Übersicht über visuelle Familien

Unterstützt in:

Google Security Operations bietet eine Sammlung vordefinierter visueller Familien, die für viele gängige Benachrichtigungstypen geeignet sind. Die Standard-Visualisierungsfamilie umfasst alle Entitätstypen und grundlegenden Beziehungen.

Visuelle Familien stellen Beziehungen zwischen Entitäten in einem Sicherheitsereignis dar und helfen dabei, die wichtigsten Akteure und den Ablauf eines Sicherheitsvorfalls zu identifizieren.

Jede visuelle Familie besteht aus mehreren Regeln. Jede Regel enthält bis zu vier Quellen, bis zu vier Ziele und einen Verbindungstyp. Sowohl Quellen als auch Ziele stellen Entitätstypen dar, die für die Benachrichtigung relevant sind. Die Verbindungen zwischen ihnen sind entweder Typisiert oder Verknüpft.

  • Typisierte Verbindungen verknüpfen die primären Entitäten (Akteure) innerhalb einer Benachrichtigung. Sie stellen in der Regel eine Aktion dar, die von einer Entität für eine andere (oder sich selbst) ausgeführt wird, und werden als Pfeillinie angezeigt. Jede visuelle Familie muss eine einzelne typisierte Verbindungsregel enthalten.
  • Verknüpfte Verbindungen verbinden zwei oder mehr logisch zusammenhängende Entitäten, z. B. einen Hostnamen und eine IP-Adresse oder eine E-Mail-Adresse und einen Nutzernamen. Sie werden durch eine gepunktete Linie dargestellt, die diese logische Beziehung kennzeichnet.

Außerdem wird durch visuelle Familien definiert, welche Entitätstypen am Ereignis beteiligt sein können. Wenn Sie Ereignisfelder Entitäten zuordnen, werden die zulässigen Entitätstypen durch die visuelle Familie bestimmt, die diesem Ereignistyp zugewiesen ist.

Visuelle Familien werden auf Ereignisse eines bestimmten Typs oder Produkts angewendet und dynamisch mit anderen Ereignissen zusammengefasst, um ein visuelles Entitätsdiagramm für die gesamte Benachrichtigung und den gesamten Fall zu erstellen. Sie können dieses Diagramm auf der Seite Ereigniskonfiguration > Visualisierung oder auf der Seite Erkunden aufrufen.

Visuelle Familie definieren

So erstellen Sie eine Visualisierung, die die Beziehungen und Verbindungen zwischen Entitäten zeigt:

  1. Ermitteln Sie das Ereignis, für das eine visuelle Familie erforderlich ist.
  2. Klassifizieren Sie die Felder und ordnen Sie sie den entsprechenden Entitätstypen zu. Verwenden Sie für dieses Beispiel das folgende Suspicious Connection-Ereignis: 
        {
  "name": "Suspicious Connection", 
  "product": "SecOps", 
  "event_type": "Suspicious connection", 
  "hostname": "USER_PC", 
  "process_sha256": "6857fee8812490499164bb7efb7f457d038e82140bb1fa0adbd0dc018e404f84", 
  "process_name": "notepad.exe", 
  "destination_domain": "google.com",
  "destination_ip_address": "8.8.8.8" 
}
  3. Klassifizieren Sie Ereignisfelder wie folgt in bestimmte Entitätstypen:
    Feld Entitätstyp
    Hostname SourceHostName
    process_name SourceProcessName
    process_sha256 FileHash
    destination_domain DestinationDomain
    destination_ip_address DestinationAddress
  4. Gehen Sie zu Einstellungen > Prüfung > Visuelle Familien.
  5. Wählen Sie add Hinzufügen aus und geben Sie einen Namen und eine Beschreibung ein.
  6. Definieren Sie die obligatorische typisierte Verbindungsregel, indem Sie die primäre Aktion identifizieren. In diesem Beispiel hat ein Prozess eine Verbindung zu einer Domain hergestellt. Daher ist die Entität process die Quelle und die Entität domain das Ziel.
  7. Logisch verwandte Entitäten mit verknüpften Verbindungsregeln definieren. Anhand desselben Ereignisbeispiels können Sie mehrere Beziehungen beobachten:
    • SourceProcessName wurde am SourceHostName ausgeführt.
    • Der SourceProcessName-Hash ist die FileHash-Entität
    • DestinationDomain und DestinationAddress stehen für das Ziel des Prozesses.
  8. Speichern Sie die visuelle Familie. Nach dem Speichern können Sie optional ein Bild hinzufügen, das die visuelle Familie in der Tabelle Einstellungen > Prüfung > Visuelle Familien darstellt.

Unverankerte Entitäten

Eine schwebende Entität ist eine Entität, die in einer Diagrammvisualisierung ohne Verbindungen zu anderen Entitäten angezeigt wird. Das kann verschiedene Gründe haben. Es ist wichtig, diese zu verstehen, um Daten effektiv analysieren und visualisieren zu können:

  • Fehlende Verbindungsregel in der visuellen Familie: Die visuelle Familie, die definiert, wie Ereignisse angezeigt werden, hat möglicherweise keine Regel, um den schwebenden Entitätstyp mit einem vorhandenen Entitätstyp innerhalb des Ereignisses zu verknüpfen. Beispielsweise kann eine Entität „User“ definiert sein, aber es gibt keine Regel, die festlegt, dass sie in einem „File Access“-Ereignis mit einer Entität „File“ verbunden werden soll.
  • Unvollständige Ereignisdaten: In den Ereignisdaten selbst fehlen möglicherweise die Informationen, die zum Erstellen einer Verknüpfung erforderlich sind. Beispielsweise kann bei einem Ereignis für eine Netzwerkverbindung eine Ziel-IP-Adresse fehlen, sodass es nicht mit einer Host-Entität verbunden werden kann.
  • Isolierte Entitäten: Eine Entität wird möglicherweise erstellt, aber nie von einem anderen Ereignis referenziert. Sie ist dann „isoliert“. Beispiel: Ein neues Nutzerkonto wird erstellt, aber es wurden noch keine Aktionen ausgeführt, die Ereignisse generieren würden, die damit verknüpft werden könnten.

So können Sie schwebende Entitäten beheben:

  • Visuelle Familie prüfen: Prüfen Sie, ob die visuelle Familie die erforderlichen Regeln zum Verbinden der Entitätstypen hat. Andernfalls müssen Sie möglicherweise eine neue Regel erstellen, um die Beziehung herzustellen.
  • Ereignisdaten prüfen: Prüfen Sie die Rohdaten des Ereignisses, um festzustellen, ob die erforderlichen Felder für die Zuordnung (z. B. Quell-IP, Zielport, Nutzer-ID) vorhanden sind.
  • Feldzuordnung anpassen: Wenn die Daten vorhanden sind, aber nicht richtig zugeordnet werden, passen Sie die Feldzuordnung an, damit die richtigen Ereignisfelder die Entitätseigenschaften füllen.

Weitere Informationen zum Erstellen von Entitäten (Zuordnung und Modellierung) und zum Konfigurieren der Zuordnung und Zuweisen visueller Familien

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten