Nutzer untersuchen
Mit der Nutzeransicht in Google Security Operations können Kunden besser nachvollziehen, wie Nutzer in einem Unternehmen von Sicherheitsereignissen betroffen sind. Durch die Konzentration auf das Verhalten einzelner Nutzer können Sicherheitsadministratoren nach Aktivitäten suchen, die auf eine Konto- oder andere Sicherheitsbedenken hinweisen. Achten Sie darauf, dass Sie Daten von Geräten in Ihrem Netzwerk erfassen und normalisieren, z. B. von EDR, Firewall, Webproxy, Nutzerkontext und Authentifizierung.
Nach einem Nutzer suchen
Wenn Sie die Ansicht Nutzer in Google SecOps öffnen möchten, geben Sie den Nutzernamen oder die E-Mail-Adresse eines Nutzers in Ihrem Unternehmen in das Suchfeld ein. Wenn der Nutzer in Ihrem Google SecOps-Konto vorhanden ist, wird er als Ergebnis angezeigt. Klicken Sie auf den Nutzernamen, um zur Ansicht Nutzer zu wechseln.
Aliasing in der Nutzeransicht
Die Ansicht User (Nutzer) enthält eine Funktion zur Aliasbildung von Nutzern, damit Ereignisse, die mit einem einzelnen Nutzer verknüpft sind, nicht dupliziert werden und in Ihrem Google SecOps-Konto leichter zu finden sind. Wenn Sie beispielsweise einen Mitarbeiter namens Dennis haben, dessen Nutzer-ID dennis und dessen E‑Mail-Adresse dennis@altostrat.com ist, und Sie in Google SecOps nach dennis suchen, werden Ereignisse für dennis und dennis@altostrat.com zurückgegeben.
Funktionen in der Zuschaueransicht
Die Nutzeransicht bietet viele Funktionen und Steuerelemente für die Benutzeroberfläche, mit denen Sie die Nutzerdaten in Ihrem Unternehmen genauer untersuchen können. Einige dieser Funktionen sind nur in der Ansicht Nutzer verfügbar, andere werden auch in den anderen Google SecOps-Ereignisansichten (Domainansicht, IP-Adressenansicht usw.) verwendet.
Funktionen der Google SecOps-Nutzeransicht
1 Nutzerinformationen
Zeigt Informationen zum Nutzer an, die in den IT-Systemen Ihres Unternehmens gespeichert sind (z. B. Active Directory, Workday, Okta usw.).
2. Datumsauswahl
Mit den Links- und Rechtspfeilen können Sie sich die Ereignisse ansehen, die mit dem Nutzer in einem Zeitraum von einer Kalenderwoche (Samstag bis Sonntag) verknüpft sind. Wenn im angezeigten Zeitraum keine Daten verfügbar sind, können Sie mit den Optionen „Erstmals gesehen“ und „Zuletzt gesehen“ die Ansicht schnell auf einen relevanten Zeitraum verschieben.
3. Zeitverschiebung der X‑Achse
In der Ansicht Nutzer wird die Gradienten-Heatmap standardmäßig um 12:00 Uhr UTC zentriert. Mit der Steuerung „Zeitverschiebung auf der X-Achse“ können Sie die Heatmap bis zu 12 Stunden vor oder nach 12:00 Uhr zentrieren. So können Sie sich auf untypische Zeiträume für den Nutzer konzentrieren. Sie können die Anzeige beispielsweise auf 0:00 Uhr UTC (Mitternacht) verschieben, um sich auf die Nutzeraktivitäten am späten Abend und in den frühen Morgenstunden zu konzentrieren, wie in diesen Abbildungen dargestellt.
X-Achsen-Zeitverschiebung auf +12 festlegen
4 Heatmap mit Farbverlauf
Die Gradient Heat Map in der Ansicht Nutzer zeigt eine aggregierte Ansicht der Nutzeraktivitäten im untersuchten Zeitraum. Jedes Quadrat steht für eine Stunde des Tages (UTC) für eine protokollierte Nutzeraktivität im Zeitraum. In diesem Diagramm können Sie ungewöhnliche oder untypische Nutzeraktivitäten erkennen.
Wenn Sie auf ein Quadrat klicken, wird das Aktivitätsdatum angezeigt. Wenn Sie im grünen Pop-over auf dieses Datum klicken, werden Sie zur entsprechenden Stunde mit Ereignissen auf der Zeitachse weitergeleitet.
Die Farbe der einzelnen Quadrate variiert von Schwarz über Grautöne bis hin zu Weiß:
Schwarze Quadrate weisen darauf hin, dass keine Nutzeraktivität vorliegt.
Weiße Quadrate weisen auf häufige Nutzeraktivitäten hin.
Dunkelgraue bis hellgraue Quadrate stehen für zunehmende Aktivität. Dunkle Grautöne stehen für weniger Aktivität, helle Grautöne für mehr.
Ein Nutzer ist beispielsweise regelmäßig während der normalen Arbeitszeiten aktiv, aber nie spät in der Nacht oder am Wochenende. Dieser Nutzer ist jedoch seit Kurzem jeden Tag um 3:00 Uhr aktiv. Mit der Gradient Heat Map können Sie diese Art von untypischen Aktivitäten schnell finden.
5 Benachrichtigungen zu Nutzern
Von Google SecOps erfasste und hier angezeigte Sicherheitswarnungen für Nutzer. Über die zugehörigen Links können Sie die Benachrichtigung genauer untersuchen.
7 Spalten
Sie können die Spalten anpassen, die auf dem Tab Zeitachse angezeigt werden.
6 Zeitachse und Assets
Die Tabs Zeitachse und Assets sind auch in der Nutzeransicht verfügbar. Wie bei anderen Google SecOps-Ansichten werden auf dem Tab Zeitachse Ereignisse chronologisch und auf dem Tab Assets die mit dem Nutzer verknüpften Assets alphabetisch oder numerisch aufgeführt. Die angezeigten Assets entsprechen den Aktivitäten dieses Nutzers in Ihrem Unternehmen und sind auf den angegebenen Zeitraum beschränkt.
So verwenden Sie die Tabs:
Tab Zeitachse: Wenn Sie ein Ereignis auf dem Tab „Zeitachse“ auswählen, wird das entsprechende Ereignis auch in der Gradient Heat Map grün hervorgehoben. Warnungen werden durch ein rotes Dreieck und roten Text gekennzeichnet.
Tab Asset: Wenn Sie ein Asset auswählen, wird es auf dem Tab „Asset“ grün hervorgehoben. Alle Aktivitäten, die dieses Asset betreffen, werden auch in der Gradient Heat Map grün hervorgehoben. Sie können zur Asset-Ansicht wechseln, indem Sie auf dem Tab „Assets“ auf das erste oder letzte aufgerufene Asset klicken.
8 Prozedurales Filtern
Sie können das Menü Procedural Filtering (Prozedurales Filtern) öffnen, indem Sie in der Ansicht User (Nutzer) auf das Symbol „Procedural Filtering“ klicken. Anschließend können Sie die Nutzerinformationen anhand verschiedener Merkmale filtern. Sie können beispielsweise nach „Principal Location“ filtern, um den geografischen Standort der Anmeldeversuche des Nutzers zu untersuchen. Dies kann darauf hindeuten, dass sich ein Nutzer von ungewöhnlichen Standorten aus anmeldet.
Prozedurales Filtern nach Hauptstandort
Hinweise
Für die Nutzeransicht gelten die folgenden Einschränkungen:
- In dieser Ansicht können nur 80.000 Ereignisse angezeigt werden.
- Sie können nur Ereignisse filtern, die in dieser Ansicht angezeigt werden.
- In dieser Ansicht werden nur die Ereignistypen „Nutzer“, „E-Mail“ und „DNS“ ausgefüllt. Die Informationen zum ersten und letzten Aufruf in dieser Ansicht sind ebenfalls auf diese Ereignistypen beschränkt.
- Allgemeine Ereignisse werden in keiner der kuratierten Ansichten angezeigt. Sie werden nur in Rohlog- und UDM-Suchanfragen angezeigt.
Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten