Analisar possíveis problemas de segurança

Este documento descreve como realizar pesquisas ao investigar alertas e possíveis problemas de segurança usando o Google Security Operations.

Antes de começar

O Google Security Operations é compatível com os navegadores Google Chrome e Mozilla Firefox. Faça upgrade do navegador para a versão mais recente para ter desempenho e segurança ideais. A versão mais recente do Chrome está disponível para download em https://www.google.com/chrome/. Sistemas operacionais (iOS/Android) e navegadores para dispositivos móveis não são compatíveis.

Observação: é possível acessar várias instâncias do Google SecOps no mesmo perfil do navegador, desde que você faça login usando a mesma identidade de usuário (a mesma conta do Cloud Identity ou o mesmo pool de identidades da força de trabalho). No entanto, sua sessão ativa será invalidada se você trocar de conta de usuário ou acessar uma instância configurada com um pool de força de trabalho ou uma Google Cloud organização diferente. Para manter sessões simultâneas em diferentes identidades ou configurações de autenticação, use um perfil de navegador separado ou uma janela anônima/privada para cada sessão.

Autenticação e acesso

O Google SecOps se integra a soluções de SSO. O acesso à plataforma do Google SecOps requer credenciais corporativas válidas.

1. Inicie o Chrome ou o Firefox.

2. Verifique se você tem acesso ativo à conta corporativa.

3. Acesse o URL a seguir e substitua customer_subdomain pelo identificador específico do cliente para acessar o aplicativo do Google SecOps:

   https://customer_subdomain.backstory.chronicle.security

Visualizar alertas e correspondências de IOC

1. Na barra de navegação, selecione Detecções > Alertas e IOCs.

2. Clique na guia Correspondências de IOC.

Pesquisar correspondências de IOC na visualização Domínio

A coluna Domínio na guia Correspondências de domínio de IOC contém uma lista de domínios suspeitos. Ao clicar em um domínio nessa coluna, a visualização Domínio é aberta, conforme mostrado na figura a seguir, fornecendo informações detalhadas sobre esse domínio.

Visualização Domínio

Usar o campo de pesquisa do Google Security Operations

Inicie uma pesquisa diretamente na página inicial do Google Security Operations, conforme mostrado na figura a seguir.

Campo Pesquisa do Google Security Operations

Nessa página, é possível inserir os seguintes termos de pesquisa:

O nome do host mostra a visualização Domínio	Por exemplo, plato.example.com
O domínio mostra a visualização Domínio	Por exemplo, altostrat.com
O endereço IP mostra a visualização Endereço IP	Por exemplo, 192.168.254.15
O URL mostra a visualização Domínio	Por exemplo, https://new.altostrat.com
O nome de usuário mostra a visualização Recurso	Por exemplo, betty-decaro-pc
O hash de arquivo mostra a visualização Hash	Por exemplo, e0d123e5f316bef78bfdf5a888837577

Não é necessário especificar o tipo de termo de pesquisa que você está inserindo. O Google Security Operations determina isso para você. Os resultados são mostrados na visualização de investigação apropriada. Por exemplo, digitar um nome de usuário no campo de pesquisa mostra a visualização Recurso.

Pesquisar registros brutos

Você tem a opção de pesquisar o banco de dados indexado ou registros brutos. A pesquisa de registros brutos é mais abrangente, mas leva mais tempo do que uma pesquisa indexada.

Para refinar ainda mais a pesquisa, use expressões regulares, diferencie maiúsculas de minúsculas na entrada de pesquisa ou selecione fontes de registro. Você também pode selecionar a linha do tempo desejada usando os campos de horário de início e término.

Para realizar uma pesquisa de registro bruto, siga estas etapas:

1. Digite o termo de pesquisa e selecione Análise de registro bruto no menu suspenso, conforme mostrado na figura a seguir.

   Menu suspenso mostrando a opção Análise de registro bruto

2. Depois de definir os critérios de pesquisa bruta, clique no botão Pesquisar.

3. Na visualização Análise de registro bruto, você pode analisar ainda mais os dados de registro.