Entitäten zuordnen und modellieren

Unterstützt in:

Entitäten sind Objekte, die POIs darstellen, die aus Benachrichtigungen extrahiert wurden, z. B. Indikatoren für Kompromittierung (Indicators of Compromise, IoCs) und Artefakte. Sie helfen Sicherheitsanalysten bei Folgendem:

  • Verlauf automatisch verfolgen
  • Benachrichtigungen ohne manuelles Eingreifen gruppieren
  • Auf der Grundlage der Beziehungen zwischen Entitäten nach schädlichen Aktivitäten suchen
  • Fälle leichter lesbar machen und nahtlose Playbook-Erstellung ermöglichen

Google Security Operations verwendet ein automatisiertes System (Ontologie), um die wichtigsten Objekte aus den Rohbenachrichtigungen zu extrahieren und Entitäten zu erstellen. Jede Entität wird durch ein Objekt dargestellt, das ihren eigenen Verlauf für zukünftige Referenzzwecke verfolgen kann.

Entitätenontologie konfigurieren

Um die Ontologie zu konfigurieren, müssen Sie Ihre Daten zuordnen und modellieren. Dazu gehört, eine visuelle Darstellung für Benachrichtigungen auszuwählen und zu definieren, welche Entitäten extrahiert werden sollen. Google SecOps bietet vorkonfigurierte Ontologieregeln für die meisten gängigen SIEM-Produkte.

Der beste Zeitpunkt zum Anpassen der Ontologie ist, nachdem ein Connector Daten in Google SecOps überträgt. Der Prozess umfasst zwei Hauptschritte:

  1. Modellierung: Wählen Sie die visuelle Darstellung (Modell/visuelle Familie) für Ihre Daten aus.
  2. Zuordnung: Ordnen Sie die Felder zu, um das ausgewählte Modell zu unterstützen und Entitäten zu extrahieren.

Unterstützte Entitäten

Die folgenden Entitäten werden unterstützt:

Entitätstyp Beschreibung Erwartetes Format Beispiele
Adresse Eine IPv4-Adresse. Hängt vom spezifischen Typ der gespeicherten Adresse ab. IP-Adressen, z. B. 192.168.1.1
Anwendung Eine Softwareanwendung. Text string. nmap, Microsoft Word.
Cluster Eine Gruppe von Rechenressourcen. Text string. Kubernetes-Clustername, Clustername oder Cluster-ID.
Container Eine Containerinstanz. Text string. Docker-Container-ID oder ‑Name.
Kreditkarte Eine Kreditkartennummer. Maskierter oder tokenisierter String. Daten sollten maskiert oder tokenisiert werden, um die Speicherung sensibler PCI-Daten zu vermeiden.
CVE Kennung für gängige Sicherheitslücken (Common Vulnerabilities and Exposures). CVE-YYYY-NNNNN CVE-2023-12345
Datenbank Eine Datenbankinstanz oder ein Datenbanksystem. Text string. Datenbankname oder Verbindungskennung.
Bereitstellung Eine Softwarebereitstellung. Text string. Bereitstellungskennung.
Ziel-URL Ein Uniform Resource Locator. Standard-URL-String. https://example.com/path
Domain Ein Netzwerkdomainname. Standard-Domainstring. example.com
E-Mail-Betreff Die Betreffzeile einer E‑Mail-Nachricht. Text string. Betreffzeile einer E-Mail.
Datei-Hash Ein kryptografischer Hash einer Datei. Hexadezimalstring. MD5-, SHA-1- oder SHA256-Hash.
Dateiname Der Name einer Datei. Text string. malware.exe
Generische Entität Ein flexibler Entitätstyp für Daten, die nicht in andere Kategorien passen. Hängt von den gespeicherten Daten ab. –
Hostname Ein Label, das einem Gerät in einem Netzwerk zugewiesen wurde. Standard-Hostnamestring. workstation-01, server.example.com
IP-Satz Eine Sammlung oder Gruppe von IP-Adressen. Nicht explizit definiert (z. B. kommagetrennter String, JSON-Array, Verweis auf eine Liste). Bereiche, CIDR-Notation oder Listen.
Weitere Informationen finden Sie unter Liste vertrauenswürdiger IP-Adressen erstellen.
MAC-Adresse Eine Media Access Control-Adresse. Sechs Gruppen mit jeweils zwei hexadezimalen Ziffern, die durch Bindestriche oder Doppelpunkte voneinander getrennt sind. 00-1B-44-11-3A-B7, 00:1B:44:11:3A:B7
Telefonnummer Eine Telefonnummer. Variiert (E.164 ist Standard). +18005550100
POD Eine Gruppe von einem oder mehreren Containern in Kubernetes, oft mit gemeinsam genutztem Speicher/Netzwerk. Namensstring. Kubernetes-POD-Name.
Prozess Eine Instanz eines Computerprogramms, das ausgeführt wird. Prozess-ID (PID) oder ‑Name. 1234, chrome.exe
Dienst Ein Softwaredienst, der auf einem System ausgeführt wird. Dienstnamestring. sshd, apache2
Angreifer Eine Einzelperson oder Gruppe, die eine Bedrohung darstellt. Namens- oder Codestring. APT28, FIN7
Bedrohungskampagne Eine Reihe zusammenhängender Bedrohungsaktivitäten. Kampagnenname oder Codestring. Kampagnenname oder ‑Code.
Bedrohungssignatur Ein Muster oder Indikator einer bekannten Bedrohung. Regel-ID oder Signaturname. Kurze Regel-ID, YARA-l-Regelname.
USB Ein Universal Serial Bus-Gerät. Gerätename, Seriennummer oder andere Attribute. USB-Geräte-ID.
Nutzername Eine Kennung für ein Nutzerkonto. Einfache Nutzernamen oder E-Mail-Adressen. jdoe, jdoe@example.com

Anwendungsfall: Neue Daten einer aufgenommenen E-Mail zuordnen und modellieren

In diesem Anwendungsfall wird gezeigt, wie Sie neue Daten einer aufgenommenen E-Mail zuordnen und modellieren:

  1. Rufen Sie Content Hub > Anwendungsfälle auf.
  2. Führen Sie den Anwendungsfall Zero to Hero aus. Weitere Informationen finden Sie unter Anwendungsfälle ausführen.
  3. Wählen Sie auf dem Tab Fälle den Fall Mail aus der Fallwarteschlange aus und wählen Sie den Tab Ereignisse aus.
  4. Klicken Sie neben der Benachrichtigung auf die Einstellungen Ereigniskonfiguration, um die Seite Ereigniskonfiguration zu öffnen.
  5. Klicken Sie in der Hierarchieliste auf Mail. So wird sichergestellt, dass Ihre Konfiguration automatisch für alle Daten aus diesem Produkt (E-Mail-Postfach) funktioniert.
  6. Weisen Sie die visuelle Familie zu, die die Daten am besten darstellt. In diesem Anwendungsfall wurde MailRelayOrTAP bereits ausgewählt. Sie können diesen Schritt also überspringen.
  7. Wechseln Sie zu Zuordnung und ordnen Sie die folgenden Entitätsfelder zu. Doppelklicken Sie auf jede Entität und wählen Sie im extrahierten Feld das Rohdatenfeld für diese Entität aus. Sie können alternative Felder angeben, aus denen die Informationen extrahiert werden sollen:
    • SourceUserName
    • DestinationUserName
    • DestinationURL
    • EmailSubject
  8. Klicken Sie auf Rohereignisattribute , um die ursprünglichen E-Mail-Felder aufzurufen.

Reguläre Ausdrücke extrahieren

Google SecOps unterstützt keine Gruppen regulärer Ausdrücke. Wenn Sie Text aus dem Ereignisfeld mithilfe von Mustern regulärer Ausdrücke extrahieren möchten, verwenden Sie in der Logik der Extraktionsfunktion lookahead und lookbehind.

Im folgenden Beispiel enthält das Ereignisfeld einen großen Textblock:
Suspicious activity on A16_WWJ - Potential Account Takeover (33120)

So extrahieren Sie nur den Text Suspicious activity on A16_WWJ:

  1. Geben Sie den folgenden regulären Ausdruck im Wertfeld Extraktionsfunktion ein:
    Suspicious activity on A16_WWJ(?=.*)
  2. Wählen Sie im Feld Transformationsfunktion die Option To_String aus.

So extrahieren Sie nur den Text nach Suspicious activity on A16_WWJ:

  1. Geben Sie den folgenden regulären Ausdruck im Wertfeld Extraktionsfunktion ein:
    (?<=Suspicious activity on A16_WWJ).*
  2. Wählen Sie im Feld Transformationsfunktion die Option To_String aus.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten