Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

アラートを調査する

以下でサポートされています。

Google SecOps SIEM

アラートは、セキュリティインフラストラクチャまたは Google Security Operations 検出ルールによって特定されたセキュリティイベントです。これらを使用して、潜在的な脅威を特定、分析し、対応できます。

検出ルールによって生成されたアラートには、人間またはエージェントによる確認が必要です。これには、調査とインシデントワークフロー管理のケースで管理できる状態データが含まれます。

Google SecOps には、アラートの調査やケースへのコンテキストの追加に役立つツールが用意されています。

拡充: 関連するエンティティを特定し、追加の詳細情報を入力し、グローバル拡充データを組み込むことで、統合データモデル（UDM）インジケーターまたはイベントにコンテキストを追加します。

Google SecOps には、次の 2 種類のリッチ化があります。まず、脅威インテリジェンスやその他のコンテキストデータでイベントを自動的に拡充します。2 つ目は、プレイブックを使用してケースにコンテキスト情報を追加できることです。
トリアージと調査エージェント（TIN）: Gemini を使用してアラートを分析し、真陽性か偽陽性かを判断して、推論と検出結果の概要を提供します。

アラートの調査

アラートは、関連付けられたケース内、または [アラートと IOC] ページの独立したエントリとして表示されます。Google SecOps 検出ルールは、イベント、エンティティ、指標データを脅威として識別します。アラートはこの特定されたデータに関連付けられます。

アラートの詳細ビューには、アラートと関連エンティティに関するコンテキストが表示されます。このコンテキストを使用すると、ユーザーまたはエージェントシステムは、アラートが正常なものか、悪意のあるアクティビティを示しているかを判断できます。

アラートをクリックすると、3 つのタブに整理されたアラートの詳細が含まれるページが表示されます。

概要: アラートのステータスや検出ウィンドウなど、アラートに関する重要な情報の概要が表示されます。

タブの [検出の概要] セクションには、アラートをトリガーした特定のルールが表示されます。同じルールからの他のアラートを確認すると、パターンや構成ミスを特定できます。
グラフ: YARA-L ルールから生成されたアラートを可視化します。アラートと他のエンティティの関係を示すグラフが表示されます。アラートがトリガーされると、アラートに関連付けられたエンティティがグラフと画面の左側に表示され、それぞれに独自のカードが表示されます。アラートグラフでは、UDM イベントでエンティティ principal、target、src、observer、intermediary、about が使用されます。
アラート履歴: アラートのステータスの変更やメモの追加など、このアラートで行われたすべての変更が一覧表示されます。

エンティティとアラートの関係を可視化したグラフの下には、アラートに関する詳細なコンテキストを提供する次の 3 つのサブタブがあります。

イベント: アラートに関連するイベントの詳細が含まれます。
エンティティ: アラートに関連付けられている各エンティティの詳細が含まれます。
アラートのコンテキスト: アラートに関する追加のコンテキストを提供します。

エンティティコンテキストを調査する

エンティティとその重要性を理解するには、いくつかのプロダクト領域を調べます。まず、エンティティの UDM 検索を実行して、追加のイベントを見つけます。エンティティの最も信頼性の高い指標を使用して、リスク分析を検索し、全体的なリスクスコア、検出、アラートを確認します。最後に、エンティティがウォッチリストに登録されているかどうかを確認し、さらなる対応が必要かどうかを判断します。

エンティティのコンテキストイベントを表示する

検索のエンティティコンテキストを使用すると、特定のエンティティに関連するコンテキストイベントを検索できます。たとえば、graph.entity.hostname を使用して検索クエリを作成し、特定のホスト名に関連付けられたすべてのコンテキストイベントを見つけます。

詳細については、エンティティコンテキストデータを検索すると UDM 検索を使用してエンティティを調査するをご覧ください。

エンティティの Risk Analytics ルックアップ

Risk Analytics を使用すると、リスクの高いエンティティを特定して優先順位を付けることができます。各エンティティのリスクスコアの計算は、検出結果のリスクスコアに基づいており、ユーザー定義のパラメータとシステム定義のパラメータを組み合わせて調整されます。

リスクスコアを割り当てる際、リスク分析は事前定義されたエイリアスの優先度に基づいて最も信頼性の高いエンティティを選択します。ランクが最も高いエイリアスは、検出をエンティティに関連付け、リスクスコアを計算するために使用されます。

詳細については、リスクスコアの割り当てにおけるエンティティの優先順位とリスクスコアの計算例をご覧ください。

ウォッチリスト

ウォッチリストを使用すると、モニタリングするエンティティをキュレートし、システム内のリスクスコアをブーストまたは抑制できます。これにより、自動化されたリスクが低い場合でも、調査の優先順位付けに役立ちます。

詳細については、ウォッチリストのクイックスタートガイドをご覧ください。

アラートの履歴を表示する

[アラート履歴] タブには、このアラートで行われたすべてのアクションの完全な履歴が表示されます。以下が該当します。

アラートが最初に表示された日時
チームメンバーがこのアラートについて残したメモ
重大度が変更されたかどうか
優先度が変更されているかどうか
アラートが閉じられた場合

類似のアラートを表示する

ルールとエンティティを使用して関連するアラートを特定します。

同じルールによって生成されたアラートを表示するには、アラートビューの [概要] タブの [検出の概要] セクションで [このルールに関連する他のアラートを表示する] をクリックします。
エンティティに関連付けられているアラートを表示するには、エンティティをクリックして [エンティティコンテキスト] パネルを開きます。エンティティを共有するアラートは、同じケースにグループ化できます。

アラートのステータスを変更する

右上にある [アラートのステータスの変更] をクリックします。
表示されるウィンドウで、重大度と優先度を適宜更新します。
[保存] をクリックします。

アラートを閉じる

[アラートを閉じる] をクリックします。
表示されたウィンドウで、アラートを閉じた理由に関するコンテキストを追加するメモを残すことができます。
情報を入力して [保存] を押します。

ケースを閉じてアラートを閉じる

調査が完了したら、関連付けられているケースを閉じてアラートを閉じます。アラートはケースにリンクされ、ケースワークフローの一部として解決されます。ケースの詳細ページまたはケースキューからケースをクローズします。[ケースをクローズ] ダイアログで、ケースをクローズする正当な理由と根本原因を選択します。

Google Security Operations SOAR からのアラート

Google Security Operations SOAR からのアラートには、Google Security Operations SOAR ケースに関する追加情報が含まれます。これらのアラートには、Google Security Operations SOAR でケースを開くリンクも用意されています。詳細については、 Google Security Operations の SOAR ケースの概要をご覧ください。

Google Security Operations SOAR ケースのアラート

Google Security Operations SOAR ケースのアラート

アラートグラフの前提条件

アラートグラフにデータを入力するには、アラートを生成する YARA-L ルールを作成する必要があります。アラートグラフの品質は、YARA-L ルールに組み込まれたコンテキストに関連付けられています。ルールの結果セクションには、ルールによってトリガーされた検出のコンテキストが示されます。

principal、target、src、observer、intermediary、about などの UDM の名詞はアラートグラフで使用されるため、結果セクションに追加することをおすすめします。これらの UDM 名詞の場合、アラートグラフでは次のフィールドが使用されます。

artifact.ip
asset.asset_id
asset.hostname
asset.ip
asset.mac
asset.product_object_id
asset_id
domain.name
file.md5
file.sha1
file.sha256
hostname
ip
mac
process.file.md5
process.file.sha1
process.file.sha256
resource.name
url
user.email_addresses
user.employee_id
user.product_object_id
user.userid
user.windows_sid

上記の UDM フィールドの値は、[アラートコンテキスト] サブタブの UDM 検索にもリンクされます。詳細については、アラートのコンテキストを表示するをご覧ください。

次の YARA-L ルールでは、短い時間（1 時間）内に多数の Google Cloud サービス API が無効にされた場合にアラートが生成されます。

rule gcp_multiple_service_apis_disabled {

  meta:
    author = "Google Cloud Security"
    description = "Detect when multiple Google Cloud Service APIs are disabled in a short period of time."
    severity = "High"
    priority = "High"

  events:
    $gcp.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
    $gcp.metadata.log_type = "GCP_CLOUDAUDIT"
    $gcp.metadata.product_event_type = "google.api.serviceusage.v1.ServiceUsage.DisableService"
    $gcp.security_result.action = "ALLOW"
    $gcp.target.application = "serviceusage.googleapis.com"
    $gcp.principal.user.userid = $userid

  match:
    $userid over 1h

  outcome:
    $risk_score = max(75)
    $network_http_user_agent = array_distinct($gcp.network.http.user_agent)
    $principal_ip = array_distinct($gcp.principal.ip)
    $principal_user_id = array_distinct($gcp.principal.user.userid)
    $principal_user_display_name = array_distinct($gcp.principal.user.user_display_name)
    $target_resource_name = array_distinct($gcp.target.resource.name)
    $dc_target_resource_name = count_distinct($gcp.target.resource.name)

  condition:
    $gcp and $dc_target_resource_name > 5
}

アラートが生成されたら、[アラートグラフ] ページに移動して、アラートの詳細なコンテキストを取得し、さらに調査できます。

アラートグラフに移動する

[グラフ] には、[アラートと IOC] ページまたは [UDM 検索] ページからアクセスできます。

アラートと IOC からアラートグラフにアクセスする

[アラートとセキュリティ侵害インジケーター（IOC）] ページでは、企業に影響を与えているすべてのアラートと IOC をフィルタリングして表示できます。このページについてと IOC の一致を表示する方法については、アラートと IOC を表示するをご覧ください。

[アラートと IOC] ページでアラートの詳細を表示するには次の手順を実行します。

ナビゲーションバーで、[検出] > [アラートと IOC] をクリックします。
アラートテーブルで、調査するアラートを見つけます。
アラートの行で、名前列のテキストをクリックして、[アラートグラフ] を開きます。

UDM 検索からアラートグラフにアクセスする

ナビゲーションバーの上部にある [検索] を選択します。
[検索マネージャー] を使用して検索を読み込むか、新しい検索を作成します。UDM での検索の実行について詳しくは、UDM 検索をご覧ください。
1. [概要]、[エンティティ]、[アラート] の 3 つのタブが表示されます。 [アラート] をクリックします。
調査するアラートをクリックします。アラートビューアが表示されます。
[詳細を表示] をクリックして、アラートビューを開きます。
[グラフ] タブをクリックして、アラートのグラフを表示します。

アラートの詳細を表示する

アラートビューの [概要] タブには、アラートに関する次の情報が表示されます。

アラートの詳細: アラートのステータス、作成日、重大度、優先度、リスクスコア。
検出の概要: アラートを生成した検出ルール。同じ検出ルールからの他のアラートを表示できます。
イベント: このアラートに関連付けられたイベント。
入力: アラートを生成したデータソースの詳細。内容は、次のアラートの種類によって異なります。
- 標準検出: ルールをトリガーしたイベントと関連エンティティが表示されます。
- 複合検出: ルールの入力として使用されたイベント、エンティティ、基盤となる検出が表示されます。
アラートは、次の場合に複合検出になります。
- [入力] 列には、ソースとして [検出] が表示されます。
- [検出タイプ] 列には、アラートまたは検出ラベルと、その横に数字（Alert (3) など）が表示されます。
これは、未加工のイベントやエンティティ単独ではなく、検出または検出のチェーンによってアラートがトリガーされたことを示します。

これらの基盤となる検出は、次の機能を使用して [検出] テーブルで表示および分析できます。
- 行を開くと、ネストされた検出、関連するイベントデータ、関連するエンティティ情報が表示されます。
- 列マネージャーを使用して、テーブルの列を選択して配置することで、ビューをカスタマイズできます。

重要な情報を確認するだけでなく、アラートのステータスを調整することもできます。

エンティティの関係を表示する

[グラフ] には、さまざまなアラートとエンティティがどのように接続されているかが表示されます。この機能により、既存のエンティティに関する関係情報を拡張して、未知の関係を明らかにするために使用できる、視覚的でインタラクティブなグラフが提供されます。期間を広げて、過去のポイントインタイムアラートを拡張して、アラートの経路を拡充することで、検索を拡張することもできます。

ノードの右上にある + アイコンをクリックして、検索を拡大することもできます。これにより、そのエンティティに関連するすべてのノードが表示されます。

グラフアイコン

別々のエンティティは別々のアイコンで表示されます。

アイコン	アイコンが表すエンティティ	説明
	ユーザー	ユーザーは、ネットワークへのアクセスをリクエストし、情報を使用する人または他のエンティティです。例: janedeo、cloudysanfrancisco@gmail.com
データベース	リソース	リソースは、固有のリソース名を持つエンティティの一般的な用語です。例: BigQuery テーブル、データベース、プロジェクト。
	IP アドレス
説明	ファイル
	ドメイン名
	URL
device_unknown	不明なエンティティタイプ	Google SecOps のソフトウェアで認識されないエンティティタイプ。
メモリ	アセット	アセットとは、組織に価値をもたらすあらゆるものです。これには、ホスト名、MAC アドレス、内部 IP アドレスなどが含まれます。例: 10.120.89.92（内部 IP アドレス）、00:53:00:4a:56:07（MAC アドレス）

同じルールから 2 つ以上のアラートが生成された場合は、グループアイコンにまとめられます。同じエンティティを表すインジケータは 1 つのアイコンに統合されます。

各アイコンの詳細については、次のドキュメントをご覧ください。

アラートグラフを操作する

[アラートグラフ] をクリックすると、アラートの前後 12 時間のすべての結果が表示されます。アラートのエンティティがない場合、グラフには元のアラートのみが表示されます。

メインのアラートは赤い円でハイライト表示されます。アラートは実線でエンティティに接続され、他のアラートは点線で接続されます。エッジ（2 つのノードを接続する線）にポインタを合わせると、グラフ上のノードに接続する結果変数または一致変数が表示されます。

左側には、各ノードのカードが表示されます。このカードには、関連するルール、検出ウィンドウ、重大度と優先度のステータスなどの詳細情報が含まれています。

グラフの真上にある [グラフオプション] と書いてあるボタンをクリックします。[グラフオプション] をクリックすると、[アラート以外の検出] と [リスクスコア] の 2 つのオプションが表示されます。どちらもデフォルトでオンになっており、必要に応じてオンまたはオフにできます。

ノードを移動するには、グラフ内でノードをドラッグします。ノードを離すと、[更新] をクリックするまで、それは固定されたままになります。

ノードを追加、削除する

ノードをクリックすると、画面の下部に表が表示されます。各ノードで次の操作を行うことができます。

アラート

関連するエンティティ、アラート、イベントを表示する
アラートからの結果と一致を表示する
サブグラフをすべて削除する
[On Graph] 列のチェックボックスをオンまたはオフにして、関連するエンティティとアラートをグラフに追加または削除する

エンティティ

関連するすべてのアラートを表示する
サブグラフをすべて削除する
[On Graph] 列のチェックボックスをオンまたはオフにして、関連するアラートをグラフに追加または削除する

Group

そのグループを構成するすべてのエンティティまたはアラートを表示する
ページの下部にあるテーブルで [On Graph] をクリックして、個々のノードをグループ化します。

ノードのリスクスコアを追加または削除するには、表の上にある [リスクスコア] チェックボックスをオンまたはオフにします。

アラートグラフを展開する

関連するノードをさらに表示するには、アラートの下部にある + アイコンをクリックします。選択したアイコンに関連するエンティティとアラートがポップアップ表示されます。新しいアラートごとに、詳細情報が記載されたカードがサイドに表示されます。

グラフをリセットする

グラフをクリアする場合は、右側のウィンドウで期間を調整します。最長期間は 90 日です。時間範囲をリセットすると、グラフも元の状態にリセットされます。期間を更新すると、グラフから追加のノードが削除され、グラフが元の状態にリセットされます。

ノードをデフォルトの位置に戻すには、[更新] をクリックします。

アラートに関するコンテキストを表示する

[アラートコンテキスト] セクションには、アラートに関する追加のコンテキストを提供する値のリストが表示されます。

アラートコンテキストには [タイプ] 列があり、ルールのどの部分によって選択したアラートが生成されたかを示します（結果または一致）。次の列は [変数] です。これらの変数名は、ルールで定義された一致変数と結果変数の名前に基づいています。最後に、右端の列は [UDM フィールド] です。UDM フィールドが一覧表示されている変数も [値] 列にリンクされています。

始める前にセクションに一覧表示されている UDM フィールドに加えて、次の UDM フィールドも [UDM 検索] ページにリンクされています。

file.full_path
process.command_line
process.file.full_path
process.parent_process.product_specific_process_id
process.pid
process.product_specific_process_id
resource.product_object_id

これらのフィールドに関連付けられている特定の UDM 名詞は、principal、target、src、observer、intermediary、about です。値をクリックすると、UDM 検索がトリガーされ、値と過去の期間が渡されます。

始める前にセクションで紹介した YARA-L ルールの例では、次の UDM フィールドが [UDM 検索] ページにリンクされます。

principal.ip
principal.user.userid
principal.user.user_display_name
target.resource.name

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。