

問題 説明 修正
アセット ID がありません アラートには、リンクされたアセットのないファイルハッシュまたは IP アドレスのみが表示されます。 そのハッシュまたは IP の UDM 検索を実行して、関連する principal.asset_id を特定します。
空のタイムライン エンティティは Risk Analytics に存在しますが、検出結果は表示されません。 エンティティが検出をトリガーしていることを確認します。その場合は、ECG 取り込みパイプラインがアクティブかどうかを確認します。

検証とテスト

調査後、必要に応じて UDM 検索を使用して、タイムラインで見つかった特定のイベントが未加工のログとして存在することを確認できます。これにより、相関関係の精度を確認できます。

次のステップ

アラートの調査

GCTI アラートを調査する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。