Examiner les alertes

Compatible avec :

Google SecOps SIEM

Les alertes sont des événements de sécurité identifiés par votre infrastructure de sécurité ou les règles de détection de Google Security Operations. Vous pouvez les utiliser pour identifier, analyser et contrer les menaces potentielles.

Les alertes générées par les règles de détection nécessitent un examen humain ou agentique. Elles incluent des données d'état que vous pouvez gérer dans les workflows de gestion des cas à examiner et des incidents.

Google SecOps fournit les outils qui vous aident à examiner les alertes et à ajouter du contexte aux cas :

• Enrichissement : ajoute du contexte à un indicateur ou un événement du modèle de données unifié (UDM) en identifiant les entités associées, en renseignant des informations supplémentaires et en intégrant des données d'enrichissement globales.

  Google SecOps propose deux types d'enrichissement. Tout d'abord, il enrichit automatiquement les événements avec des renseignements sur les menaces et d'autres données contextuelles. Deuxièmement, vous pouvez utiliser des playbooks pour ajouter des informations contextuelles aux demandes.

• Agent de tri et d'investigation (TIN) : utilise Gemini pour analyser les alertes afin de déterminer s'il s'agit de vrais ou de faux positifs, et fournit un résumé du raisonnement et des conclusions.

Examiner une alerte

Les alertes se trouvent dans les cas associés ou sous forme d'entrées indépendantes sur la page Alertes et IOC. Les règles de détection Google SecOps identifient les données d'événement, d'entité ou de métrique comme une menace. Les alertes sont liées à ces données identifiées.

Les vues détaillées des alertes vous donnent des informations sur l'alerte et les entités associées. Ce contexte vous permet, à vous ou à vos systèmes agentiques, de déterminer si une alerte est bénigne ou indique une activité malveillante.

Lorsque vous cliquez sur une alerte, vous êtes redirigé vers une page contenant les détails de l'alerte, organisés dans les trois onglets suivants :

• Présentation : fournit un résumé des informations importantes sur l'alerte, y compris son état et la période de détection.

  La section Récapitulatif des détections de l'onglet identifie la règle spécifique qui a déclenché l'alerte. L'examen d'autres alertes provenant de la même règle peut vous aider à identifier des schémas ou des erreurs de configuration potentielles.

• Graphique : visualise les alertes générées à partir d'une règle YARA-L. Il fournit un graphique de la relation entre l'alerte et d'autres entités. Lorsqu'une alerte est déclenchée, les entités associées à l'alerte s'affichent dans le graphique et sur la gauche de l'écran, chacune avec sa propre fiche. Le graphique des alertes utilise les entités suivantes dans un événement UDM : principal, target, src, observer, intermediary et about.

• Historique des alertes : liste toutes les modifications apportées à cette alerte, y compris lorsque son état a changé ou qu'une note a été ajoutée.

Sous le graphique qui visualise les relations entre les entités et l'alerte, vous trouverez les trois sous-onglets suivants qui fournissent plus de contexte sur l'alerte :

• Événements : contient des informations sur les événements liés à l'alerte.
• Entités : contient des informations sur chaque entité associée à l'alerte.
• Contexte de l'alerte : fournit plus de contexte sur l'alerte.

Remarque : La recherche UDM offre des fonctionnalités avancées qui vous permettent d'examiner plus en détail les événements et les alertes de votre instance Google Security Operations que ce que vous pouvez faire avec la seule page Alertes et IOC. Pour en savoir plus, consultez Recherche UDM.

Examiner le contexte de l'entité

Pour comprendre les entités et leur importance, vous pouvez examiner quelques domaines de produits. Commencez par effectuer une recherche UDM pour l'entité afin de trouver d'autres événements. À l'aide de l'indicateur le plus fiable de l'entité, recherchez Analyse des risques pour examiner son score de risque global, ses détections et ses alertes. Enfin, vérifiez si l'entité figure sur une liste de surveillance pour déterminer si elle nécessite plus d'attention.

Afficher les événements de contexte pour les entités

La fonctionnalité Contexte de l'entité dans la recherche vous permet de rechercher des événements contextuels liés à des entités spécifiques. Par exemple, créez une requête de recherche à l'aide de graph.entity.hostname pour localiser tous les événements de contexte associés à un nom d'hôte spécifique.

Pour en savoir plus, consultez Effectuer une recherche de données contextuelles d'entité et Utiliser la recherche UDM pour examiner une entité.

Recherche d'entités dans l'analyse des risques

Risk Analytics vous aide à identifier et à hiérarchiser les entités à risque. Le calcul du score de risque pour chaque entité est basé sur le score de risque de ses résultats, puis ajusté à l'aide d'une combinaison de paramètres définis par l'utilisateur et de paramètres définis par le système.

Lorsqu'il attribue un score de risque, Risk Analytics sélectionne l'entité la plus fiable en fonction de la priorité des alias prédéfinie. L'alias le mieux classé est utilisé pour associer les détections à une entité et calculer son score de risque.

Pour en savoir plus, consultez Priorité des entités pour l'attribution du score de risque et Exemple de calcul du score de risque.

Listes de surveillance

Les listes de surveillance vous permettent de sélectionner des entités à surveiller, d'augmenter ou de diminuer leurs scores de risque dans le système. Cela vous permet de hiérarchiser les investigations même lorsque le risque automatisé est faible.

Pour en savoir plus, consultez le guide de démarrage rapide de la liste de suivi.

Afficher l'historique des alertes

L'onglet Historique des alertes vous permet d'afficher l'historique complet de toutes les actions effectuées pour cette alerte. Par exemple :

• Date à laquelle l'alerte est apparue pour la première fois
• Toutes les notes laissées par les membres de votre équipe concernant cette alerte
• Si la gravité a changé
• Si la priorité a été modifiée
• Si l'alerte a été fermée

Afficher les alertes similaires

Utilisez des règles et des entités pour identifier les alertes associées :

• Pour afficher les alertes générées par la même règle, cliquez sur Afficher les autres alertes liées à cette règle dans la section Résumé de la détection de l'onglet Présentation d'une vue "Alerte".
• Pour afficher les alertes associées à une entité, cliquez dessus pour ouvrir le panneau Contexte de l'entité. Les alertes qui partagent des entités peuvent être regroupées dans la même demande.

Modifier l'état de l'alerte

1. Cliquez sur Modifier l'état de l'alerte en haut à droite.
2. Dans la fenêtre qui s'affiche, mettez à jour les niveaux de gravité et de priorité en conséquence.
3. Cliquez sur Enregistrer.

Fermer l'alerte

1. Cliquez sur Fermer l'alerte.
2. Dans la fenêtre qui s'affiche, vous pouvez laisser une note pour ajouter du contexte sur la raison pour laquelle vous avez fermé l'alerte.
3. Saisissez vos informations, puis appuyez sur Enregistrer.

Remarque : Vous ne pouvez pas modifier l'état des alertes gérées.

Fermer l'alerte en clôturant la demande

Clôturez une alerte en clôturant la demande associée une fois l'investigation terminée. Les alertes sont associées à des demandes et sont résolues dans le workflow des demandes. Clôturez la demande sur la page d'informations ou dans la file d'attente des demandes. Dans la boîte de dialogue Clôturer la demande, sélectionnez un motif et une cause racine valides pour clôturer la demande.

Alertes de Google Security Operations SOAR

Les alertes de Google Security Operations SOAR incluent des informations supplémentaires sur la demande Google Security Operations SOAR. Ces alertes fournissent également un lien permettant d'ouvrir la demande dans Google Security Operations SOAR. Pour en savoir plus, consultez la présentation des cas Google Security Operations SOAR.

Alerte concernant une demande Google Security Operations SOAR

Remarque : Vous ne pouvez pas mettre à jour une alerte Google Security Operations SOAR à partir du menu des options d'alerte. Pour effectuer cette action, vous devez accéder à Google Security Operations SOAR en cliquant sur le nom de la demande dans le panneau Détails de la demande.

Conditions préalables pour le graphique d'alerte

Pour remplir le graphique d'alertes, vous devez créer une règle YARA-L qui génère des alertes. La qualité du graphique d'alerte est liée au contexte intégré à la règle YARA-L. La section "Résultat" d'une règle fournit le contexte des détections déclenchées par la règle.

Nous vous recommandons d'ajouter les noms UDM suivants à la section "Résultat", car ils sont utilisés dans le graphique des alertes : principal, target, src, observer, intermediary et about. Pour ces noms UDM, les champs suivants sont utilisés dans le graphique des alertes :

• artifact.ip
• asset.asset_id
• asset.hostname
• asset.ip
• asset.mac
• asset.product_object_id
• asset_id
• domain.name
• file.md5
• file.sha1
• file.sha256
• hostname
• ip
• mac
• process.file.md5
• process.file.sha1
• process.file.sha256
• resource.name
• url
• user.email_addresses
• user.employee_id
• user.product_object_id
• user.userid
• user.windows_sid

Les valeurs de la liste précédente des champs UDM renvoient également à la recherche UDM depuis la sous-onglet Contexte de l'alerte. Pour en savoir plus, consultez Afficher le contexte d'une alerte.

Dans la règle YARA-L suivante, une alerte est générée lorsqu'un nombre important d'API de service Google Cloud ont été désactivées dans un court laps de temps (une heure).

rule gcp_multiple_service_apis_disabled {

  meta:
    author = "Google Cloud Security"
    description = "Detect when multiple Google Cloud Service APIs are disabled in a short period of time."
    severity = "High"
    priority = "High"

  events:
    $gcp.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
    $gcp.metadata.log_type = "GCP_CLOUDAUDIT"
    $gcp.metadata.product_event_type = "google.api.serviceusage.v1.ServiceUsage.DisableService"
    $gcp.security_result.action = "ALLOW"
    $gcp.target.application = "serviceusage.googleapis.com"
    $gcp.principal.user.userid = $userid

  match:
    $userid over 1h

  outcome:
    $risk_score = max(75)
    $network_http_user_agent = array_distinct($gcp.network.http.user_agent)
    $principal_ip = array_distinct($gcp.principal.ip)
    $principal_user_id = array_distinct($gcp.principal.user.userid)
    $principal_user_display_name = array_distinct($gcp.principal.user.user_display_name)
    $target_resource_name = array_distinct($gcp.target.resource.name)
    $dc_target_resource_name = count_distinct($gcp.target.resource.name)

  condition:
    $gcp and $dc_target_resource_name > 5
}

Une fois une alerte générée, vous pouvez accéder à la page Graphique des alertes pour obtenir plus de contexte sur l'alerte et l'examiner plus en détail.

Accéder au graphique des alertes

Vous pouvez accéder au graphique depuis la page Alertes et IOC ou la page Recherche UDM.

Accéder au graphique des alertes depuis "Alertes et IOC"

La page Alertes et indicateurs de compromission vous permet de filtrer et d'afficher toutes les alertes et tous les indicateurs de compromission qui affectent votre entreprise. Pour en savoir plus sur cette page et sur l'affichage des correspondances avec les IOC, consultez Afficher les alertes et les IOC.

Pour afficher plus d'informations sur une alerte sur la page "Alertes et IOC", procédez comme suit :

1. Dans la barre de navigation, cliquez sur Détections > Alertes et IOC.
2. Dans le tableau des alertes, recherchez celle que vous souhaitez examiner.
3. Sur la ligne de cette alerte, cliquez sur le texte de la colonne "Nom" pour ouvrir le graphique de l'alerte.

Accéder au graphique des alertes depuis la recherche UDM

1. En haut de la barre de navigation, sélectionnez Rechercher.
2. Chargez une recherche avec le Gestionnaire de recherches ou créez-en une. Pour en savoir plus sur la recherche dans UDM, consultez Recherche UDM.
   1. Trois onglets s'affichent : Vue d'ensemble, Entité et Alertes. Cliquez sur Alertes.
3. Cliquez sur l'alerte que vous souhaitez examiner. La visionneuse d'alertes s'affiche.
4. Cliquez sur Afficher les détails pour ouvrir la vue "Alertes".
5. Cliquez sur l'onglet Graphique pour afficher le graphique des alertes.

Afficher les détails d'une alerte

Dans la vue des alertes, l'onglet Aperçu affiche les informations suivantes concernant l'alerte :

• Détails de l'alerte : état de l'alerte, date de création, gravité, priorité et score de risque.
• Récapitulatif de la détection : règle de détection qui a généré l'alerte. Vous pouvez afficher d'autres alertes provenant de la même règle de détection.
• Événements : événements associés à cette alerte.

• Entrées : détaille les sources de données qui ont généré l'alerte. Le contenu varie en fonction des types d'alertes suivants.

  • Détection standard : affiche les événements et les entités associées qui ont déclenché la règle.

  • Détection composite : affiche les événements, les entités et les détections sous-jacentes qui ont servi d'entrées à la règle.

  Une alerte est une détection composite lorsque :

  • La colonne Entrées indique Détection comme source.

  • La colonne Type de détection affiche un libellé Alerte ou Détection avec un numéro à côté (par exemple, Alert (3)).

  Cela indique qu'une détection ou une chaîne de détections a déclenché l'alerte, plutôt que des événements ou des entités bruts seuls.

  Vous pouvez afficher et analyser ces détections sous-jacentes dans le tableau Détections à l'aide des fonctionnalités suivantes :

  • Développez les lignes pour afficher les détections imbriquées, les données d'événement associées et les informations sur les entités associées.

  • Personnalisez votre vue en utilisant le gestionnaire de colonnes pour sélectionner et organiser les colonnes du tableau.

En plus d'afficher des informations importantes, vous pouvez ajuster l'état de l'alerte.

Afficher les relations entre les entités

Le graphique vous montre comment les différentes alertes et entités sont connectées. Cette fonctionnalité vous offre un graphique visuel et interactif que vous pouvez utiliser pour développer les informations sur les relations entre les entités existantes et découvrir des relations inconnues. Vous pouvez également élargir votre recherche en augmentant la période et en développant les alertes ponctuelles pour obtenir des chemins d'alerte plus complets.

Vous pouvez également élargir votre recherche en cliquant sur l'icône + en haut à droite de n'importe quel nœud. Tous les nœuds associés à cette entité s'affichent.

Icônes de graphiques

Différentes icônes représentent différentes entités.

Icône	Entité représentée par l'icône	Explication
	Utilisateur	Un utilisateur est une personne ou une autre entité qui demande l'accès aux informations de votre réseau et les utilise. Exemples : janedoe, [e-mail]
base de données	Ressource	Les ressources sont un terme générique désignant les entités qui possèdent leur propre nom de ressource unique. Exemples : table, base de données et projet BigQuery.
	Adresse IP
description	Fichier
	Nom de domaine
	URL
device_unknown	Type d'entité inconnu	Type d'entité non reconnu par le logiciel Google SecOps.
memory	Élément	Un composant est tout ce qui génère de la valeur pour votre organisation. Il peut s'agir de noms d'hôte, d'adresses MAC et d'adresses IP internes. Exemples : 10.120.89.92 (adresse IP interne), 00:53:00:4a:56:07 (adresse MAC)

Si plusieurs alertes proviennent de la même règle, elles sont regroupées sous une icône de groupe. Les indicateurs représentant la même entité sont regroupés en une seule icône.

Pour en savoir plus sur chacune de ces icônes, consultez les documents suivants :

• Examiner un utilisateur
• Conception orientée ressources
• Examiner un composant
• Examiner un domaine
• Examiner un fichier
• Examiner une adresse IP

Parcourir le graphique des alertes

Lorsque vous cliquez sur Graphique des alertes, le graphique affiche tous les résultats 12 heures avant et après l'alerte. S'il n'y a pas d'entités pour l'alerte, seule l'alerte d'origine apparaît sur le graphique.

L'alerte principale est mise en évidence par un cercle rouge. Les alertes sont reliées aux entités par une ligne continue et aux autres alertes par une ligne en pointillés. Si vous pointez sur une arête (la ligne reliant deux nœuds), la variable de résultat ou la variable de correspondance qui la relie à un nœud du graphique s'affiche.

Sur la gauche, des fiches pour chaque nœud incluent des informations sur les règles associées, les fenêtres de détection, l'état de gravité et de priorité, et plus encore.

Juste au-dessus du graphique se trouve un bouton intitulé Options du graphique. Lorsque vous cliquez sur Options du graphique, deux options s'affichent : Détections sans alerte et Score de risque. Les deux sont activés par défaut et peuvent être activés ou désactivés selon vos préférences.

Pour déplacer les nœuds, faites-les glisser dans le graphique. Lorsque vous relâchez le nœud, il reste épinglé à l'endroit où vous l'avez déposé jusqu'à ce que vous cliquiez sur Actualiser.

Ajouter et supprimer des nœuds

Si vous cliquez sur un nœud, un tableau s'affiche en bas de l'écran. Vous pouvez effectuer les actions suivantes sur chaque nœud :

Alerte

• Afficher les entités, les alertes et les événements associés
• Afficher les résultats et les correspondances de l'alerte
• Supprimer un sous-graphique
• Ajoutez ou supprimez des entités et des alertes associées du graphique en cochant les cases de la colonne "Sur le graphique".

Entity

• Afficher toutes les alertes associées
• Supprimer un sous-graphique
• Ajoutez ou supprimez les alertes associées du graphique en cochant ou décochant les cases de la colonne "Sur le graphique".

Groupe

• Afficher toutes les entités ou alertes qui composent ce groupe
• Dissociez les nœuds individuels en cliquant sur Sur le graphique dans le tableau en bas de la page.

Pour ajouter ou supprimer le score de risque des nœuds, cochez ou décochez la case Score de risque au-dessus du tableau.

Développer le graphique des alertes

Pour afficher d'autres nœuds associés, cliquez sur l'icône + en bas de l'alerte. Les entités et les alertes associées à l'icône que vous avez sélectionnée s'affichent. Chaque nouvelle alerte est associée à une fiche sur le côté qui fournit plus de détails.

Réinitialiser le graphique

Si vous souhaitez effacer le graphique, vous pouvez ajuster la plage de dates dans la fenêtre de droite. La plage maximale est de 90 jours. Si vous réinitialisez la plage de dates, le graphique est également rétabli à son état d'origine. La mise à jour de la plage de dates efface tous les nœuds supplémentaires du graphique et rétablit son état d'origine.

Pour replacer les nœuds dans leur position par défaut, cliquez sur Actualiser.

Afficher le contexte de l'alerte

La section Contexte de l'alerte contient une liste de valeurs qui fournissent un contexte supplémentaire sur l'alerte.

Le contexte de l'alerte comporte une colonne Type qui indique la partie de la règle ayant généré l'alerte que vous avez sélectionnée (résultat ou correspondance). La colonne suivante s'intitule Variable. Ces noms de variables sont basés sur les noms des variables de correspondance et de résultat définies dans la règle. Enfin, la colonne la plus à droite est Champ UDM. Les variables pour lesquelles un champ UDM est indiqué sont également associées dans la colonne Valeurs.

En plus des champs UDM listés dans la section Avant de commencer, les champs UDM suivants sont également associés à la page Recherche UDM :

• file.full_path
• process.command_line
• process.file.full_path
• process.parent_process.product_specific_process_id
• process.pid
• process.product_specific_process_id
• resource.product_object_id

Les noms UDM spécifiques associés à ces champs sont principal, target, src, observer, intermediary et about. Si vous cliquez sur une valeur, une recherche UDM est déclenchée, en transmettant la valeur ainsi que la plage de dates du jour précédent.

Dans l'exemple de règle YARA-L présenté dans la section Avant de commencer, les champs UDM suivants seront associés à la page Recherche UDM :

• principal.ip
• principal.user.userid
• principal.user.user_display_name
• target.resource.name

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.