Benachrichtigungen und IOC-Übereinstimmungen verwalten

Unterstützt in:

Auf der Seite Warnungen und IOCs werden alle Warnungen und Kompromittierungsindikatoren (Indicators of Compromise, IOCs) angezeigt, die sich auf Ihr Unternehmen auswirken.

  • Klicken Sie auf Erkennung > Benachrichtigungen und IOCs, um die Seite Benachrichtigungen und IOCs zu öffnen.

Die Seite enthält die Tabs Benachrichtigungen und IOC-Übereinstimmungen:

  • Auf dem Tab Benachrichtigungen sehen Sie die aktuellen Benachrichtigungen in Ihrem Unternehmen.

    Benachrichtigungen können von der Sicherheitsinfrastruktur, von Sicherheitspersonal oder von Google Security Operations-Regeln generiert werden.

    In Systemen mit aktivierter Daten-RBAC können Sie nur Benachrichtigungen und Erkennungen sehen, die von Regeln stammen, die mit Ihren zugewiesenen Bereichen verknüpft sind. Weitere Informationen zu den Auswirkungen der Daten-RBAC auf Erkennungen finden Sie unter Erkennungen.

  • Auf dem Tab IOC-Übereinstimmungen können Sie die IOCs aufrufen, die als verdächtig gekennzeichnet und in Ihrem Unternehmen erkannt wurden.

    Google Security Operations erfasst kontinuierlich Daten aus Ihrer Infrastruktur und anderen Sicherheitsdatenquellen und korreliert verdächtige Sicherheitsindikatoren automatisch mit Ihren Sicherheitsdaten. Wenn eine Übereinstimmung gefunden wird (z. B. eine verdächtige Domain in Ihrem Unternehmen), kennzeichnet Google SecOps das Ereignis als IOC und zeigt es auf dem Tab IOC-Übereinstimmungen an. Weitere Informationen finden Sie unter Automatische Zuordnung von IOCs durch Google SecOps.

    In Systemen mit aktivierter Daten-RBAC können Sie nur IOC-Übereinstimmungen für Assets aufrufen, für die Sie eine Zugriffsberechtigung haben. Weitere Informationen finden Sie unter Auswirkungen der datenbasierten RBAC auf Google SecOps-Funktionen.

    Im Dashboard IoC-Übereinstimmungen können Sie IoC-Details wie Konfidenzwert, Schweregrad, Feedname und Kategorie aufrufen.

Allgemeine Ansichtsoptionen auf der Seite „Benachrichtigungen und IOCs“ konfigurieren

In diesem Abschnitt werden die allgemeinen Ansichtsoptionen beschrieben, die Sie auf den Tabs Benachrichtigungen und IOC-Übereinstimmungen der Seite Benachrichtigungen und IOCs konfigurieren können.

Anzuzeigende Spalten angeben

Verwenden Sie den Spaltenmanager, um die Spalten anzugeben, die auf dem Tab angezeigt werden sollen.

Datums- und Uhrzeitbereich konfigurieren

So legen Sie den Datums- und Zeitbereich für die Benachrichtigungen und IOC-Übereinstimmungen fest, die auf den Tabs Benachrichtigungen und IOC-Übereinstimmungen angezeigt werden sollen:

  1. Klicken Sie auf das Symbol Kalender. Das Dialogfeld Datums- und Zeitraum festlegen wird geöffnet. Sie können den Datums- und Zeitraum mithilfe der voreingestellten Zeiträume auf dem Tab Zeitraum angeben oder auf dem Tab Ereigniszeit eine bestimmte Zeit für das Auftreten des Ereignisses auswählen.

  2. Wenn Sie den Datums- und Zeitraum mit voreingestellten Optionen angeben möchten, klicken Sie auf den Tab Bereich und wählen Sie eine der folgenden Optionen aus:

    • Heute
    • Letzte Stunde
    • Letzte 12 Stunden
    • Letzter Tag
    • Letzte Woche
    • Letzte 2 Wochen
    • Letzter Monat
    • Letzte 2 Monate
    • Benutzerdefiniert: Wählen Sie im Kalender das Start- und Enddatum aus und klicken Sie dann auf die Felder Beginn und Ende, um die Uhrzeit auszuwählen.

  3. Wenn Sie den Datums- und Zeitraum anhand von Ereignissen angeben möchten, klicken Sie auf den Tab Ereigniszeit, wählen Sie das Datum im Kalender aus und wählen Sie dann eine der folgenden Optionen aus:

    • Genaue Uhrzeit: Klicken Sie auf das Feld Ereigniszeit und wählen Sie die genaue Uhrzeit aus, zu der die Ereignisse aufgetreten sind.
    • +/- 1 Minute
    • +/- 3 Minuten
    • +/- 5 Minuten
    • +/- 10 Minuten
    • +/- 15 Minuten
    • +/- 1 Stunde
    • +/- 2 Stunden
    • +/- 6 Stunden
    • +/- 12 Stunden
    • +/- 1 Tag
    • +/- 3 Tage
    • +/- 1 Woche

Benachrichtigungen und IOC-Übereinstimmungen sortieren

Sie können die angezeigten Benachrichtigungen und IOC-Übereinstimmungen in aufsteigender oder absteigender Reihenfolge sortieren. Klicken Sie auf die Spaltenüberschriften, um die Liste zu sortieren.

Benachrichtigungen ansehen

Auf dem Tab Benachrichtigungen wird eine Liste der Benachrichtigungen angezeigt, die im angegebenen Zeitraum in Ihrem Unternehmen erkannt wurden. Auf diesem Tab finden Sie auf einen Blick Informationen zu den Benachrichtigungen, z. B. Schweregrad, Priorität, Risikobewertung und Ergebnis. Anhand von farbcodierten Symbolen können Sie schnell erkennen, welche Warnungen sofortige Aufmerksamkeit erfordern.

Weitere Informationen ansehen

So rufen Sie weitere Informationen zu einer Benachrichtigung auf:

  • Maximieren Sie die Zeile mit der Benachrichtigung, um den Zeitstempel, den Typ und die Zusammenfassung des Ereignisses aufzurufen.
  • Klicken Sie in der Liste auf den Namen der Benachrichtigung, um zur Benachrichtigungsansicht zu wechseln und weitere Informationen zur Benachrichtigung und ihrem Status aufzurufen.

Tabelle „Benachrichtigungen“ aktualisieren

Wählen Sie im Menü Aktualisierungszeit in der Kopfzeile der Tabelle Benachrichtigungen aus, wie oft die Tabelle Benachrichtigungen aktualisiert werden soll. Folgende Optionen sind verfügbar:

  • Jetzt aktualisieren
  • Keine automatische Aktualisierung (Standard)
  • Alle 5 Minuten aktualisieren
  • Alle 15 Minuten aktualisieren
  • Stündlich aktualisieren

Durch zusammengesetzte Erkennungen generierte Benachrichtigungen

Benachrichtigungen können durch zusammengesetzte Erkennungen generiert werden. Dabei werden zusammengesetzte Regeln verwendet, die Ausgaben (Erkennungen) aus anderen Regeln in Kombination mit Ereignissen, Messwerten oder Entitätsrisikosignalen nutzen. Mit diesen Regeln werden komplexe, mehrstufige Bedrohungen erkannt, die von einzelnen Regeln möglicherweise nicht erfasst werden.

Mit zusammengesetzten Erkennungen können Sie Ereignisse anhand definierter Regelinteraktionen und Trigger analysieren. Dadurch wird die Genauigkeit verbessert, die Anzahl falsch positiver Ergebnisse reduziert und ein umfassender Überblick über Sicherheitsbedrohungen geboten, da Daten aus verschiedenen Quellen und Angriffsphasen korreliert werden.

Auf dem Tab Benachrichtigungen wird die Quelle der Benachrichtigung in der Spalte Eingaben angezeigt. Wenn die Benachrichtigung von zusammengesetzten Erkennungen stammt, wird in der Spalte Detection angezeigt.

Wenn Sie die zusammengesetzten Erkennungen aufrufen möchten, die die Benachrichtigung ausgelöst haben, führen Sie auf dem Tab Benachrichtigungen einen der folgenden Schritte aus:

  • Maximieren Sie die Zeile mit der Benachrichtigung und sehen Sie sich die zusammengesetzten Erkennungen in der Tabelle Erkennungen an.
  • Klicken Sie auf den Regelnamen, um die Seite Erkennungen zu öffnen.
  • Klicken Sie auf den Namen der Benachrichtigung, um den Tab Benachrichtigungsdetails zu öffnen.

Benachrichtigungen filtern

Sie können die Liste der angezeigten Benachrichtigungen mithilfe von Filtern eingrenzen.

Führen Sie die folgenden Schritte aus, um Filter für die Liste der Benachrichtigungen hinzuzufügen:

  1. Klicken Sie links oben auf dem Tab auf das Symbol Filter oder auf Filter hinzufügen, um das Dialogfeld Filter hinzufügen zu öffnen.

  2. Geben Sie die folgenden Informationen an:

    • Feld: Geben Sie das Objekt ein, nach dem Sie filtern möchten, oder beginnen Sie mit der Eingabe im Feld und wählen Sie es aus der Liste aus.
    • Operator: Geben Sie = (Nur anzeigen) oder != (Herausfiltern) ein, um anzugeben, wie der Wert behandelt werden soll.
    • Wert: Setzen Sie ein Häkchen bei den Feldern, die Sie abgleichen oder herausfiltern möchten. Die angezeigte Liste basiert auf dem Wert für Feld.

  3. Klicken Sie auf Übernehmen. Der Filter wird als Chip in der Filterleiste über der Tabelle Benachrichtigungen angezeigt. Sie können bei Bedarf mehrere Filter hinzufügen.

Wenn Sie einen Filter löschen möchten, klicken Sie auf das x im Filter-Chip, um ihn zu entfernen.

IOC-Übereinstimmungen ansehen

Auf dem Tab IOC-Übereinstimmungen werden die IOCs angezeigt, die in Ihrem Netzwerk erkannt und mit einer Liste bekannter verdächtiger IOCs in intelligenten Bedrohungsfeeds abgeglichen wurden. Sie können Informationen zu den IOCs aufrufen, z. B. Typ, Priorität, Status, Kategorien, Assets, Kampagnen, Quellen, IOC-Aufnahmezeit, erstmaliges und letztes Auftreten. Anhand der farbcodierten Symbole können Sie schnell erkennen, welche IOCs Ihre Aufmerksamkeit erfordern.

So gleicht Google SecOps IOCs automatisch ab

Google SecOps gleicht Ihre aufgenommenen Sicherheitsdaten automatisch mit bekannten Bedrohungsindikatoren aus verschiedenen Threat-Intelligence-Feeds ab. Wenn Sicherheitsdaten aufgenommen werden, werden sie zuerst in das Unified Data Model (UDM) normalisiert. Die IOC-Abgleichs-Engine vergleicht diese normalisierten UDM-Ereignisse kontinuierlich mit Bedrohungsindikatoren aus allen konfigurierten Feeds. Wenn eine Übereinstimmung gefunden wird, generiert Google SecOps eine IOC-Übereinstimmungsmeldung. Dieser automatische Abgleich ist besonders effektiv für Domains und IPv4-Adressen.

Das folgende Diagramm veranschaulicht den gesamten Prozess:

IOC-Abgleichsprozess

Weitere Informationen zur Datenaufnahme finden Sie unter Google SecOps-Datenaufnahme.

IOC-Versionen

Google SecOps speichert alle aufgenommenen IOC-Versionen und verwendet die zuletzt aufgenommene Version, die bis zu einem bestimmten Enddatum aktiv ist. Wenn Sie einen IOC ohne Enddatum aufnehmen, bleibt er auf unbestimmte Zeit aktiv. Wenn Sie später denselben IOC mit einem bestimmten Zeitraum (Start- und Enddatum) aufnehmen, wird die unbegrenzte Version während des aktiven Zeitraums überschrieben. Dazu gehört auch ein fünftägiger Rückblick vor dem Startdatum.

Nach Ablauf dieses zeitlich begrenzten IOC verwendet Google SecOps automatisch wieder die vorherige IOC-Version, sofern diese noch aktiv ist (z. B. die unbegrenzt aktive Version). Durch die Aufnahme eines zeitlich begrenzten IOC wird ein zuvor aufgenommenes unbegrenztes IOC nicht gelöscht oder dauerhaft ungültig.

Nachdem die Daten aufgenommen wurden, werden die UDM-Ereignisdaten kontinuierlich analysiert, um IOCs zu finden, die mit bekannten schädlichen Domainnamen, IP-Adressen und Datei-Hashes (MD5, SHA-256 und SHA-1) übereinstimmen. Wenn eine Übereinstimmung gefunden wird, wird der IOC auf dem Tab IOC-Übereinstimmungen angezeigt.

Threat Intelligence-Quellen

Google SecOps verwendet mehrere Quellen für den IOC-Abgleich:

  • Von Google bereitgestellte Informationen: Google SecOps enthält integrierte Threat Intelligence von Mandiant, VirusTotal und Google Threat Intelligence. Diese Feeds sind automatisch verfügbar und bieten eine Vielzahl von Indikatoren aus der globalen Bedrohungsanalyse. Kunden mit dem Enterprise Plus-Paket erhalten außerdem Zugriff auf erweiterte Feeds wie Mandiant Breach Analytics.
  • Vom Kunden bereitgestellte Feeds: Sie können Ihre eigenen proprietären oder Drittanbieter-Feeds mit Threat Intelligence in Google SecOps einbinden. Diese Feeds, z. B. MISP_IOC, werden normalisiert und in denselben IOC-Abgleichsprozess einbezogen. So können Sie Ihre Sicherheitsdaten mit Indikatoren korrelieren, die für Ihre Organisation relevant sind.

Die folgenden Threat-Intelligence-Quellen sind in Google SecOps standardmäßig verfügbar:

Google SecOps Enterprise-Paket Google SecOps Enterprise Plus-Paket
Angereicherte Open-Source-Intelligence (OSINT) Angereicherte Open-Source Intelligence (OSINT)
Mandiant Fusion
VirusTotal

Echtzeit- und rückwirkender Abgleich

Google SecOps führt den IOC-Abgleich auf zwei Arten durch:

  • Abgleich in Echtzeit: Wenn neue Sicherheitstelemetriedaten aufgenommen und normalisiert werden, werden sie sofort mit allen verfügbaren IOC-Feeds abgeglichen. Bei Übereinstimmungen werden nahezu in Echtzeit Benachrichtigungen ausgelöst.
  • Rückwirkender Abgleich: Wenn neue IOCs zu einem integrierten Threat Intelligence-Feed hinzugefügt werden (entweder von Google oder vom Kunden bereitgestellt), scannt Google SecOps automatisch Ihre Verlaufsdaten (bis zum Ende der Datenaufbewahrungsdauer, in der Regel ein Jahr) auf frühere Vorkommen dieser neuen Indikatoren. So wird sichergestellt, dass vergangene Aktivitäten auf potenzielle Angriffe analysiert werden, auch wenn der Indikator zum Zeitpunkt der Aufnahme nicht bekannt war.

UDM-Felder für den Abgleich

Die automatisierte IOC-Abgleichs-Engine konzentriert sich hauptsächlich auf den Abgleich mit Domainnamen und IP-Adressen, die in UDM-Ereignissen gefunden werden. In der folgenden Tabelle wird beschrieben, welche spezifischen UDM-Felder für den automatischen IOC-Abgleich basierend auf Ihrem Paket verwendet werden:

Enterprise-Paket Enterprise Plus-Paket
about.file
network.dns.answers
network.dns.questions network.dns.questions
principal.administrative_domain
principal.asset
principal.ip
principal.process.file principal.process.file
principal.process.parent_process.file principal.process.parent_process.file
security_result.about.file security_result.about.file
src.file src.file
src.ip
target.asset.ip
target.domain.name
target.file target.file
target.hostname target.hostname
target.ip target.ip
target.process.file target.process.file
target.process.parent_process.file

Wenn Sie wissen, welche UDM-Felder verwendet werden, können Sie dafür sorgen, dass Ihre Datenparser die Rohprotokollfelder den entsprechenden UDM-Feldern für einen effektiven IOC-Abgleich korrekt zuordnen.

Wenn Sie ein Google SecOps Enterprise Plus-Paket haben und die Funktion Applied Threat Intelligence (ATI) aktiviert ist, werden IOCs anhand des GTI-Scores analysiert und priorisiert. Weitere Informationen finden Sie unter Applied Threat Intelligence – Priorität – Übersicht und Applied Threat Intelligence Fusion Feed.

Erweiterte IOC-Abgleichstechniken

Neben dem automatischen IOC-Abgleich, der auf dem Tab IOC-Übereinstimmungen sichtbar ist, bietet Google SecOps mehrere leistungsstarke Methoden für eine detailliertere oder benutzerdefinierte IOC-Korrelation.

Entitätsdiagramme und YARA-L-Regeln verwenden

Mit einem Entitätsgraphen können Sie verschiedene Arten von Kontextentitäten aufnehmen, einschließlich solcher, die IOCs darstellen, und sie mithilfe von YARA-L-Erkennungsregeln mit Ereignisdaten verknüpfen. Dies ermöglicht einen mehrdimensionalen IOC-Abgleich.

Zu den gängigen Entitätstypen, die für den IOC-Abgleich in einem Entitätsdiagramm verwendet werden, gehören: IP_ADDRESS, DOMAIN_NAME, FILE (für Hashes) und URL.

Ein Entitätsdiagramm kann zwei Kontexte verwenden:

  • Von Google bereitgestellter Kontext (GLOBAL_CONTEXT): Google SecOps füllt die Entitätsgrafik vorab mit Feeds wie GCTI, Safe Browsing und VirusTotal, die mit source_type = "GLOBAL_CONTEXT" gekennzeichnet sind.
  • Vom Kunden bereitgestellter Kontext (ENTITY_CONTEXT): Sie können Ihre eigenen IOC-Feeds (z. B. von Anomali, Recorded Future, STIX) aufnehmen oder die Ingestion API verwenden, um benutzerdefinierte IOCs hinzuzufügen. Diese sind im Allgemeinen mit source_type = "ENTITY_CONTEXT" gekennzeichnet.

Wichtiger Hinweis zur Gültigkeit des Entitätsgraphen: Standardmäßig ist ein Eintrag im Entitätsgraphen nur etwa +/- 5 Tage ab dem Zeitstempel der Aufnahme gültig. Das bedeutet, dass Kontextdaten für den kontinuierlichen Abgleich mindestens alle fünf Tage neu aufgenommen werden müssen. Wenn die Entität jedoch ein metadata.threat-Feld enthält, gilt dieser Ablaufzeitraum von +/- 5 Tagen nicht mehr, sodass sie für den historischen IoC-Abgleich geeignet ist.

Beispiel für eine YARA-L-Regel mit GLOBAL_CONTEXT:

rule google_safebrowsing_process_launch {
  meta:
    author      = "noam@"
    description = "Detects Process Launch events against Critical or High severity Google's SafeBrowsing database."

  events:
    $e.metadata.event_type = "PROCESS_LAUNCH"
    $e.target.process.file.sha256 = $hash

    $g.graph.metadata.entity_type = "FILE"
    $g.graph.entity.file.sha256 = $hash
    $g.graph.metadata.source_type = "GLOBAL_CONTEXT"
    $g.graph.metadata.threat.severity = "CRITICAL" or
    $g.graph.metadata.threat.severity = "HIGH"

  match:
    $hash over 10m

  condition:
    $e and $g
}

Ausführliche Beispiele für kontextsensitive Analysen und IOC-Abgleiche mit YARA-L finden Sie unter IP-Adressen mit Kompromittierungsindikatoren abgleichen.

IOC-Abgleich mit Datentabellen und YARA-L-Regeln

Sie können Datentabellen in YARA-L-Regeln verwenden, um sie mit Listen von IOCs abzugleichen. Datentabellen ersetzen Referenzlisten, die eingestellt wurden. Datentabellen unterstützen mehrere Spalten und Datentypen wie String, Regex und CIDR, sodass Sie in einer einzigen Regel mehrere IOCs abgleichen können.

Spaltenbasierter Vergleich und zeilenbasierter Vergleich sind zwei Methoden, um Datentabellen in YARA-L-Regeln zu verwenden:

  • Beim spaltenbasierten Vergleich wird mit dem Schlüsselwort in geprüft, ob der Wert eines Felds in einer Zeile einer bestimmten Datentabellenspalte vorhanden ist. Das ist nützlich, um eine Liste von Werten in einer einzelnen Spalte zu prüfen.
  • Beim zeilenbasierten Vergleich werden UDM-Ereignisfelder mithilfe von Gleichheits- oder Vergleichsoperatoren mit Datentabellenspalten verknüpft. Wenn mehrere Vergleiche durchgeführt werden, müssen alle Bedingungen in derselben Zeile der Datentabelle übereinstimmen. Mit diesem Prozess können Sie einen IOC-Abgleich über mehrere Spalten hinweg durchführen. Regeln, die einen zeilenbasierten Vergleich verwenden, erfordern einen match-Abschnitt.

Beispiel: YARA-L-Regel, die IP-Adressen aus einer Datentabellenspalte abgleicht

rule ioc_ip4_matches {
  meta:
    description = "IOC IPv4 matching using data tables"
  events:
    $ioc.metadata.event_type = "NETWORK_CONNECTION"
    $ioc.target.ip = $dip
    // checks if the IP address is in the ip_address column of data table "string_demo_list"
    $dip in %string_demo_list.ip_address

  condition:
    $ioc
}

Für den mehrdimensionalen Abgleich (z. B. IP-Adresse + Port) können Sie einen zeilenbasierten Vergleich mit einer Datentabelle mit mehreren Spalten verwenden. Im folgenden Beispiel wird eine Datentabelle namens connections_watchlist mit den Spalten ip und port verwendet:

rule ioc_ip4_and_port_matches {
  meta:
    description = "Matches on IP address and port using a data table"
  events:
    $ioc.metadata.event_type = "NETWORK_CONNECTION"
    $ioc.target.ip = $dip
    $ioc.target.port = $dport

    // row-based join: both ip and port must match same row in data table "connections_watchlist"
    %connections_watchlist.ip = $dip
    %connections_watchlist.port = $dport

  match:
    $dip, $dport over 5m

  condition:
    $ioc
}

BigQuery für die Analyse von IOC-Verlaufsdaten

Die Tabelle datalake.ioc_matches im Data Lake von Google SecOps (BigQuery) bietet eine leistungsstarke Möglichkeit, historische IOC-Übereinstimmungsdaten abzufragen. Während sich der Tab IOC-Übereinstimmungen in Google SecOps auf Domains konzentriert, können Sie mit BigQuery IP-Adressübereinstimmungen und mehr analysieren.

Beispiel-SQL zum Abfragen bestimmter IP-Adressen-IOC-Übereinstimmungen:

-- Add your IP IOC Matches here
DECLARE __IP_IOCS__ ARRAY <STRING>;
SET __IP_IOCS__ = ['40.79.150.120'];
------
SELECT
  MIN(DATE(TIMESTAMP_SECONDS(CAST(day_bucket_seconds AS INT64)), 'UTC')) AS first_observed,
  MAX(DATE(TIMESTAMP_SECONDS(CAST(day_bucket_seconds AS INT64)), 'UTC')) AS last_observed,
  COUNT(4) AS hits,
  ioc_value,
  feed_log_type,
  is_global,
  CONCAT(COALESCE(asset.namespace, "untagged"),":",COALESCE(asset.hostname, asset.asset_ip_address, asset.mac, "-")) AS asset
FROM
  `datalake.ioc_matches`
WHERE
  ioc_value IN UNNEST(__IP_IOCS__)
  AND ioc_type = "IOC_TYPE_IP"
GROUP BY
  4,
  5,
  6,
  7

Hier sind die gekürzten Ergebnisse:

Zeile first_observed last_observed Treffer ioc_value feed_log_type is_global Asset
1 2025-02-23 2025-03-05 64 40.79.150.120 CATCH_ALL falsch untagged:192.168.12.16
2 2025-02-27 2025-03-05 29 40.79.150.120 CATCH_ALL falsch untagged:192.168.12.129

Sie können die Tabelle datalake.events auch nach mehrdimensionalen IOC-Übereinstimmungen abfragen, indem Sie einen verketteten String erstellen, z. B.:

DECLARE
  __IOC_MULTIPLE_ATTRIBUTES__ ARRAY <STRING>;
SET
  __IOC_MULTIPLE_ATTRIBUTES__ = ['1.2.3.4,80', '1.2.3.4,443'];
SELECT
  MIN(TIMESTAMP_SECONDS(metadata.event_timestamp.seconds)) AS first_seen,
  MAX(TIMESTAMP_SECONDS(metadata.event_timestamp.seconds)) AS last_seen,
  target_ip,
  target.port
FROM
  `datalake.events`,
  UNNEST(target.ip) target_ip
WHERE
  DATE(hour_time_bucket) BETWEEN DATE_SUB(CURRENT_DATE, INTERVAL 60 DAY)
  AND DATE_SUB(CURRENT_DATE, INTERVAL 1 DAY)
  AND target_ip != ""
  AND target.port > 0
  AND CONCAT(target_ip,",",CAST(target.port AS STRING)) IN UNNEST(__IOC_MULTIPLE_ATTRIBUTES__)
GROUP BY 3,4

UDM-Suche und Search API

  • UDM-Suche: Unterstützt die Verwendung von Datentabellen (früher Referenzlisten) für eindimensionale Suchen (z. B. eine Liste von Hashes). Komplexe OR-Logik über mehrere unterschiedliche Gruppen hinweg (z. B. (IP1 AND Port1) OR (IP2 AND Port2)) wird jedoch nicht unterstützt.
  • Search API: Die ältere Search API kann für den IOC-Abgleich von Hashes, IP-Adressen und Domainnamen effektiv sein und übereinstimmende Assets zurückgeben.

IOC-Übereinstimmungen filtern

Mit Filtern können Sie die Liste der IOCs eingrenzen, die in der Tabelle IOCs angezeigt werden.

Führen Sie die folgenden Schritte aus, um Filter für die Liste der IOCs hinzuzufügen:

  1. Klicken Sie links oben in der Tabelle IOCs auf das Symbol Filter, um das Dialogfeld Filter zu öffnen.

  2. Nehmen Sie folgende Einstellungen vor:

    • Logischer Operator: Wählen Sie ODER aus, um eine der kombinierten Bedingungen (Disjunktion) zu erfüllen, oder UND, um alle kombinierten Bedingungen (Konjunktion) zu erfüllen.
    • Spalte: Wählen Sie die Spalte aus, nach der gefiltert werden soll.
    • Nur anzeigen oder Herausfiltern: Wählen Sie in der mittleren Spalte Nur anzeigen oder Herausfiltern aus, um festzulegen, wie der Wert behandelt werden soll.
    • Wert: Setzen Sie Häkchen in die Kästchen für die Werte, die basierend auf dem Wert in der Spalte angezeigt oder herausgefiltert werden sollen.

  3. Klicken Sie auf Übernehmen. Der Filter wird als Chip in der Filterleiste über der Tabelle IOCs angezeigt. Sie können bei Bedarf mehrere Filter hinzufügen.

Wenn Sie einen Filter löschen möchten, klicken Sie auf das x im Filter-Chip, um ihn zu entfernen, oder auf Alle löschen.

Beispiel für das Filtern nach kritischen IOCs

Wenn Sie nach IOCs suchen, die als kritisch eingestuft wurden, wählen Sie in der linken Spalte Schweregrad, in der mittleren Spalte Nur anzeigen und in der rechten Spalte Kritisch aus.

Beispiel für das Filtern nach IOCs von Applied Threat Intelligence

Wenn Sie nur Applied Threat Intelligence-IOCs sehen möchten, wählen Sie in der linken Spalte Quellen, in der mittleren Spalte Nur anzeigen und in der rechten Spalte Mandiant aus.

Sie können IOCs auch über das Flyout-Steuerfeld Filter auf der linken Seite des Tabs filtern. Maximieren Sie den Spaltennamen, suchen Sie den Wert und klicken Sie auf das Symbol Mehr, um Nur anzeigen oder Herausfiltern auszuwählen.

Details zu IOC-Übereinstimmungen ansehen und verwalten

Wenn Sie Details zu einem Vorfall aufrufen möchten, z. B. Priorität, Typ, Quelle, IC-Score und Kategorie, klicken Sie auf den IOC, um die Seite IOC-Details zu öffnen. Auf dieser Seite können Sie Folgendes tun:

  • Ereignispriorisierung ansehen
  • Verknüpfungen anzeigen

Ereignispriorisierung ansehen

Auf dem Tab Ereignisse können Sie sehen, wie die Ereignisse, bei denen der IOC erkannt wurde, priorisiert werden.

Klicken Sie auf das Ereignis, um die Ereignisanzeige zu öffnen. Dort werden die Priorität, die Begründung und die Ereignisdetails angezeigt.

Verknüpfungen anzeigen

Auf dem Tab Verknüpfungen können Sie sich die Verknüpfungen für alle Akteure oder Malware ansehen, um Sicherheitslücken zu untersuchen und Warnungen zu priorisieren.

SOAR-Benachrichtigungen

Für Google SecOps Unified-Kunden werden auf dieser Seite SOAR-Benachrichtigungen mit einer Fall-ID angezeigt. Klicken Sie auf die Fall-ID, um die Seite Fälle zu öffnen. Auf der Seite Fälle finden Sie Informationen zur Benachrichtigung und zum zugehörigen Fall und können entsprechende Maßnahmen ergreifen. Weitere Informationen finden Sie unter Fälle – Übersicht.

So verwalten Sie den Benachrichtigungsstatus oder schließen eine Benachrichtigung:

  1. Rufen Sie die Seite Anfragen auf.
  2. Klicken Sie im Abschnitt Falldetails > Benachrichtigungsübersicht auf Zum Fall, um auf den Fall zuzugreifen.

Beschränkungen

Google SecOps kann bis zu 10.000 IOC-Übereinstimmungen gleichzeitig verarbeiten. Dieses Limit gilt für alle Suchparameter, die auf der Seite Meldungen und IOCs angezeigt werden.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten