Examiner les problèmes de sécurité potentiels

Compatible avec :

Ce document explique comment effectuer des recherches lors de l'examen des alertes et des problèmes de sécurité potentiels à l'aide de Google Security Operations.

Avant de commencer

Google Security Operations est compatible avec les navigateurs Google Chrome et Mozilla Firefox. Mettez à niveau votre navigateur vers la version la plus récente pour des performances et une sécurité optimales. La dernière version de Chrome est disponible au téléchargement sur https://www.google.com/chrome/. Les systèmes d'exploitation mobiles (iOS/Android) et les navigateurs mobiles ne sont pas compatibles.

Authentification et accès

Google SecOps s'intègre aux solutions SSO. L'accès à la plate-forme Google SecOps nécessite des identifiants d'entreprise valides.

  1. Lancez Chrome ou Firefox.

  2. Vérifiez que vous avez un accès actif au compte d'entreprise.

  3. Accédez à l'URL suivante et remplacez customer_subdomain par l'identifiant spécifique au client pour accéder à l'application Google SecOps :

    https://customer_subdomain.backstory.chronicle.security

Afficher les alertes et les correspondances IoC

  1. Dans la barre de navigation, sélectionnez Détections > Alertes et IOC.

  2. Cliquez sur l'onglet Correspondances IOC.

Rechercher des correspondances IoC dans la vue Domaine

La colonne Domaine de l'onglet Correspondances de domaine IOC contient une liste de domaines suspects. Lorsque vous cliquez sur un domaine dans cette colonne, la vue Domaine s'ouvre, comme illustré dans la figure suivante, et fournit des informations détaillées sur ce domaine.

Vue du domaine Vue Domaine

Utiliser le champ de recherche Google Security Operations

Lancez une recherche directement depuis la page d'accueil de Google Security Operations, comme illustré dans la figure suivante.

Champ de recherche Champ Rechercher de Google Security Operations

Sur cette page, vous pouvez saisir les termes de recherche suivants :

  • Le nom d'hôte affiche la vue Domaine.
 (par exemple, plato.example.com)
  • Le domaine affiche la vue Domaine.
 (par exemple, altostrat.com)
  • L'adresse IP affiche la vue Adresse IP.
 (par exemple, 192.168.254.15)
  • L'URL affiche la vue Domaine.
 (par exemple, https://new.altostrat.com)
  • Le nom d'utilisateur affiche la vue Actif.
 (par exemple, betty-decaro-pc)
  • Le hachage de fichier affiche la vue Hachage.
 (par exemple, e0d123e5f316bef78bfdf5a888837577)

Vous n'avez pas besoin de spécifier le type de terme de recherche que vous saisissez. Google Security Operations le détermine pour vous. Les résultats s'affichent dans la vue d'investigation appropriée. Par exemple, si vous saisissez un nom d'utilisateur dans le champ de recherche, la vue Actif s'affiche.

Rechercher des journaux bruts

Vous pouvez effectuer une recherche dans la base de données indexée ou dans les journaux bruts. La recherche dans les journaux bruts est plus complète, mais prend plus de temps qu'une recherche indexée.

Pour affiner votre recherche, vous pouvez utiliser des expressions régulières, rendre l'entrée de recherche sensible à la casse ou sélectionner des sources de journaux. Vous pouvez également sélectionner la chronologie souhaitée à l'aide des champs Heure de début et Heure de fin.

Pour effectuer une recherche dans les journaux bruts, procédez comme suit :

  1. Saisissez votre terme de recherche, puis sélectionnez Analyse des journaux bruts dans le menu déroulant, comme illustré dans la figure suivante.

    Menu d'analyse des journaux bruts Menu déroulant affichant l'option Analyse des journaux bruts

  2. Après avoir défini vos critères de recherche brute, cliquez sur le bouton Rechercher.

  3. Dans la vue Analyse des journaux bruts, vous pouvez analyser plus en détail vos données de journaux.