Présentation des familles visuelles

Compatible avec :

Google Security Operations fournit un ensemble de familles visuelles prédéfinies qui répondent à de nombreux types d'alertes courants. La famille visuelle par défaut inclut tous les types d'entités et les relations fondamentales.

Les familles visuelles représentent les relations entre les entités d'un événement lié à la sécurité et aident à identifier les acteurs clés et le déroulement d'un incident de sécurité.

Chaque famille visuelle se compose de plusieurs règles. Chaque règle contient jusqu'à quatre sources, jusqu'à quatre destinations et un type de connexion. Les sources et les destinations représentent des types d'entités pertinents pour l'alerte, et les connexions entre elles sont de type Saisies ou Associées.

  • Les connexions typées associent les entités principales (acteurs) d'une alerte. Elles représentent généralement une action effectuée par une entité sur une autre (ou sur elle-même) et sont affichées sous la forme d'une ligne fléchée. Chaque famille visuelle doit contenir une seule règle de connexion typée.
  • Les connexions associées connectent au moins deux entités liées de manière logique, telles qu'un nom d'hôte et une adresse IP, ou une adresse e-mail et un nom d'utilisateur. Ils sont représentés par une ligne pointillée, qui indique cette relation logique.

De plus, les familles visuelles définissent les types d'entités pouvant être impliqués dans l'événement. Lorsque vous mappez des champs d'événement à des entités, les types d'entités autorisés sont prédéterminés par la famille visuelle attribuée à ce type d'événement.

Les familles visuelles sont appliquées aux événements d'un type ou d'un produit spécifique, et sont agrégées de manière dynamique avec d'autres événements pour créer un graphique d'entités visuelles pour l'ensemble de l'alerte et de la demande. Vous pouvez afficher ce graphique sur la page Configuration de l'événement > Visualisation ou sur la page Explorer.

Définir une famille visuelle

Pour créer une visualisation qui montre les relations et les connexions entre les entités, procédez comme suit :

  1. Identifiez l'événement nécessitant une famille visuelle.
  2. Classifiez et mappez les champs à leurs types d'entités respectifs. Pour cet exemple, utilisez l'événement Suspicious Connection suivant : 
        {
  "name": "Suspicious Connection", 
  "product": "SecOps", 
  "event_type": "Suspicious connection", 
  "hostname": "USER_PC", 
  "process_sha256": "6857fee8812490499164bb7efb7f457d038e82140bb1fa0adbd0dc018e404f84", 
  "process_name": "notepad.exe", 
  "destination_domain": "google.com",
  "destination_ip_address": "8.8.8.8" 
}
  3. Classez les champs d'événement selon des types d'entités spécifiques comme suit :
    Champ Type d'entité
    nom d'hôte SourceHostName
    process_name SourceProcessName
    process_sha256 FileHash
    destination_domain DestinationDomain
    destination_ip_address DestinationAddress
  4. Accédez à Paramètres > Investigation > Familles visuelles.
  5. Sélectionnez add Ajouter, puis saisissez un nom et une description.
  6. Définissez la règle de connexion typée obligatoire en identifiant l'action principale. Dans cet exemple, un processus a créé une connexion à un domaine. L'entité process est donc la source et l'entité domain est la destination.
  7. Définissez des entités liées de manière logique avec des règles de connexion associées. En utilisant le même exemple d'événement, vous pouvez observer plusieurs relations :
    • SourceProcessName a été exécuté le SourceHostName.
    • Le hachage SourceProcessName est l'entité FileHash
    • DestinationDomain et DestinationAddress représentent la destination du processus.
  8. Enregistrez la famille visuelle. Une fois la famille visuelle enregistrée, vous pouvez éventuellement ajouter une image qui la représente dans le tableau Paramètres > Investigation > Familles visuelles.

Entités flottantes

Une entité flottante est une entité qui apparaît dans une visualisation de graphique sans aucune connexion à d'autres entités. Cela peut s'expliquer par plusieurs raisons, et il est essentiel de comprendre pourquoi pour analyser et visualiser efficacement les données :

  • Règle de connexion manquante dans la famille visuelle : la famille visuelle, qui définit la façon dont les événements sont affichés, ne dispose peut-être pas d'une règle permettant d'associer le type d'entité flottante à un type d'entité existant dans l'événement. Par exemple, une entité "Utilisateur" peut être définie, mais aucune règle ne spécifie qu'elle doit être connectée à une entité "Fichier" dans un événement "Accès au fichier".
  • Données d'événement incomplètes : il se peut que les données d'événement elles-mêmes ne contiennent pas les informations nécessaires pour créer un lien. Par exemple, un événement pour une connexion réseau peut ne pas avoir d'adresse IP de destination, ce qui l'empêche d'être connecté à une entité hôte.
  • Entités isolées : une entité peut être créée, mais jamais référencée par un autre événement, ce qui la rend "isolée". Par exemple, un nouvel utilisateur est créé, mais n'a pas encore effectué d'actions qui généreraient des événements à lui associer.

Pour résoudre les problèmes d'entités flottantes, vous pouvez effectuer les actions suivantes :

  • Examinez la famille visuelle : vérifiez si la famille visuelle dispose des règles nécessaires pour connecter les types d'entités. Si ce n'est pas le cas, vous devrez peut-être créer une règle pour établir la relation.
  • Inspectez les données d'événement brutes : examinez les données brutes de l'événement pour vérifier si les champs requis pour le mappage (par exemple, l'adresse IP source, le port de destination, l'ID utilisateur) sont présents.
  • Ajustez le mappage des champs : si les données existent, mais ne sont pas mappées correctement, ajustez le mappage des champs pour vous assurer que les propriétés de l'entité sont renseignées avec les bons champs d'événement.

Découvrez comment créer des entités (mappage et modélisation) et configurer le mappage et attribuer des familles visuelles.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.