Mengelola pemberitahuan dan kecocokan IOC

Didukung di:

Halaman Alerts & IOCs menampilkan semua pemberitahuan dan Indikator Penyusupan (IOC) yang memengaruhi perusahaan Anda.

  • Untuk membuka halaman Alerts & IOCs, klik Detection > Alerts & IOCs.

Halaman ini berisi tab Alerts dan tab IOC Matches:

  • Gunakan tab Notifikasi untuk melihat notifikasi saat ini di perusahaan Anda.

    Notifikasi dapat dibuat oleh infrastruktur keamanan, oleh personel keamanan, atau oleh aturan Google Security Operations.

    Dalam sistem yang mengaktifkan RBAC data, Anda hanya dapat melihat pemberitahuan dan deteksi yang berasal dari aturan yang terkait dengan cakupan yang ditetapkan. Untuk mengetahui informasi selengkapnya tentang dampak RBAC data terhadap deteksi, lihat Deteksi.

  • Gunakan tab IOC Matches untuk melihat IOC yang telah ditandai sebagai mencurigakan dan telah terlihat di perusahaan Anda.

    Google Security Operations terus menyerap data dari infrastruktur Anda dan sumber data keamanan lainnya, serta otomatis menghubungkan indikator keamanan yang mencurigakan dengan data keamanan Anda. Jika kecocokan ditemukan (misalnya, domain yang mencurigakan terlihat di perusahaan Anda), Google SecOps akan memberi label pada peristiwa tersebut sebagai IOC dan menampilkannya di tab IOC Matches. Untuk mengetahui informasi selengkapnya, lihat Cara Google SecOps mencocokkan IOC secara otomatis.

    Dalam sistem yang mengaktifkan RBAC data, Anda hanya dapat melihat kecocokan IOC untuk aset yang izin aksesnya Anda miliki. Untuk mengetahui informasi selengkapnya, lihat Dampak RBAC data terhadap fitur Google SecOps.

    Di dasbor Kecocokan IoC, Anda dapat melihat detail IOC, seperti skor keyakinan, tingkat keparahan, nama feed, dan kategori.

Mengonfigurasi opsi tampilan umum di halaman Alerts & IOCs

Bagian ini menjelaskan opsi tampilan umum yang dapat Anda konfigurasi di tab Alerts dan IOC Matches pada halaman Alerts & IOCs.

Menentukan kolom yang akan ditampilkan

Gunakan Pengelola kolom untuk menentukan kolom yang ingin Anda tampilkan di tab.

Mengonfigurasi rentang tanggal dan waktu

Untuk menentukan rentang tanggal dan waktu untuk pemberitahuan dan kecocokan IOC yang ingin Anda tampilkan di tab Alerts dan IOC Matches, lakukan hal berikut:

  1. Klik ikon Kalender. Dialog Set Date and Time Range akan terbuka. Anda dapat menentukan rentang tanggal dan waktu menggunakan rentang waktu yang telah ditetapkan di tab Range atau memilih waktu tertentu terjadinya peristiwa di tab Event Time.

  2. Untuk menentukan rentang tanggal dan waktu menggunakan opsi yang telah ditetapkan, klik tab Rentang, lalu pilih salah satu opsi berikut:

    • Hari ini
    • 1 Jam Terakhir
    • 12 Jam Terakhir
    • Hari Terakhir
    • Minggu Lalu
    • 2 Minggu Terakhir
    • Bulan Lalu
    • 2 Bulan Terakhir
    • Kustom: pilih tanggal mulai dan akhir di kalender, lalu klik kolom Waktu mulai dan Waktu akhir untuk memilih waktu.

  3. Untuk menentukan rentang tanggal dan waktu berdasarkan peristiwa, klik tab Event Time, pilih tanggal di kalender, lalu pilih salah satu opsi berikut:

    • Waktu Persis: klik kolom Waktu Peristiwa dan pilih waktu spesifik saat peristiwa terjadi.
    • +/- 1 Menit
    • +/- 3 Menit
    • +/- 5 Menit
    • +/- 10 Menit
    • +/- 15 Menit
    • +/- 1 Jam
    • +/- 2 Jam
    • +/- 6 Jam
    • +/- 12 Jam
    • +/- 1 Hari
    • +/- 3 Hari
    • +/- 1 Minggu

Mengurutkan pemberitahuan dan kecocokan IOC

Anda dapat mengurutkan pemberitahuan dan kecocokan IOC yang ditampilkan dalam urutan menaik atau menurun. Klik judul kolom untuk mengurutkan daftar.

Lihat pemberitahuan

Tab Notifikasi menampilkan daftar notifikasi yang telah terdeteksi di perusahaan Anda dalam rentang tanggal dan waktu yang ditentukan. Anda dapat menggunakan tab ini untuk melihat sekilas informasi tentang pemberitahuan seperti tingkat keparahan, prioritas, skor risiko, dan keputusan. Ikon dan simbol berkode warna membantu Anda mengidentifikasi dengan cepat pemberitahuan yang memerlukan perhatian segera.

Lihat informasi tambahan

Untuk melihat informasi tambahan tentang pemberitahuan:

  • Luaskan baris pemberitahuan untuk melihat stempel waktu, jenis, dan ringkasan peristiwa.
  • Klik Name pemberitahuan dalam daftar untuk beralih ke Alert view dan melihat informasi tambahan tentang pemberitahuan dan statusnya.

Memuat ulang tabel Pemberitahuan

Gunakan menu waktu muat ulang di header tabel Pemberitahuan untuk memilih seberapa sering tabel Pemberitahuan harus dimuat ulang. Tersedia opsi-opsi berikut:

  • Pelajari kembali sekarang
  • Tidak ada muat ulang otomatis (default)
  • Muat ulang tiap 5 menit
  • Muat ulang tiap 15 menit
  • Muat ulang tiap jam

Notifikasi yang dihasilkan oleh deteksi gabungan

Notifikasi dapat dibuat oleh deteksi gabungan, yang menggunakan aturan gabungan yang menggunakan output (deteksi) dari aturan lain yang digabungkan dengan peristiwa, metrik, atau sinyal risiko entitas. Aturan ini mendeteksi ancaman kompleks dan multitahap yang mungkin terlewatkan oleh aturan individual.

Deteksi gabungan dapat membantu menganalisis peristiwa melalui interaksi dan pemicu aturan yang ditentukan. Hal ini meningkatkan akurasi, mengurangi positif palsu, dan memberikan gambaran komprehensif tentang ancaman keamanan dengan menghubungkan data dari berbagai sumber dan tahap serangan.

Tab Alerts menampilkan sumber pemberitahuan di kolom Inputs. Jika pemberitahuan berasal dari deteksi gabungan, kolom akan menampilkan Detection.

Untuk melihat deteksi gabungan yang memicu pemberitahuan, lakukan salah satu tindakan berikut di tab Alerts:

  • Luaskan baris pemberitahuan dan lihat deteksi gabungan di tabel Detections.
  • Klik Rule name untuk membuka halaman Detections.
  • Klik Name pemberitahuan untuk membuka tab Alert details.

Memfilter pemberitahuan

Anda dapat mempersempit daftar notifikasi yang ditampilkan menggunakan filter.

Lakukan langkah-langkah berikut untuk menambahkan filter untuk daftar notifikasi:

  1. Klik ikon Filter atau Add filter di pojok kiri atas tab untuk membuka dialog Add filter.

  2. Tentukan informasi berikut:

    • Kolom: masukkan objek yang ingin Anda filter atau mulai ketik di kolom dan pilih dari daftar.
    • Operator: masukkan = (Hanya tampilkan) atau != (Filter) untuk menunjukkan cara nilai harus diperlakukan.
    • Nilai: pilih kotak centang untuk kolom yang ingin Anda cocokkan atau kecualikan. Daftar yang ditampilkan didasarkan pada nilai Kolom.

  3. Klik Terapkan. Filter ditampilkan sebagai chip di panel filter di atas tabel Notifikasi. Anda dapat menambahkan beberapa filter, sesuai kebutuhan.

Untuk menghapus filter, klik x pada chip filter untuk menghapusnya.

Melihat kecocokan IOC

Tab IOC Matches menampilkan IOC yang telah terdeteksi di jaringan Anda dan dicocokkan dengan daftar IOC mencurigakan yang diketahui di feed ancaman cerdas. Anda dapat melihat informasi tentang IOC, seperti jenis, prioritas, status, kategori, aset, kampanye, sumber, waktu penyerapan IOC, pertama kali dilihat, dan terakhir dilihat. Ikon dan simbol berkode warna membantu Anda mengidentifikasi dengan cepat IOC mana yang memerlukan perhatian Anda.

Cara Google SecOps mencocokkan IOC secara otomatis

Google SecOps otomatis mengaitkan data keamanan yang diserap dengan indikator ancaman yang diketahui dari berbagai feed threat intelligence. Saat data keamanan diserap, data tersebut pertama-tama dinormalisasi ke dalam Unified Data Model (UDM). Mesin pencocokan IOC terus membandingkan peristiwa UDM yang dinormalisasi ini dengan indikator ancaman dari semua feed yang dikonfigurasi. Jika ditemukan kecocokan, Google SecOps akan membuat pemberitahuan kecocokan IOC. Proses pencocokan otomatis ini sangat efektif untuk domain dan alamat IPv4.

Diagram berikut menggambarkan proses menyeluruh:

Proses pencocokan IOC

Untuk mengetahui informasi selengkapnya tentang penyerapan data, lihat Penyerapan data Google SecOps.

Versi IOC

Google SecOps mempertahankan semua versi IOC yang diserap dan menggunakan versi yang paling baru diserap yang aktif hingga tanggal akhir tertentu. Jika Anda menyerap IOC tanpa tanggal akhir, IOC tersebut akan tetap aktif tanpa batas waktu. Jika nanti Anda menyerap IOC yang sama dengan rentang waktu tertentu (tanggal mulai dan akhir), IOC tersebut akan mengganti versi tanpa batas selama periode aktifnya, yang mencakup periode lihat balik lima hari sebelum tanggal mulainya.

Setelah IOC dengan batas waktu ini berakhir, Google SecOps akan otomatis kembali menggunakan versi IOC sebelumnya jika masih aktif (misalnya, versi aktif tanpa batas waktu). Menyerap IOC dengan batas waktu tidak akan menghapus atau mengakhiri masa berlaku IOC tanpa batas waktu yang telah diserap sebelumnya secara permanen.

Setelah data diserap, data peristiwa UDM terus dianalisis untuk menemukan IOC yang cocok dengan nama domain, alamat IP, dan hash file (MD5, SHA-256, dan SHA-1) berbahaya yang diketahui. Jika kecocokan ditemukan, IOC akan ditampilkan di tab IOC Matches.

Sumber threat intelligence

Google SecOps menggunakan beberapa sumber untuk pencocokan IOC:

  • Kecerdasan yang disediakan Google: Google SecOps menyertakan threat intelligence terintegrasi dari Mandiant, VirusTotal, dan Google Threat Intelligence. Feed ini tersedia secara otomatis dan memberikan berbagai indikator dari analisis ancaman global. Pelanggan dengan paket Enterprise Plus juga mendapatkan akses ke feed yang lebih canggih seperti Mandiant Breach Analytics.
  • Feed yang disediakan pelanggan: Anda dapat menyerap feed threat intelligence eksklusif atau pihak ketiga Anda sendiri ke Google SecOps. Feed ini, seperti MISP_IOC, dinormalisasi dan disertakan dalam proses pencocokan IOC yang sama, sehingga Anda dapat menghubungkan data keamanan dengan indikator yang relevan bagi organisasi Anda.

Sumber threat intelligence berikut tersedia di Google SecOps secara default:

Paket Google SecOps Enterprise Paket Google SecOps Enterprise Plus
Open-source intelligence (OSINT) yang diperkaya Open-source intelligence (OSINT) yang diperkaya
Mandiant Fusion
VirusTotal

Pencocokan real-time dan retroaktif

Google SecOps melakukan pencocokan IOC dengan dua cara:

  • Pencocokan real-time: saat telemetri keamanan baru diserap dan dinormalisasi, telemetri tersebut akan langsung diperiksa terhadap semua feed IOC yang tersedia. Setiap kecocokan akan memicu pemberitahuan hampir secara real-time.
  • Pencocokan retroaktif: saat IOC baru ditambahkan ke feed threat intelligence terintegrasi (baik yang disediakan Google maupun yang disediakan pelanggan), Google SecOps akan otomatis memindai data historis Anda (hingga periode retensi data penuh, biasanya satu tahun) untuk menemukan kemunculan indikator baru ini di masa lalu. Hal ini memastikan bahwa aktivitas historis dianalisis untuk potensi penyusupan, meskipun indikatornya tidak diketahui pada saat penyerapan.

Kolom UDM yang digunakan untuk pencocokan

Mesin pencocokan IOC otomatis berfokus terutama pada pencocokan dengan nama domain dan alamat IP yang ditemukan dalam peristiwa UDM. Tabel berikut menjelaskan kolom UDM tertentu yang digunakan untuk pencocokan IOC otomatis berdasarkan paket Anda:

Paket Enterprise Paket Enterprise Plus
about.file
network.dns.answers
network.dns.questions network.dns.questions
principal.administrative_domain
principal.asset
principal.ip
principal.process.file principal.process.file
principal.process.parent_process.file principal.process.parent_process.file
security_result.about.file security_result.about.file
src.file src.file
src.ip
target.asset.ip
target.domain.name
target.file target.file
target.hostname target.hostname
target.ip target.ip
target.process.file target.process.file
target.process.parent_process.file

Memahami kolom UDM yang digunakan akan membantu memastikan parser data Anda memetakan kolom log mentah dengan benar ke kolom UDM yang sesuai untuk pencocokan IOC yang efektif.

Jika Anda memiliki paket Google SecOps Enterprise Plus dan fitur Applied Threat Intelligence (ATI) diaktifkan, IOC akan dianalisis dan diprioritaskan berdasarkan GTI Score. Untuk mengetahui informasi selengkapnya, lihat Ringkasan prioritas Applied Threat Intelligence dan Applied Threat Intelligence Fusion Feed.

Teknik pencocokan IOC lanjutan

Selain pencocokan IOC otomatis yang terlihat di tab IOC Matches, Google SecOps menawarkan beberapa metode yang efektif untuk korelasi IOC yang lebih terperinci atau kustom.

Menggunakan grafik entity dan aturan YARA-L

Grafik entity memungkinkan Anda menyerap berbagai jenis entity kontekstual—termasuk yang mewakili IOC—dan menggabungkannya dengan data peristiwa menggunakan aturan deteksi YARA-L. Hal ini memungkinkan pencocokan IOC multi-dimensi.

Jenis entity umum yang digunakan untuk pencocokan IOC dalam grafik entity mencakup: IP_ADDRESS, DOMAIN_NAME, FILE (untuk hash), dan URL.

Grafik entity dapat menggunakan dua konteks:

  • Konteks yang disediakan Google (GLOBAL_CONTEXT): Google SecOps mengisi otomatis grafik entity dengan feed seperti GCTI, Safe Browsing, dan VirusTotal, yang diberi label source_type = "GLOBAL_CONTEXT".
  • Konteks yang disediakan pelanggan (ENTITY_CONTEXT): Anda dapat menyerap feed IOC Anda sendiri (misalnya, dari Anomali, Recorded Future, STIX) atau menggunakan Ingestion API untuk menambahkan IOC kustom. Label ini umumnya diberi label source_type = "ENTITY_CONTEXT".

Pertimbangan penting untuk validitas Entity Graph: secara default, entri entity graph hanya valid selama sekitar +/- 5 hari dari stempel waktu penyerapannya. Artinya, untuk pencocokan berkelanjutan, data konteks harus diserap ulang setidaknya setiap lima hari. Namun, jika entitas menyertakan kolom metadata.threat, masa berlaku +/- 5 hari ini tidak lagi berlaku, sehingga cocok untuk pencocokan IOC historis.

Contoh aturan YARA-L menggunakan GLOBAL_CONTEXT:

rule google_safebrowsing_process_launch {
  meta:
    author      = "noam@"
    description = "Detects Process Launch events against Critical or High severity Google's SafeBrowsing database."

  events:
    $e.metadata.event_type = "PROCESS_LAUNCH"
    $e.target.process.file.sha256 = $hash

    $g.graph.metadata.entity_type = "FILE"
    $g.graph.entity.file.sha256 = $hash
    $g.graph.metadata.source_type = "GLOBAL_CONTEXT"
    $g.graph.metadata.threat.severity = "CRITICAL" or
    $g.graph.metadata.threat.severity = "HIGH"

  match:
    $hash over 10m

  condition:
    $e and $g
}

Untuk contoh mendetail tentang analisis kontekstual dan pencocokan IOC menggunakan YARA-L, lihat Pencocokan alamat IP dengan indikator penyusupan.

Pencocokan IOC dengan tabel data dan aturan YARA-L

Anda dapat menggunakan tabel data dalam aturan YARA-L untuk mencocokkan dengan daftar IOC. Tabel data menggantikan daftar referensi, yang tidak digunakan lagi. Tabel data mendukung beberapa kolom dan jenis data seperti string, ekspresi reguler, dan CIDR, sehingga Anda dapat mencocokkan beberapa IOC dalam satu aturan.

Perbandingan berbasis kolom dan perbandingan berbasis baris adalah dua metode untuk menggunakan Tabel Data dalam aturan YARA-L:

  • Perbandingan berbasis kolom memeriksa apakah nilai kolom ada di baris mana pun dari kolom tabel data tertentu menggunakan kata kunci in. Hal ini berguna untuk memeriksa daftar nilai dalam satu kolom.
  • Perbandingan berbasis baris menggabungkan kolom peristiwa UDM ke kolom tabel data menggunakan operator kesetaraan atau perbandingan. Jika beberapa perbandingan dibuat, semua kondisi harus cocok pada baris yang sama dalam tabel data. Proses ini memungkinkan Anda melakukan pencocokan IOC multi-kolom. Aturan yang menggunakan perbandingan berbasis baris memerlukan bagian match.

Contoh: Aturan YARA-L yang mencocokkan IP dari kolom tabel data

rule ioc_ip4_matches {
  meta:
    description = "IOC IPv4 matching using data tables"
  events:
    $ioc.metadata.event_type = "NETWORK_CONNECTION"
    $ioc.target.ip = $dip
    // checks if the IP address is in the ip_address column of data table "string_demo_list"
    $dip in %string_demo_list.ip_address

  condition:
    $ioc
}

Untuk pencocokan multi-dimensi (misalnya, alamat IP + port), Anda dapat menggunakan perbandingan berbasis baris terhadap tabel data dengan beberapa kolom. Contoh berikut menggunakan tabel data bernama connections_watchlist dengan kolom ip dan port:

rule ioc_ip4_and_port_matches {
  meta:
    description = "Matches on IP address and port using a data table"
  events:
    $ioc.metadata.event_type = "NETWORK_CONNECTION"
    $ioc.target.ip = $dip
    $ioc.target.port = $dport

    // row-based join: both ip and port must match same row in data table "connections_watchlist"
    %connections_watchlist.ip = $dip
    %connections_watchlist.port = $dport

  match:
    $dip, $dport over 5m

  condition:
    $ioc
}

BigQuery untuk analisis IOC historis

Tabel datalake.ioc_matches di data lake Google SecOps (BigQuery) menyediakan cara yang efektif untuk mengkueri data kecocokan IOC historis. Meskipun tab Kecocokan IOC Google SecOps berfokus pada domain, Anda dapat menggunakan BigQuery untuk menganalisis kecocokan alamat IP dan lainnya.

Contoh SQL untuk mengkueri kecocokan IOC alamat IP tertentu:

-- Add your IP IOC Matches here
DECLARE __IP_IOCS__ ARRAY <STRING>;
SET __IP_IOCS__ = ['40.79.150.120'];
------
SELECT
  MIN(DATE(TIMESTAMP_SECONDS(CAST(day_bucket_seconds AS INT64)), 'UTC')) AS first_observed,
  MAX(DATE(TIMESTAMP_SECONDS(CAST(day_bucket_seconds AS INT64)), 'UTC')) AS last_observed,
  COUNT(4) AS hits,
  ioc_value,
  feed_log_type,
  is_global,
  CONCAT(COALESCE(asset.namespace, "untagged"),":",COALESCE(asset.hostname, asset.asset_ip_address, asset.mac, "-")) AS asset
FROM
  `datalake.ioc_matches`
WHERE
  ioc_value IN UNNEST(__IP_IOCS__)
  AND ioc_type = "IOC_TYPE_IP"
GROUP BY
  4,
  5,
  6,
  7

Berikut adalah hasil yang dipotong:

Baris first_observed last_observed hits ioc_value feed_log_type is_global asset
1 2025-02-23 2025-03-05 64 40.79.150.120 CATCH_ALL false untagged:192.168.12.16
2 2025-02-27 2025-03-05 29 40.79.150.120 CATCH_ALL false untagged:192.168.12.129

Anda juga dapat mengkueri tabel datalake.events untuk pencocokan IOC multi-dimensi dengan membuat string yang digabungkan, misalnya:

DECLARE
  __IOC_MULTIPLE_ATTRIBUTES__ ARRAY <STRING>;
SET
  __IOC_MULTIPLE_ATTRIBUTES__ = ['1.2.3.4,80', '1.2.3.4,443'];
SELECT
  MIN(TIMESTAMP_SECONDS(metadata.event_timestamp.seconds)) AS first_seen,
  MAX(TIMESTAMP_SECONDS(metadata.event_timestamp.seconds)) AS last_seen,
  target_ip,
  target.port
FROM
  `datalake.events`,
  UNNEST(target.ip) target_ip
WHERE
  DATE(hour_time_bucket) BETWEEN DATE_SUB(CURRENT_DATE, INTERVAL 60 DAY)
  AND DATE_SUB(CURRENT_DATE, INTERVAL 1 DAY)
  AND target_ip != ""
  AND target.port > 0
  AND CONCAT(target_ip,",",CAST(target.port AS STRING)) IN UNNEST(__IOC_MULTIPLE_ATTRIBUTES__)
GROUP BY 3,4

Penelusuran UDM dan Search API

  • Penelusuran UDM: Mendukung penggunaan tabel data (sebelumnya disebut daftar referensi) untuk penelusuran dimensi tunggal (misalnya, daftar hash). Namun, fitur ini tidak mendukung logika OR yang kompleks di beberapa grup yang berbeda (misalnya, (IP1 AND Port1) OR (IP2 AND Port2)).
  • Search API: Search API yang lebih lama dapat efektif untuk pencocokan IOC pada hash, alamat IP, dan nama domain, yang menampilkan aset yang cocok.

Memfilter kecocokan IOC

Anda dapat menggunakan filter untuk mempersempit daftar IOC yang ditampilkan di tabel IOC.

Lakukan langkah-langkah berikut untuk menambahkan filter untuk daftar IOC:

  1. Klik ikon Filter di pojok kiri atas tabel IOC untuk membuka dialog Filter.

  2. Konfigurasi hal berikut ini:

    • Operator Logis: pilih OR untuk mencocokkan salah satu kondisi gabungan (disjungsi) atau AND untuk mencocokkan semua kondisi gabungan (konjungsi).
    • Kolom: pilih kolom yang akan digunakan untuk memfilter.
    • Hanya Tampilkan atau Kecualikan: di kolom tengah, pilih Hanya Tampilkan atau Kecualikan untuk menentukan cara nilai harus diperlakukan.
    • Value: centang kotak centang untuk nilai yang akan ditampilkan atau difilter berdasarkan nilai Column.

  3. Klik Terapkan. Filter ditampilkan sebagai chip di panel filter di atas tabel IOC. Anda dapat menambahkan beberapa filter, sesuai kebutuhan.

Untuk menghapus filter, klik x pada chip filter untuk menghapusnya atau Hapus Semua.

Contoh pemfilteran untuk IOC penting

Jika Anda mencari IOC yang telah diidentifikasi sebagai sangat parah, pilih Tingkat keparahan di kolom kiri, Tampilkan hanya di kolom tengah, dan Kritis di kolom kanan.

Contoh pemfilteran untuk IOC Applied Threat Intelligence

Jika Anda hanya ingin melihat IOC Applied Threat Intelligence, pilih Sources di kolom kiri, Show only di kolom tengah, dan Mandiant di kolom kanan.

Anda juga dapat memfilter IOC menggunakan panel flyout Filters di sisi kiri tab. Luaskan nama kolom, temukan nilainya, lalu klik ikon Lainnya untuk memilih Tampilkan saja atau Filter.

Melihat dan mengelola detail kecocokan IOC

Untuk melihat detail tentang insiden, seperti prioritas, jenis, sumber, IC-Score, dan kategori, klik IOC untuk membuka halaman IOC details. Di halaman ini, Anda dapat melakukan hal berikut:

  • Melihat prioritas peristiwa
  • Melihat atribusi

Melihat prioritas peristiwa

Gunakan tab Events untuk melihat cara peristiwa tempat IOC terlihat diprioritaskan.

Klik peristiwa untuk membuka Penampil peristiwa, yang menampilkan prioritas dan alasan serta detail peristiwa.

Melihat atribusi

Gunakan tab Pengaitan guna melihat pengaitan untuk pelaku atau malware apa pun guna membantu menyelidiki pelanggaran dan memprioritaskan pemberitahuan.

Pemberitahuan SOAR

Untuk pelanggan terpadu Google SecOps, pemberitahuan SOAR ditampilkan di halaman ini, dan menyertakan ID kasus. Klik ID kasus untuk membuka halaman Cases. Di halaman Kasus, Anda dapat memperoleh informasi tentang notifikasi dan kasus terkaitnya serta mengambil tindakan respons. Untuk mengetahui informasi selengkapnya, lihat Ringkasan Kasus.

Untuk mengelola status pemberitahuan atau menutup pemberitahuan, lakukan hal berikut:

  1. Buka halaman Kasus.
  2. Di bagian Detail kasus > ringkasan pemberitahuan, klik Buka kasus untuk mengakses kasus.

Batasan

Google SecOps dapat menangani hingga 10.000 kecocokan IOC sekaligus. Batas ini berlaku untuk semua parameter penelusuran yang ditampilkan di halaman Alerts & IOCs.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.