Investigar alertas e contexto de entidade

Compatível com:

Este guia é destinado a investigadores que querem identificar atividades correlacionadas e avaliar perfis de risco com base em alertas. Use este guia para entender como passar de um alerta para a linha do tempo de uma entidade. Uma investigação bem-sucedida pode reduzir o tempo de triagem de incidentes complexos e ajudar você a se concentrar primeiro nas ameaças de alto impacto.

Casos de uso comuns

Esta seção lista alguns casos de uso comuns.

Triagem e priorização de casos

Objetivo: determinar quais alertas exigem encaminhamento imediato avaliando o perfil de risco das entidades envolvidas. Essa abordagem vai além do processamento cronológico, identificando alertas que representam a maior ameaça organizacional.

Fluxo de trabalho:

  1. Abra o painel Alertas e confira um alerta.

  2. Copie o código do recurso ou o nome de usuário e mude para Análise de risco.

  3. Se a entidade já tiver uma pontuação de risco alta, priorize esse caso em relação a alertas que envolvem entidades de baixo risco.

Resultado: os recursos limitados do SOC podem se concentrar primeiro nas ameaças de alto impacto.

Analisar o escopo do impacto de um alerta

Objetivo: entender o escopo completo de um incidente rastreando a atividade correlacionada do alerta. Ao rastrear a atividade correlacionada em todo o ambiente, é possível mapear a relação entre sistemas e contas comprometidos para visualizar como uma ameaça migrou.

Fluxo de trabalho:

  1. Abra o painel Alertas e confira um alerta de alto risco.

  2. Acesse a guia "Gráfico" para ver as relações do gráfico de contexto de entidade (ECG).

  3. Para cada entidade relacionada, acesse a Linha do tempo de detecções em Análise de risco.

  4. Procure padrões de detecção sobrepostos para mapear como a ameaça pode ter se espalhado.

Resultado:um mapa abrangente do incidente que identifica os sistemas e as contas afetados.

Investigação de movimentação lateral

Objetivo: identificar proativamente comportamentos maliciosos comparando eventos do UDM com um valor de referência do histórico de comportamento normal. É possível identificar anomalias sutis em comunicações internas e padrões de acesso que sugerem que um invasor está se movendo pela rede.

Fluxo de trabalho:

  1. Selecione uma entidade e analise o histórico de comportamento dela (horários de login ou acesso a arquivos habituais).

  2. Pesquise eventos do UDM em busca de desvios, como um recurso que se comunica repentinamente com um novo endereço IP interno ou um usuário que acessa um aplicativo sensível pela primeira vez.

  3. Avalie se essas anomalias causaram um pico recente na pontuação de risco da entidade, mesmo que um alerta formal ainda não tenha sido acionado.

  4. Ao vincular os eventos do UDM ao histórico da entidade, é possível distinguir entre uma mudança comercial legítima e um possível movimento lateral.

Resultado:detecção precoce de ameaças que ignoram os alertas baseados em assinaturas.

Antes de começar

Verifique se você tem o seguinte:

  • Permissões: é necessário ter acesso ao painel de alertas, ao painel de análise de risco e aos recursos de pesquisa de UDM.

  • Verificação do ambiente: ative o ECG e a análise de risco para garantir que eles estejam ingerindo dados para preencher as linhas do tempo.

Investigar detecções e contexto de entidade

Siga as etapas abaixo para vincular manualmente um alerta a um perfil de risco e analisar a atividade histórica dos recursos envolvidos.

Identificar a entidade de um alerta

Identifique o recurso ou usuário específico envolvido no alerta para estabelecer um ponto de partida para sua investigação.

  1. Acesse a página Alertas.

  2. Na tabela Detecções, clique no nome do alerta para abrir a página dele.

  3. Localize a tabela Entradas.

    • Se a tabela tiver Entidades, faça o seguinte:

      1. Clique no nome da entidade para abrir a guia Contexto da entidade.

      2. Identifique as entidades relacionadas (por exemplo, um hash específico, endereço IP ou nome de recurso).

      3. Copie o código do recurso ou o Nome de usuário.

    • Se a tabela tiver Detecções ou Eventos, faça o seguinte:

      1. Para detecções, clique na linha Detecção para ver os eventos subjacentes.

      2. Clique na linha do evento para abrir a guia Visualizador de eventos.

      3. Na guia Entidades, identifique as entidades relacionadas (por exemplo, um hash, endereço IP ou nome de recurso específico).

      1. Copie o código do recurso ou o nome de usuário identificado no alerta.

Mudar para a análise de risco

Use o identificador encontrado no alerta para acessar o perfil de risco mais amplo da entidade no painel de análise.

  1. Acesse o painel Análise de risco.

  2. Acesse a guia Entidades e cole o identificador copiado na barra de pesquisa.

  3. Nos resultados, clique no nome da entidade para ver a Linha do tempo de detecções do recurso. A Linha do tempo de detecções fornece o contexto histórico do recurso ou usuário.

Analisar a linha do tempo de detecções

  1. Analise a lista de detecções (por exemplo, 19 detections) que contribuíram para a pontuação de risco atual.

  2. Analise a linha do tempo para ver como os eventos do UDM e as relações do ECG evoluíram ao longo do tempo para determinar a gravidade do incidente.

Observação:se você ignorar a linha do tempo e analisar apenas o alerta único, poderá perder padrões de detecção sobrepostos que indicam uma ameaça maior e coordenada.

Solução de problemas

Nesta seção, descrevemos as expectativas de desempenho e fornecemos correções de autoatendimento para problemas comuns de investigação.

Latência e limites

A correlação de novos eventos na linha do tempo leva aproximadamente de 10 a 15 minutos devido à latência de sincronização. Evite refazer pesquisas ou abrir um tíquete de suporte durante esse período.

Problemas comuns de investigação

Use a tabela a seguir para resolver lacunas comuns de investigação.

Problema Descrição Corrigir
Código do recurso ausente O alerta mostra apenas um hash de arquivo ou endereço IP sem um recurso vinculado. Faça uma pesquisa de UDM para esse hash ou IP para identificar o principal.asset_id associado.
Linha do tempo vazia A entidade existe no Risk Analytics, mas nenhuma detecção está listada. Verifique se a entidade acionou detecções. Se tiver, verifique se o pipeline de ingestão de ECG está ativo.

Validação e teste

Após a investigação, você pode usar a pesquisa de UDM para verificar se eventos específicos encontrados na linha do tempo existem como registros brutos, o que confirma a precisão da correlação.

A seguir

Investigar um alerta

Investigar um alerta do GCTI

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.