調查警告和實體背景資訊
本指南適用於想找出相關活動，並根據快訊評估風險剖析的調查人員。您可以參閱本指南，瞭解如何從快訊切換至實體的時間軸。成功的調查可縮短複雜事件的分類時間，並協助您優先處理高影響力的威脅。
常見用途
本節列出一些常見用途。
分類及排定案件優先順序
目標：評估相關實體的風險設定檔，判斷哪些警示需要立即提報。這種做法不只是按照時間順序處理，還能找出對組織威脅最大的警示。
Workflow：
開啟「快訊」資訊主頁，然後查看快訊。
複製資產 ID 或使用者名稱，然後前往「風險分析」。
如果實體的風險評分已經很高，請優先處理這個案件，而非涉及低風險實體的警示。
結果：SOC 資源有限，可優先處理影響重大的威脅。
分析快訊的影響範圍
目標：追蹤與警告相關的活動，全面瞭解事件。追蹤整個環境中的相關活動，即可找出遭入侵系統和帳戶之間的關係，以視覺化方式呈現威脅的遷移方式。
Workflow：
開啟「快訊」資訊主頁，查看高風險快訊。
前往「圖表」分頁，查看實體內容圖表 (ECG) 關係。
針對每個相關實體，切換至「風險分析」中的「偵測時間軸」。
尋找重疊的偵測模式，對應威脅可能擴散的方式。
結果：全面掌握事件，找出受影響的系統和帳戶。
橫向移動調查
目標：將 UDM 事件與正常行為記錄基準進行比較，主動找出惡意行為。您可以找出內部通訊和存取模式中的細微異常，判斷攻擊者是否在網路中移動。
Workflow：
選取實體並查看其行為記錄 (通常的登入時間或檔案存取)。
搜尋 UDM 事件，找出異常情況，例如資產突然與新的內部 IP 位址通訊，或使用者首次存取機密應用程式。
評估這些異常狀況是否導致實體風險評分近期激增，即使尚未觸發正式警示也一樣。
將 UDM 事件連結至實體的記錄，即可區分合法的業務變更和潛在的橫向移動。
成果：及早偵測到繞過特徵碼式警告的威脅。
事前準備
請確認您已備妥下列項目：
權限：您必須具備快訊資訊主頁、風險分析資訊主頁和 UDM 搜尋功能的存取權。
環境檢查：啟用 ECG 和風險分析，確保這些功能會擷取資料，填入時間軸。
調查偵測結果和實體背景資訊
請完成下列步驟，手動將快訊連結至風險設定檔，並分析相關資產的歷來活動。
從警告中找出實體
找出與警告相關的特定資產或使用者，做為調查的起點。
前往「快訊」頁面。
在「偵測」表格中，按一下警告名稱，開啟警告頁面。
找出「Inputs」表格。
如果表格包含「Entities」(實體)，請執行下列操作：
按一下實體名稱，開啟「Entity context」(實體背景資訊) 分頁。
找出相關實體 (例如特定雜湊、IP 位址或資產名稱)。
複製資產 ID 或使用者名稱。
如果表格包含「偵測」或「事件」，請執行下列操作：
如要查看偵測結果，請按一下「偵測」列，查看基礎事件。
按一下事件資料列，開啟「事件檢視器」分頁。
在「Entities」(實體) 分頁中，找出相關實體 (例如特定雜湊、IP 位址或資產名稱)。
- 複製快訊中指出的資產 ID 或使用者名稱。
切換至風險分析
使用快訊中的 ID，在數據分析資訊主頁中存取實體的更廣泛風險剖析。
前往「風險分析」資訊主頁。
前往「Entities」(實體) 分頁，然後將複製的 ID 貼到搜尋列中。
在結果中，按一下實體名稱，即可查看資產的「Detections Timeline」(偵測時間軸)。「Detections Timeline」(偵測時間軸) 會提供資產或使用者的歷來背景資訊。
分析偵測時間軸
檢查導致目前風險分數的偵測項目清單 (例如
19 detections)。查看時間軸，瞭解 UDM 事件和 ECG 關係如何隨時間演變，判斷事件的嚴重程度。
注意：如果忽略時間軸，只查看單一警示，可能會錯過重疊的偵測模式，而這些模式可能代表更大、更協調的威脅。
疑難排解
本節將說明預期成效，並提供常見調查問題的自助修正方法。
延遲時間和限制
請注意，由於同步延遲，新事件需要約 10 到 15 分鐘才會顯示在時間軸中。在這段期間，請避免重新執行搜尋或提交支援單。
常見調查問題
請參閱下表，瞭解如何解決常見的調查落差。
| 問題 | 說明 | 修正 |
|---|---|---|
| 缺少資產 ID | 快訊只顯示檔案雜湊或 IP 位址，沒有連結的資產。 | 對該雜湊或 IP 執行 UDM 搜尋，找出相關聯的 principal.asset_id。
|
| 空白時間軸 | 實體存在於風險分析中，但未列出任何偵測結果。 | 確認實體已觸發偵測。如果已完成，請確認心電圖擷取管道是否處於啟用狀態。 |
驗證與測試
調查完畢後，您可以視需要使用 UDM 搜尋功能，確認時間軸中找到的特定事件是否以原始記錄的形式存在，藉此確認關聯的準確性。
後續步驟
還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。