Memetakan dan memodelkan entitas

Didukung di:

Entitas adalah objek yang merepresentasikan poin penting yang diekstrak dari pemberitahuan, seperti Indikator Gangguan (IoC) dan artefak. Alat ini membantu analis keamanan dengan:

  • Melacak histori secara otomatis.
  • Mengelompokkan pemberitahuan tanpa intervensi manusia.
  • Memburu aktivitas berbahaya berdasarkan hubungan antar-entitas.
  • Membuat kasus lebih mudah dibaca dan memungkinkan pembuatan playbook yang lancar.

Google Security Operations menggunakan sistem otomatis (ontologi) untuk mengekstrak objek utama yang menarik dari pemberitahuan mentah untuk membuat entitas. Setiap entity diwakili oleh objek yang dapat melacak historinya sendiri untuk referensi di masa mendatang.

Mengonfigurasi ontologi entitas

Untuk mengonfigurasi ontologi, Anda harus memetakan dan memodelkan data. Hal ini melibatkan pemilihan representasi visual untuk pemberitahuan dan penentuan entitas mana yang harus diekstrak. Google SecOps menyediakan aturan ontologi yang telah dikonfigurasi sebelumnya untuk produk SIEM paling populer.

Waktu terbaik untuk menyesuaikan ontologi adalah setelah Anda memiliki konektor yang menarik data ke Google SecOps. Proses ini melibatkan dua langkah utama:

  1. Pemodelan: Pilih representasi visual (model/keluarga visual) untuk data Anda.
  2. Pemetaan: Petakan kolom untuk mendukung model yang dipilih dan ekstrak entitas.

Entitas yang didukung

Entitas berikut didukung:

Jenis entitas Deskripsi Format yang diharapkan Contoh
Alamat Alamat IPV4. Bergantung pada jenis alamat tertentu yang disimpan. Alamat IP, misalnya, 192.168.1.1
Aplikasi Aplikasi software. String teks. nmap, Microsoft Word.
Cluster Grup resource komputasi. String teks. Nama cluster Kubernetes, Nama cluster, atau ID cluster.
Container Instance container. String teks. ID atau nama penampung Docker.
Kartu kredit Nomor kartu kredit. String yang di-masking atau di-tokenisasi. Data harus disamarkan atau di-tokenisasi untuk menghindari penyimpanan data PCI sensitif.
CVE ID Common Vulnerabilities and Exposures. CVE-YYYY-NNNNN CVE-2023-12345
Database Instance atau sistem database. String teks. Nama database atau ID koneksi.
Deployment Deployment software. String teks. ID deployment.
URL Tujuan Uniform Resource Locator. String URL standar. https://example.com/path
Domain Nama domain jaringan. String domain standar. example.com
Email subject Baris subjek pesan email. String teks. Baris subjek email.
Hash file Hash kriptografi file. String heksadesimal. Hash MD5, SHA-1, atau SHA256.
Nama file Nama file. String teks. malware.exe
Entitas generik Jenis entitas fleksibel untuk data yang tidak sesuai dengan kategori lainnya. Bergantung pada data yang disimpan. T/A
Hostname Label yang ditetapkan ke perangkat di jaringan. String nama host standar. workstation-01, server.example.com
Set IP Kumpulan atau grup alamat IP. Tidak ditentukan secara eksplisit (misalnya, string yang dipisahkan koma, array JSON, referensi ke daftar). Rentang, notasi CIDR, atau daftar.
Misalnya, lihat Membuat daftar IP Tepercaya.
Alamat MAC Alamat Kontrol Akses Media. Enam kelompok yang terdiri dari dua digit heksadesimal, yang dipisahkan dengan tanda hubung atau titik dua. 00-1B-44-11-3A-B7, 00:1B:44:11:3A:B7
Nomor telepon Nomor telepon. Bervariasi (E.164 adalah standar). +18005550100
POD Grup yang terdiri dari satu atau beberapa container di Kubernetes, sering kali dengan penyimpanan/jaringan bersama. String nama. Nama POD Kubernetes.
Proses Instance program komputer yang sedang dieksekusi. ID (PID) atau nama proses. 1234, chrome.exe
Layanan Layanan software yang berjalan di sistem. String nama layanan. sshd, apache2
Pelaku ancaman Individu atau kelompok yang menimbulkan ancaman. String nama atau kode. APT28, FIN7
Kampanye ancaman Serangkaian aktivitas ancaman terkait. Nama kampanye atau string kode. Nama atau kode kampanye.
Tanda tangan ancaman Pola atau indikator ancaman yang diketahui. ID aturan atau nama tanda tangan. ID aturan singkat, nama aturan YARA-l.
USB Perangkat Universal Serial Bus. Nama perangkat, nomor seri, atau atribut lainnya. ID perangkat USB.
Nama pengguna ID untuk akun pengguna. Nama pengguna atau alamat email yang sederhana. jdoe, jdoe@example.com

Kasus penggunaan: Memetakan dan memodelkan data baru dari email yang diserap

Kasus penggunaan ini menunjukkan cara memetakan dan memodelkan data baru dari email yang di-ingest:

  1. Buka Content Hub > Use Cases.
  2. Jalankan kasus pengujian Zero to Hero. Untuk mengetahui detail tentang cara melakukannya, lihat Menjalankan kasus penggunaan.
  3. Di tab Kasus, pilih kasus Email dari Antrean Kasus dan pilih tab Peristiwa.
  4. Di samping pemberitahuan, klik setelan Konfigurasi Peristiwa untuk membuka halaman Konfigurasi Peristiwa.
  5. Dalam daftar hierarki, klik Mail. Hal ini memastikan bahwa konfigurasi Anda akan otomatis berfungsi untuk setiap bagian data yang berasal dari produk ini (Kotak email).
  6. Tetapkan keluarga visual yang paling sesuai dengan data. Dalam kasus penggunaan ini, karena MailRelayOrTAP telah dipilih sebelumnya, Anda dapat melewati langkah ini.
  7. Beralihlah ke Pemetaan dan petakan kolom entitas berikut. Klik dua kali setiap entitas dan pilih kolom data mentah untuk entitas tersebut di kolom yang diekstrak. Anda dapat menyediakan kolom alternatif untuk mengekstrak informasi:
    • SourceUserName
    • DestinationUserName
    • DestinationURL
    • EmailSubject
  8. Klik Properti Peristiwa Mentah untuk melihat kolom email asli.

Mengekstrak ekspresi reguler

Google SecOps tidak mendukung grup ekspresi reguler. Untuk mengekstrak teks dari kolom peristiwa menggunakan pola ekspresi reguler, gunakan lookahead dan lookbehind dalam logika fungsi ekstraksi.

Dalam contoh berikut, kolom peristiwa menampilkan sebagian besar teks:
Suspicious activity on A16_WWJ - Potential Account Takeover (33120)

Untuk mengekstrak hanya teks Suspicious activity on A16_WWJ, lakukan langkah-langkah berikut:

  1. Masukkan ekspresi reguler berikut di kolom nilai Extraction function:
    Suspicious activity on A16_WWJ(?=.*)
  2. Di kolom Transformation function, pilih To_String.

Untuk mengekstrak hanya teks setelah Suspicious activity on A16_WWJ, lakukan langkah-langkah berikut:

  1. Masukkan ekspresi reguler berikut di kolom nilai Extraction function:
    (?<=Suspicious activity on A16_WWJ).*
  2. Di kolom Transformation function, pilih To_String.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.