Abbiamo riorganizzato la struttura di navigazione della documentazione per allinearla direttamente ai tuoi flussi di lavoro operativi. Per ulteriori informazioni, consulta le note di rilascio e il video dimostrativo.

Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Analizzare gli avvisi

Supportato in:

Google SecOps SIEM

Gli avvisi sono eventi di sicurezza identificati dall'infrastruttura di sicurezza o dalle regole di rilevamento di Google Security Operations. Puoi utilizzarli per identificare, analizzare e rispondere a potenziali minacce.

Gli avvisi generati dalle regole di rilevamento richiedono una revisione umana o automatica. Sono inclusi i dati di stato che puoi gestire nei casi per la gestione del flusso di lavoro di indagine e gestione degli incidenti.

Google SecOps fornisce gli strumenti per aiutarti a esaminare gli avvisi e aggiungere contesto ai casi:

Arricchimento: aggiunge contesto a un indicatore o a un evento Unified Data Model (UDM) identificando le entità correlate, compilando ulteriori dettagli e incorporando dati di arricchimento globali.

Google SecOps offre due tipi di arricchimento. Innanzitutto, arricchisce automaticamente gli eventi con la threat intelligence e altri dati contestuali. In secondo luogo, puoi utilizzare i playbook per aggiungere informazioni contestuali alle richieste.
Agente di classificazione iniziale e indagine (TIN): utilizza Gemini per analizzare gli avvisi per determinare se sono veri positivi o falsi positivi e fornire un riepilogo del ragionamento e dei risultati.

Indagare su un avviso

Gli avvisi si trovano all'interno delle richieste associate o come voci indipendenti nella pagina Avvisi e IOC. Le regole di rilevamento di Google SecOps identificano i dati di eventi, entità o metriche come una minaccia. Gli avvisi sono collegati a questi dati identificati.

Le visualizzazioni dei dettagli degli avvisi forniscono il contesto dell'avviso e delle entità correlate. Questo contesto consente a te o ai tuoi sistemi agentici di determinare se un avviso è benigno o indica attività dannose.

Quando fai clic su un avviso, viene visualizzata una pagina contenente i dettagli dell'avviso organizzati nelle seguenti tre schede:

Panoramica: fornisce un riepilogo dei dettagli importanti dell'avviso, inclusi lo stato dell'avviso e la finestra di rilevamento.

La sezione Riepilogo rilevamento della scheda identifica la regola specifica che ha attivato l'avviso. La revisione di altri avvisi della stessa regola può aiutare a identificare pattern o potenziali errori di configurazione.
Grafico: visualizza gli avvisi generati da una regola YARA-L. Fornisce un grafico della relazione dell'avviso con altre entità. Quando viene attivato un avviso, le entità associate vengono visualizzate nel grafico e sul lato sinistro dello schermo, ognuna con la propria scheda. Il grafico degli avvisi utilizza le seguenti entità in un evento UDM: principal, target, src, observer, intermediary e about .
Cronologia avvisi: elenca tutte le modifiche apportate a questo avviso, incluso il momento in cui lo stato di un avviso è cambiato o è stata aggiunta una nota.

Sotto il grafico che visualizza le relazioni tra le entità e l'avviso si trovano le tre schede secondarie seguenti, che forniscono maggiori informazioni sull'avviso:

Eventi: contiene i dettagli degli eventi correlati all'avviso.
Entità: contiene dettagli su ogni entità associata all'avviso.
Contesto dell'avviso: fornisce ulteriore contesto sull'avviso.

Analizzare il contesto dell'entità

Per comprendere le entità e la loro importanza, puoi esaminare alcune aree del prodotto. Innanzitutto, esegui una ricerca UDM per l'entità per trovare eventi aggiuntivi. Utilizzando l'indicatore più affidabile dell'entità, cerca Analisi dei rischi per esaminare il punteggio di rischio complessivo, i rilevamenti e gli avvisi. Infine, controlla se l'entità è in una watchlist per determinare se richiede maggiore attenzione.

