Assets untersuchen

Unterstützt in:

So untersuchen Sie ein Asset in Google Security Operations über die Ansicht Asset:

  1. Geben Sie den Hostnamen, die Client-IP-Adresse oder die MAC-Adresse des Assets ein, das Sie untersuchen möchten:

    • Hostname: Kurz (z. B. mattu) oder vollständig qualifiziert (z. B. mattu.ads.altostrat.com).
    • Interne IP-Adresse: Interne IP-Adresse für den Client (z. B. 10.120.89.92). Sowohl IPv4 als auch IPv6 werden unterstützt.
    • MAC-Adresse: MAC-Adresse eines beliebigen Geräts in Ihrem Unternehmen, z. B. 00:53:00:4a:56:07.

  2. Geben Sie einen Zeitstempel für das Asset ein (standardmäßig aktuelles UTC-Datum und ‑Uhrzeit).

  3. Klicken Sie auf Suchen.

Asset-Ansicht

Die Asset-Ansicht enthält Informationen zu den Ereignissen und Details eines Assets in Ihrer Umgebung, damit Sie sich einen Überblick verschaffen können. Die Standardeinstellungen in der Asset-Ansicht können je nach Nutzungskontext unterschiedlich sein. Wenn Sie beispielsweise die Ansicht Asset über eine bestimmte Benachrichtigung öffnen, sind nur die Informationen zu dieser Benachrichtigung sichtbar.

Sie können die Asset-Ansicht anpassen, um harmlose Aktivitäten auszublenden und die für eine Untersuchung relevanten Daten hervorzuheben. Die folgenden Beschreibungen beziehen sich auf die Elemente der Benutzeroberfläche in der Ansicht Asset.

Liste Seitenleiste „Zeitachse“

Wenn Sie nach einem Asset suchen, wird für die Aktivität standardmäßig ein Zeitfenster von 2 Stunden zurückgegeben. Wenn Sie den Mauszeiger auf die Zeile mit den Überschriften der Kategorien bewegen, wird die Sortierfunktion für jede Spalte angezeigt. Je nach Kategorie können Sie alphabetisch oder nach Zeit sortieren. Passen Sie den Zeitraum mit dem Zeitschieberegler an oder scrollen Sie mit dem Mausrad, während sich der Cursor über dem Prevalence Graph (Diagramm zur Häufigkeit) befindet. Siehe auch Zeitschieber und Häufigkeitsdiagramm.

Seitenleiste „DOMAINS“

In dieser Liste sehen Sie die erste Suche jeder einzelnen Domain innerhalb eines bestimmten Zeitraums. So lassen sich Störungen ausblenden, die durch Assets verursacht werden, die häufig eine Verbindung zu Domains herstellen.

Zeitschieberegler

Mit dem Zeitschieberegler können Sie den untersuchten Zeitraum anpassen. Sie können den Schieberegler anpassen, um Ereignisse für einen Zeitraum zwischen einer Minute und einem Tag anzuzeigen. Sie können den Zeitraum auch mit dem Mausrad über dem Häufigkeitsdiagramm anpassen.

Abschnitt Asset-Informationen

Dieser Abschnitt enthält zusätzliche Informationen zum Asset, einschließlich der Client-IP- und MAC-Adresse, die für den angegebenen Zeitraum einem bestimmten Hostnamen zugeordnet sind. Außerdem finden Sie Informationen dazu, wann das Asset zum ersten Mal in Ihrem Unternehmen erkannt wurde und wann die Daten zuletzt erhoben wurden.

Prävalenzdiagramm

Das Diagramm Prevalence (Verbreitung) zeigt die maximale Anzahl von Assets im Unternehmen, die vor Kurzem eine Verbindung zur angezeigten Netzwerkdomain hergestellt haben. Große graue Kreise stehen für die ersten Verbindungen zu Domains. Kleine graue Kreise stehen für nachfolgende Verbindungen zur selben Domain. Häufig aufgerufene Domains werden unten im Diagramm angezeigt, während selten aufgerufene Domains oben stehen. Die roten Dreiecke im Diagramm stehen für Sicherheitswarnungen zum Zeitpunkt, der unter dem Diagramm zur Häufigkeit angegeben ist.

Blöcke mit Asset-Statistiken

In den Asset Insight-Blöcken werden die Domains und Benachrichtigungen hervorgehoben, die Sie sich möglicherweise genauer ansehen möchten. Sie liefern zusätzlichen Kontext dazu, was einen Alarm ausgelöst haben könnte, und können Ihnen helfen, festzustellen, ob ein Gerät manipuliert wurde. Die Blöcke unter Asset Insight spiegeln die angezeigten Ereignisse wider und variieren je nach ihrer Bedrohungsrelevanz.

Block für weitergeleitete Benachrichtigungen

Benachrichtigungen von Ihrer vorhandenen Sicherheitsinfrastruktur. Diese Benachrichtigungen sind in Google SecOps mit einem roten Dreieck gekennzeichnet und erfordern möglicherweise weitere Untersuchungen.

Blockieren neu registrierter Domains

  • Nutzt WHOIS-Registrierungsmetadaten, um festzustellen, ob das Asset Domains abgefragt hat, die vor Kurzem registriert wurden (in den letzten 30 Tagen vor Beginn des Suchzeitraums).
  • Kürzlich registrierte Domains haben in der Regel eine höhere Bedrohungsrelevanz, da sie möglicherweise explizit erstellt wurden, um vorhandene Sicherheitsfilter zu umgehen. Wird für den vollqualifizierten Domainnamen (Fully Qualified Domain Name, FQDN) zum Zeitstempel der aktuellen Ansicht angezeigt. Beispiel:
    • Das Asset von John wurde am 29. Mai 2018 mit bar.example.com verknüpft.
    • beispiel.de wurde am 4. Mai 2018 registriert.
    • bar.beispiel.de wird als neu registrierte Domain angezeigt, wenn Sie das Asset von John am 29. Mai 2018 untersuchen.

Block Domains new to the enterprise (Neue Domains im Unternehmen)

  • Untersucht die DNS-Daten Ihres Unternehmens, um festzustellen, ob ein Asset Domains abgefragt hat, die noch nie von jemandem in Ihrem Unternehmen besucht wurden. Beispiel:
    • Das Asset von Jane wurde am 25. Mai 2018 mit bad.altostrat.com verknüpft.
    • Einige andere Assets haben am 10. Mai 2018 phishing.altostrat.com aufgerufen, aber vor dem 10. Mai 2018 gab es keine anderen Aktivitäten für altostrat.com oder eine der zugehörigen Subdomains in Ihrer Organisation.
    • bad.altostrat.com wird am 25. Mai 2018 im Insights-Block Domains New to the Enterprise (Neue Domains im Unternehmen) angezeigt, wenn das Asset von Jane untersucht wird.

Domains mit niedriger Verbreitung blockieren

  • Zusammenfassung der Domains, für die für ein bestimmtes Asset Abfragen mit niedriger Verbreitung gestellt wurden.
  • Die Statistiken für einen voll qualifizierten Domainnamen basieren auf der Häufigkeit der zugehörigen Top Private Domain (TPD), sofern die Häufigkeit höchstens 10 beträgt. Bei der TPD wird die Liste der öffentlichen Suffixe{target="console"} berücksichtigt. Beispiel:
    • Das Asset von Mike wurde am 26. Mai 2018 mit test.sandbox.altostrat.com verknüpft.
    • Da sandbox.altostrat.com eine Prävalenz von 5 hat, wird test.sandbox.altostrat.com im Insight-Block „Domain mit geringer Prävalenz“ angezeigt.

Block ET Intelligence Rep List

  • Proofpoint, Inc.{target="console"} veröffentlicht die ET Intelligence Rep List (Emerging Threats Intelligence Rep List), die aus verdächtigen IP-Adressen und Domains besteht.
  • Domains werden mit den Listen für Asset-zu-Indikator für den aktuellen Zeitraum abgeglichen.

US DHS AIS-Block

  • Automated Indicator Sharing (AIS) des US Department of Homeland Security (DHS).
  • Vom DHS zusammengestellte Cyberbedrohungsindikatoren, einschließlich schädlicher IP-Adressen und der Absenderadressen von Phishing-E‑Mails.

Benachrichtigungen

Die folgende Abbildung zeigt Drittanbieterbenachrichtigungen, die mit dem untersuchten Asset in Verbindung stehen. Diese Warnungen können von gängigen Sicherheitsprodukten wie Antivirensoftware, Intrusion Detection Systems und Hardware-Firewalls stammen. Sie liefern Ihnen zusätzlichen Kontext, wenn Sie ein Asset untersuchen.

Asset-Statistikblöcke Benachrichtigungen in der Asset-Ansicht

Daten filtern

Sie können die Daten entweder mit der Standardfilterung oder mit der prozeduralen Filterung filtern.

Standardfilterung

Der Zeitraum einer Asset-Ansicht ist standardmäßig auf zwei Stunden festgelegt. Wenn ein Asset in einer Benachrichtigungsprüfung enthalten ist und Sie das Asset über die Benachrichtigungsprüfung aufrufen, wird die Asset-Ansicht automatisch so gefiltert, dass nur die Ereignisse angezeigt werden, die für diese Prüfung relevant sind.

Prozedurales Filtern

Beim prozeduralen Filtern können Sie nach Feldern wie Ereignistyp, Logquelle, Authentifizierungstyp, Netzwerkverbindungsstatus und PID filtern. Sie können den Zeitraum und die Einstellungen für das Häufigkeitsdiagramm für Ihre Untersuchung anpassen. Mit dem Häufigkeitsdiagramm lassen sich Ausreißer bei Ereignissen wie Domainverbindungen und Anmeldeereignissen leichter erkennen.

Klicken Sie oben rechts in der Google SecOps-Benutzeroberfläche auf das Symbol Filtersymbol, um das Menü Procedural Filtering (Prozedurale Filterung) zu öffnen.

Menü „Prozedurales Filtern“ Menü „Prozedurale Filterung“

Im Menü Procedural Filtering (Prozedurales Filtern), das in der folgenden Abbildung zu sehen ist, können Sie Informationen zu einem Asset weiter filtern, z. B. nach:

  • Verbreitung
  • Ereignistyp
  • Logquelle
  • Status der Netzwerkverbindung
  • Top-Level-Domain (TLD)

Die Prävalenz gibt die Anzahl der Assets in Ihrem Unternehmen an, die in den letzten sieben Tagen mit einer bestimmten Domain verbunden waren. Wenn mehr Assets mit einer Domain verbunden sind, ist die Domain in Ihrem Unternehmen stärker verbreitet. Bei Domains mit hoher Prävalenz wie google.com ist es unwahrscheinlich, dass eine Untersuchung erforderlich ist.

Mit dem Schieberegler Häufigkeit können Sie die Domains mit hoher Häufigkeit herausfiltern und sich auf die Domains konzentrieren, auf die weniger Assets in Ihrem Unternehmen zugegriffen haben. Der Mindestwert für „Prevalence“ ist 1. Sie können sich also auf die Domains konzentrieren, die mit einem einzelnen Asset in Ihrem Unternehmen verknüpft sind. Der Maximalwert hängt von der Anzahl der Assets in Ihrem Unternehmen ab.

Wenn Sie den Mauszeiger auf ein Element bewegen, werden Steuerelemente angezeigt, mit denen Sie die Daten für dieses Element ein- oder ausschließen oder nur die relevanten Daten ansehen können. Wie in der folgenden Abbildung dargestellt, können Sie das Steuerelement so einstellen, dass nur die Top-Level-Domains (TLDs) angezeigt werden. Klicken Sie dazu auf das Symbol O.

Top-Level-Domains ansehen Prozedurales Filtern für eine einzelne TLD:

Das Menü „Prozedurales Filtern“ ist auch in der Ansicht „Enterprise Insights“ verfügbar.

Daten von Sicherheitsanbietern in der Zeitachse ansehen

Mit der prozeduralen Filterung können Sie Ereignisse von bestimmten Sicherheitsanbietern für ein Asset in der Asset-Ansicht aufrufen. Mit dem Filter „Log Source“ (Protokollquelle) können Sie sich beispielsweise auf Ereignisse eines Sicherheitsanbieters wie Tanium konzentrieren.

Anschließend können Sie die Tanium-Ereignisse in der Seitenleiste Zeitachse ansehen.

Informationen zum Erstellen von Asset-Namespaces finden Sie im Hauptartikel Asset-Namespace.

Hinweise

Für die Asset-Ansicht gelten die folgenden Einschränkungen:

  • In dieser Ansicht können nur 100.000 Ereignisse angezeigt werden.
  • Sie können nur Ereignisse filtern, die in dieser Ansicht angezeigt werden.
  • In dieser Ansicht werden nur die Ereignistypen „DNS“, „EDR“, „Webproxy“, „Alert“ und „User“ ausgefüllt. Die Informationen zum ersten und letzten Aufruf in dieser Ansicht sind ebenfalls auf diese Ereignistypen beschränkt.
  • Allgemeine Ereignisse werden in keiner der kuratierten Ansichten angezeigt. Sie werden nur in Rohlog- und UDM-Suchanfragen angezeigt.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten