Esaminare i domini

Supportato in:

Google SecOps SIEM

Google Security Operations ti consente di esaminare domini specifici per determinare se sono presenti nella tua azienda e quale impatto potrebbero aver avuto questi sistemi esterni sui tuoi asset.

Per accedere alla visualizzazione Dominio in Google SecOps, completa i seguenti passaggi:

1. Inserisci il dominio (che termina con un suffisso pubblico noto) o l'URL nella barra di ricerca della pagina di destinazione di Google SecOps.

   Nota: l'elenco dei dati dei suffissi pubblici di publicsuffix.org include domini pubblici e privati come suffissi pubblici. Tuttavia, questa funzione non tratta un dominio privato come un suffisso pubblico. Ad esempio, se us.com è elencato come dominio privato, la chiamata alla funzione con foo.us.com restituisce us.com, interpretato come il suffisso pubblico com più l'etichetta precedente us, anziché foo.us.com (che tratterebbe us.com come dominio privato).

2. Fai clic su Cerca. Se il dominio è presente nella tua azienda, viene elencato nell'intestazione Domini. Fai clic sul link del nome di dominio per passare alla visualizzazione Dominio. Se il dominio è presente nella tua azienda, vengono visualizzate ulteriori informazioni nella visualizzazione Domini. Se il dominio non è presente, la visualizzazione Dominio sarà vuota.

   Nota: La ricerca UDM offre funzionalità avanzate che ti consentono di condurre indagini più approfondite sugli eventi e sugli avvisi all'interno della tua istanza Google SecOps rispetto a quanto è possibile utilizzando solo la visualizzazione Dominio. Per maggiori informazioni, vedi Ricerca UDM.

Contesto del dominio

La visualizzazione del dominio mostra il contesto del dominio sottoposto a query, incluse le referenze nei dati di log inseriti, nonché gli arricchimenti esterni e di terze parti provenienti da fonti come VirusTotal.

Contesto VT

Fai clic su Contesto VT per visualizzare le informazioni di VirusTotal disponibili per questo dominio.

WHOIS

Google SecOps mostra le informazioni WHOIS associate al dominio registrato. Queste informazioni possono essere utili per valutare la reputazione di un dominio.

Prevalenza

Google SecOps fornisce una rappresentazione grafica della prevalenza storica di un determinato FQDN e del relativo TLD. Questo grafico può essere utilizzato per determinare se è stato eseguito l'accesso al dominio dall'interno dell'azienda in precedenza e può fornire un'indicazione se il dominio è associato a una campagna specifica che ha come target l'azienda. In genere, i domini meno diffusi, a cui sono collegati meno asset, potrebbero rappresentare una minaccia maggiore per la tua azienda.

Quando passi il puntatore sopra una barra nel grafico Prevalenza, il grafico elenca gli asset che hanno eseguito l'accesso al dominio. A causa dell'elevata prevalenza dei server DNS, non sono elencati. Se tutti gli asset sono server DNS, non viene elencato alcun asset.

Approfondimenti sul dominio

Gli approfondimenti sui domini forniscono maggiori informazioni sui domini oggetto di indagine. Puoi utilizzarli per determinare se un dominio è benigno o dannoso. Inoltre, ti consentono di esaminare ulteriormente un indicatore per determinare se esiste un compromesso più ampio.

Gli approfondimenti sul dominio visualizzati variano a seconda della disponibilità di informazioni associate al dominio all'interno del tuo account Google SecOps, ma potrebbero includere quanto segue:

• Elenco di reputazione di ET Intelligence: esegue controlli in base all'elenco di reputazione di Emerging Threats (ET) di ProofPoint ed elenca le minacce note associate a indirizzi IP e domini specifici.

• ESET Threat Intelligence: Esegue controlli rispetto al servizio di threat intelligence di ESET.

• IP risolti:tutti gli indirizzi IP risolti visualizzati nella tua organizzazione per un determinato nome di dominio completo. Ad esempio:

  • Cerca test.altostrat.com (nome di dominio completo)
  • Vengono visualizzati due IP risolti (198.51.100.81 e 203.0.113.81)

• Sottodomini associati:tutti i sottodomini associati visualizzati nella tua organizzazione per un determinato nome di dominio completo. Molti avversari utilizzano lo stesso dominio e sottodominio per i loro attacchi. Ad esempio:

  • Cerca sandbox.altostrat.com (nome di dominio completo)
  • Vengono visualizzati due sottodomini (test.sandbox.altostrat.com e staging.sandbox.altostrat.com)

• Domini secondari:tutti i domini secondari visualizzati nella tua organizzazione per un determinato nome di dominio completo a un determinato livello. Ad esempio:

  • Cerca sandbox.altostrat.com
  • Viene visualizzato un dominio di pari livello (foo.altostrat.com)

Cronologia

La scheda Sequenza temporale elenca tutti gli eventi per il dominio. La colonna Identificatore asset mostra l'ID risorsa. In un numero ridotto di casi, Google SecOps sostituisce l'ID risorsa con l'indirizzo IP dell'asset.

Considerazioni

La visualizzazione del dominio presenta le seguenti limitazioni:

• In questa visualizzazione possono essere visualizzati solo 1000 eventi.
• Puoi filtrare solo gli eventi visualizzati in questa visualizzazione.
• In questa visualizzazione vengono compilati solo i tipi di eventi DNS, EDR e Webproxy. Le informazioni relative alla prima e all'ultima visualizzazione inserite in questa visualizzazione sono limitate a questi tipi di eventi.
• Gli eventi generici non vengono visualizzati in nessuna delle visualizzazioni curate. Vengono visualizzati solo nei log non elaborati e nelle ricerche UDM.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.