Ringkasan kelompok visual

Didukung di:

Google Security Operations menyediakan kumpulan kelompok visual standar yang melayani banyak jenis pemberitahuan umum. Kelompok visual default mencakup semua jenis entity dan hubungan fundamental.

Kelompok visual merepresentasikan hubungan antara entity dalam peristiwa keamanan dan membantu mengidentifikasi pelaku utama dan alur insiden keamanan.

Setiap kelompok visual terdiri dari beberapa aturan. Setiap aturan berisi hingga empat sumber, hingga empat tujuan, dan jenis koneksi. Sumber dan tujuan mewakili jenis entity yang relevan dengan pemberitahuan, dan koneksi di antara keduanya adalah Diberi Jenis atau Ditautkan.

  • Koneksi berjenis menautkan entity utama (aktor) dalam pemberitahuan. Garis ini biasanya mewakili tindakan yang dilakukan oleh satu entitas terhadap entitas lain (atau dirinya sendiri) dan ditampilkan sebagai garis berpanah. Setiap kelompok visual harus berisi satu aturan koneksi yang diketik.
  • Koneksi tertaut menghubungkan dua atau beberapa entitas yang terkait secara logis, seperti nama host dan alamat IP, atau email dan nama pengguna. Hubungan ini diwakili oleh garis putus-putus, yang menandakan hubungan logis ini.

Selain itu, kelompok visual menentukan jenis entity yang dapat terlibat dalam peristiwa. Saat Anda memetakan kolom peristiwa ke entity, jenis entity yang diizinkan telah ditentukan sebelumnya oleh kelompok visual yang ditetapkan ke jenis peristiwa tersebut.

Kelompok visual diterapkan ke peristiwa dari jenis atau produk tertentu, dan digabungkan secara dinamis dengan peristiwa lain untuk membuat grafik entity visual untuk seluruh pemberitahuan dan kasus. Anda dapat melihat grafik ini di halaman Konfigurasi peristiwa > visualisasi atau halaman Explore.

Menentukan kelompok visual

Ikuti langkah-langkah berikut untuk membuat visualisasi yang menunjukkan hubungan dan koneksi antar-entitas:

  1. Identifikasi peristiwa yang memerlukan kelompok visual.
  2. Klasifikasikan dan petakan kolom ke jenis entity masing-masing. Untuk contoh ini, gunakan peristiwa Suspicious Connection berikut: 
        {
  "name": "Suspicious Connection", 
  "product": "SecOps", 
  "event_type": "Suspicious connection", 
  "hostname": "USER_PC", 
  "process_sha256": "6857fee8812490499164bb7efb7f457d038e82140bb1fa0adbd0dc018e404f84", 
  "process_name": "notepad.exe", 
  "destination_domain": "google.com",
  "destination_ip_address": "8.8.8.8" 
}
  3. Klasifikasikan kolom peristiwa ke jenis entity tertentu sebagai berikut:
    Kolom Jenis entity
    hostname SourceHostName
    process_name SourceProcessName
    process_sha256 FileHash
    destination_domain DestinationDomain
    destination_ip_address DestinationAddress
  4. Buka Setelan > Investigasi > Kelompok Visual.
  5. Pilih add Tambahkan, lalu masukkan nama dan deskripsi.
  6. Tentukan aturan koneksi yang diketik wajib dengan mengidentifikasi tindakan utama. Dalam contoh ini, karena proses membuat koneksi ke domain, entity process adalah sumber dan entity domain adalah tujuan.
  7. Tentukan entitas yang terkait secara logis dengan aturan koneksi tertaut. Dengan menggunakan contoh peristiwa yang sama, Anda dapat mengamati beberapa hubungan:
    • SourceProcessName dijalankan pada SourceHostName.
    • Hash SourceProcessName adalah entity FileHash
    • DestinationDomain dan DestinationAddress mewakili tujuan proses.
  8. Simpan kelompok visual. Setelah disimpan, Anda dapat menambahkan gambar yang mewakili keluarga visual di tabel Settings > Investigation > Visual Families.

Entity mengambang

Entitas mengambang adalah entitas yang muncul dalam visualisasi grafik tanpa koneksi apa pun ke entitas lain. Hal ini dapat terjadi karena beberapa alasan utama, dan memahami alasannya sangat penting untuk analisis dan visualisasi data yang efektif:

  • Tidak ada aturan koneksi dalam kelompok visual: Kelompok visual, yang menentukan cara peristiwa ditampilkan, mungkin tidak memiliki aturan untuk menautkan jenis entity mengambang ke jenis entity yang ada dalam peristiwa. Misalnya, entitas Pengguna mungkin ditentukan, tetapi tidak ada aturan yang menentukan bahwa entitas tersebut harus dihubungkan ke entitas File dalam peristiwa "Akses File".
  • Data Peristiwa Tidak Lengkap: Data peristiwa itu sendiri mungkin tidak memiliki informasi yang diperlukan untuk membuat link. Misalnya, peristiwa untuk koneksi jaringan mungkin tidak memiliki alamat IP tujuan, sehingga tidak dapat dihubungkan ke entitas Host.
  • Entitas Terisolasi: Entitas mungkin dibuat, tetapi tidak pernah direferensikan oleh peristiwa lain, sehingga menjadi "terisolasi". Misalnya, akun pengguna baru dibuat, tetapi belum melakukan tindakan apa pun yang akan menghasilkan peristiwa untuk ditautkan ke akun tersebut.

Untuk mengatasi entitas mengambang, Anda dapat melakukan tindakan berikut:

  • Tinjau Kelompok Visual: Periksa apakah kelompok visual memiliki aturan yang diperlukan untuk menghubungkan jenis entitas. Jika tidak, Anda mungkin perlu membuat aturan baru untuk membuat hubungan.
  • Periksa data peristiwa mentah: Periksa data mentah peristiwa untuk melihat apakah kolom yang diperlukan untuk pemetaan (misalnya, IP sumber, port tujuan, ID pengguna) ada.
  • Sesuaikan pemetaan kolom: Jika data ada, tetapi tidak dipetakan dengan benar, sesuaikan pemetaan kolom untuk memastikan kolom peristiwa yang tepat mengisi properti entitas.

Pelajari lebih lanjut cara membuat entity (pemetaan dan pemodelan) serta mengonfigurasi pemetaan dan menetapkan kelompok visual.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.