Visualizzare gli eventi contestuali per le entità

Contesto dell'entità nella ricerca ti consente di cercare eventi di contesto correlati a entità specifiche. Ad esempio, crea una query di ricerca utilizzando graph.entity.hostname per individuare tutti gli eventi di contesto associati a un nome host specifico.

Per saperne di più, vedi Eseguire una ricerca di dati di contesto delle entità e Utilizzare la ricerca UDM per esaminare un'entità.

Ricerca di analisi dei rischi per le entità

Risk Analytics ti aiuta a identificare e dare la priorità alle entità rischiose. Il calcolo del punteggio di rischio per ogni entità si basa sul punteggio di rischio dei relativi risultati e viene aggiustato utilizzando un mix di parametri definiti dall'utente e parametri definiti dal sistema.

Quando assegna un punteggio di rischio, Risk Analytics seleziona l'entità più affidabile in base alla precedenza degli alias predefinita. L'alias con il ranking più alto viene utilizzato per associare i rilevamenti a un'entità e calcolarne il punteggio di rischio.

Per saperne di più, consulta Precedenza delle entità per l'assegnazione del punteggio di rischio ed Esempio di calcolo del punteggio di rischio.

Liste di titoli

Le liste di controllo ti consentono di selezionare le entità da monitorare, aumentare o diminuire i relativi punteggi di rischio nel sistema. In questo modo puoi dare la priorità alle indagini anche quando il rischio automatizzato è basso.

Per maggiori informazioni, consulta la guida rapida alla watchlist.

Visualizzare la cronologia dell'avviso

La scheda Cronologia avvisi ti consente di visualizzare la cronologia completa di tutte le azioni che sono state eseguite per questo avviso. È incluso quanto segue:

Quando è stato visualizzato per la prima volta l'avviso
Eventuali note lasciate dai membri del tuo team in merito a questo avviso
Se la gravità è cambiata
Se la priorità è stata modificata
Se l'avviso è stato chiuso

Visualizzare avvisi simili

Utilizza regole ed entità per identificare gli avvisi correlati:

Per visualizzare gli avvisi generati dalla stessa regola, fai clic su Visualizza altri avvisi da questa regola nella sezione Riepilogo rilevamento della scheda Panoramica per una visualizzazione Avviso.
Per visualizzare gli avvisi associati a un'entità, fai clic sull'entità per aprire il riquadro Contesto entità. Gli avvisi che condividono entità possono essere raggruppati nella stessa richiesta.

Modificare lo stato dell'avviso

Fai clic su Modifica stato avviso nell'angolo in alto a destra.
Nella finestra visualizzata, aggiorna i livelli di gravità e priorità di conseguenza.
Fai clic su Salva.

Chiudi l'avviso

Fai clic su Chiudi avviso.
Nella finestra visualizzata, hai la possibilità di lasciare una nota per aggiungere maggiori informazioni sul motivo per cui hai chiuso l'avviso.
Inserisci i dati e premi Salva.

Chiudi l'avviso chiudendo la richiesta

Chiudi un avviso chiudendo la richiesta associata al termine dell'indagine. Gli avvisi sono collegati alle richieste e vengono risolti nell'ambito del flusso di lavoro delle richieste. Chiudi la richiesta dalla pagina dei dettagli della richiesta o dalla coda delle richieste. Nella finestra di dialogo Chiudi richiesta, seleziona un motivo valido e una causa principale per la chiusura della richiesta.

Avvisi di Google Security Operations SOAR

Gli avvisi di Google Security Operations SOAR includono informazioni aggiuntive sul caso Google Security Operations SOAR. Questi avvisi forniscono anche un link per aprire la richiesta in Google Security Operations SOAR. Per saperne di più, consulta la panoramica dei casi SOAR di Google Security Operations.

Avviso per il caso Google Security Operations SOAR

Avviso per la richiesta SOAR di Google Security Operations

Prerequisiti per il grafico degli avvisi

Per compilare il grafico degli avvisi, devi creare una regola YARA-Lche generi avvisi. La qualità del grafico degli avvisi è legata al contesto integrato nella regola YARA-L. La sezione Risultato di una regola fornisce il contesto dei rilevamenti attivati dalla regola.

Ti consigliamo di aggiungere i seguenti sostantivi UDM alla sezione Risultato, perché vengono utilizzati nel grafico degli avvisi: principal, target, src, observer, intermediary e about . Per questi sostantivi UDM, nel grafico degli avvisi vengono utilizzati i seguenti campi:

artifact.ip
asset.asset_id
asset.hostname
asset.ip
asset.mac
asset.product_object_id
asset_id
domain.name
file.md5
file.sha1
file.sha256
hostname
ip
mac
process.file.md5
process.file.sha1
process.file.sha256
resource.name
url
user.email_addresses
user.employee_id
user.product_object_id
user.userid
user.windows_sid

I valori nell'elenco precedente dei campi UDM rimandano anche alla ricerca UDM dalla scheda secondaria Contesto avviso. Per saperne di più, vedi Visualizzare il contesto dell'avviso.

Nella seguente regola YARA-L, viene generato un avviso quando un numero significativo di API di servizio Google Cloud è stato disattivato in un breve periodo di tempo (1 ora).

rule gcp_multiple_service_apis_disabled {

  meta:
    author = "Google Cloud Security"
    description = "Detect when multiple Google Cloud Service APIs are disabled in a short period of time."
    severity = "High"
    priority = "High"

  events:
    $gcp.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
    $gcp.metadata.log_type = "GCP_CLOUDAUDIT"
    $gcp.metadata.product_event_type = "google.api.serviceusage.v1.ServiceUsage.DisableService"
    $gcp.security_result.action = "ALLOW"
    $gcp.target.application = "serviceusage.googleapis.com"
    $gcp.principal.user.userid = $userid

  match:
    $userid over 1h

  outcome:
    $risk_score = max(75)
    $network_http_user_agent = array_distinct($gcp.network.http.user_agent)
    $principal_ip = array_distinct($gcp.principal.ip)
    $principal_user_id = array_distinct($gcp.principal.user.userid)
    $principal_user_display_name = array_distinct($gcp.principal.user.user_display_name)
    $target_resource_name = array_distinct($gcp.target.resource.name)
    $dc_target_resource_name = count_distinct($gcp.target.resource.name)

  condition:
    $gcp and $dc_target_resource_name > 5
}

Dopo la generazione di un avviso, puoi accedere alla pagina Grafico degli avvisi per ottenere maggiori informazioni sull'avviso ed esaminarlo ulteriormente.

Vai al grafico degli avvisi

Puoi accedere al grafico dalla pagina Avvisi e IOC o dalla pagina Ricerca UDM.

Accedere al grafico degli avvisi da Avvisi e IOC

La pagina Avvisi e indicatori di compromissione (IOC) ti consente di filtrare e visualizzare tutti gli avvisi e gli IOC che interessano la tua azienda. Per scoprire di più su questa pagina e su come visualizzare le corrispondenze degli indicatori di compromissione, visita Visualizzazione di avvisi e indicatori di compromissione.

Per visualizzare ulteriori informazioni su un avviso dalla pagina Avvisi e indicatori di compromissione, completa i seguenti passaggi:

Nella barra di navigazione, fai clic su Rilevamenti > Avvisi e IOC.
Trova l'avviso che vuoi esaminare nella tabella degli avvisi.
Nella riga dell'avviso, fai clic sul testo nella colonna del nome per aprire il grafico dell'avviso.

Accedere al grafico degli avvisi dalla ricerca UDM

Nella parte superiore della barra di navigazione, seleziona Cerca.
Carica una ricerca con Search Manager o crea una nuova ricerca. Scopri di più sull'esecuzione di una ricerca in UDM nella ricerca UDM.
1. Vengono visualizzate tre schede: Panoramica, Entità e Avvisi. Fai clic su Avvisi.
Fai clic sull'avviso che vuoi esaminare. Viene visualizzato il visualizzatore di avvisi.
Fai clic su Visualizza dettagli per aprire la visualizzazione Avviso.
Fai clic sulla scheda Grafico per visualizzare il grafico degli avvisi.

Visualizzare i dettagli di un avviso

Nella visualizzazione Avviso, la scheda Panoramica mostra le seguenti informazioni relative all'avviso:

Dettagli avviso: stato dell'avviso, data di creazione, gravità, priorità e punteggio di rischio.
Riepilogo rilevamento: regola di rilevamento che ha generato l'avviso. Puoi visualizzare altri avvisi della stessa regola di rilevamento.
Eventi: eventi associati a questo avviso.
Input: descrive in dettaglio le origini dati che hanno generato l'avviso. I contenuti variano a seconda dei seguenti tipi di avviso.
- Rilevamento standard: mostra gli eventi e le entità associate che hanno attivato la regola.
- Rilevamento composito: mostra gli eventi, le entità e i rilevamenti sottostanti che sono serviti da input per la regola.
Un avviso è un rilevamento composito quando:
- La colonna Input mostra Rilevamento come origine.
- La colonna Tipo di rilevamento mostra un'etichetta Avviso o Rilevamento con un numero accanto (ad esempio, Alert (3)).
Ciò indica che l'avviso è stato attivato da un rilevamento o da una catena di rilevamenti, anziché da eventi o entità non elaborati.

Puoi visualizzare e analizzare queste rilevazioni sottostanti nella tabella Rilevamenti utilizzando le seguenti funzionalità:
- Espandi le righe per visualizzare i rilevamenti nidificati, i dati degli eventi associati e le informazioni sulle entità correlate.
- Personalizza la visualizzazione utilizzando il gestore delle colonne per selezionare e disporre le colonne nella tabella.

Oltre a visualizzare informazioni importanti, puoi modificare lo stato dell'avviso.

Visualizzare le relazioni tra entità

Il grafico mostra il collegamento tra i diversi avvisi e le diverse entità. Questa funzionalità ti offre un grafico visivo e interattivo che puoi utilizzare per espandere le informazioni sulle relazioni tra le entità esistenti per scoprire relazioni sconosciute. Puoi anche espandere la ricerca aumentando l'intervallo di tempo ed espandendo gli avvisi puntuali passati per percorsi di avviso più ricchi.

Puoi anche espandere la ricerca facendo clic sull'icona + nella parte superiore destra di qualsiasi nodo. In questo modo vengono visualizzati tutti i nodi correlati a questa entità.

Icone del grafico

Entità diverse sono rappresentate da icone diverse.

Icona	Entità rappresentata dall'icona	Spiegazione
	Utente	Un utente è una persona o un'altra entità che richiede l'accesso alle informazioni della tua rete e le utilizza. Esempi: mariarossi, cloudysanfrancisco@gmail.com
database	Risorsa	Le risorse sono un termine generico per le entità che hanno un proprio nome di risorsa univoco. Esempi: tabella BigQuery, database e progetto.
	Indirizzo IP
description	File
	Nome di dominio
	URL
device_unknown	Tipo di entità sconosciuto	Un tipo di entità non riconosciuto dal software di Google SecOps.
memoria	Asset	Un asset è qualsiasi cosa che produca valore per la tua organizzazione. Questi possono includere nomi host, indirizzi MAC e indirizzi IP interni. Esempi: 10.120.89.92 (indirizzo IP interno), 00:53:00:4a:56:07 (indirizzo MAC)

Se due o più avvisi provengono dalla stessa regola, vengono raggruppati in un'icona di gruppo. Gli indicatori che rappresentano la stessa entità vengono consolidati in un'unica icona.

Per saperne di più su ciascuna di queste icone, consulta i seguenti documenti:

Navigare nel grafico degli avvisi

Quando fai clic su Grafico avvisi, il grafico mostra tutti i risultati 12 ore prima e dopo l'avviso. Se non ci sono entità per l'avviso, nel grafico viene visualizzato solo l'avviso originale.

L'avviso principale è evidenziato in un cerchio rosso. Gli avvisi sono collegati alle entità con una linea continua e agli altri avvisi con una linea tratteggiata. Se tieni il puntatore su un bordo (la linea che collega due nodi), viene visualizzata la variabile risultato o la variabile di corrispondenza che lo collega a un nodo del grafico.

Sul lato sinistro sono presenti schede per ogni nodo che includono dettagli su regole associate, finestre di rilevamento, stato di gravità e priorità e altro ancora.

Direttamente sopra il grafico si trova un pulsante denominato Opzioni grafico. Quando fai clic su Opzioni grafico, vengono visualizzate due opzioni: Rilevamenti senza avvisi e Punteggio di rischio. Entrambe sono attive per impostazione predefinita e possono essere attivate o disattivate in base alle tue preferenze.

Per spostare i nodi, trascinali nel grafico. Quando rilasci il nodo, questo rimane bloccato nella posizione in cui lo hai lasciato finché non fai clic su Aggiorna.

Aggiungere e rimuovere nodi

Se fai clic su un nodo, nella parte inferiore dello schermo viene visualizzata una tabella. Puoi eseguire le seguenti azioni su ogni nodo:

Avviso

Visualizzare entità, avvisi ed eventi correlati
Visualizzare i risultati e le partite dell'avviso
Rimuovi qualsiasi sottografo
Aggiungi o rimuovi entità e avvisi correlati dal grafico selezionando le caselle nella colonna Sul grafico

Entità

Visualizzare tutti gli avvisi correlati
Rimuovi qualsiasi sottografo
Aggiungi o rimuovi avvisi correlati dal grafico selezionando o deselezionando le caselle nella colonna Sul grafico

Gruppo

Visualizzare tutte le entità o gli avvisi che compongono il gruppo
Separa i singoli nodi facendo clic su Sul grafico nella tabella in fondo alla pagina.

Per aggiungere o rimuovere il punteggio di rischio dai nodi, seleziona o deseleziona la casella Punteggio di rischio sopra la tabella.

Espandi il grafico degli avvisi

Per visualizzare altri nodi correlati, fai clic sull'icona + in fondo all'avviso. Vengono visualizzate le entità e gli avvisi correlati all'icona selezionata. Ogni nuovo avviso ha una scheda laterale con maggiori dettagli.

Reimpostare il grafico

Se vuoi cancellare il grafico, puoi regolare l'intervallo di tempo nella finestra a destra. L'intervallo massimo è 90 giorni. Il ripristino dell'intervallo di tempo comporta anche il ripristino del grafico allo stato originale. L'aggiornamento dell'intervallo di tempo cancella dal grafico eventuali nodi aggiuntivi e lo ripristina allo stato originale.

Per riportare i nodi nella posizione predefinita, fai clic su Aggiorna.

Visualizzare il contesto dell'avviso

La sezione Contesto avviso contiene un elenco di valori che forniscono un contesto aggiuntivo sull'avviso.

Il contesto dell'avviso ha una colonna Tipo che indica quale parte della regola ha generato l'avviso selezionato, il risultato o la corrispondenza. La colonna successiva si chiama Variabile. Questi nomi di variabili si basano sui nomi delle variabili di corrispondenza e risultato definite nella regola. Infine, la colonna all'estrema destra è Campo UDM. Le variabili che hanno un campo UDM elencato sono collegate anche nella colonna Valori.

Oltre ai campi UDM elencati nella sezione Prima di iniziare, anche i seguenti campi UDM sono collegati alla pagina Ricerca UDM:

file.full_path
process.command_line
process.file.full_path
process.parent_process.product_specific_process_id
process.pid
process.product_specific_process_id
resource.product_object_id

I nomi UDM specifici associati a questi campi sono principal, target, src, observer, intermediary e about . Se fai clic su un valore, viene attivata una ricerca UDM, che passa il valore insieme all'intervallo di tempo del giorno precedente.

Nella regola YARA-L di esempio riportata nella sezione Prima di iniziare, i seguenti campi UDM verranno collegati alla pagina Ricerca UDM:

principal.ip
principal.user.userid
principal.user.user_display_name
target.resource.name

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.