Administra las propiedades de la entidad

Compatible con:

Google SecOps SOAR

En este documento, se explica cómo puedes agregar o editar propiedades de enriquecimiento de entidades directamente desde las páginas de investigación como parte de la investigación de casos en Google Security Operations para trabajar de manera más eficiente durante el análisis de casos. Puedes agregar hasta 100 propiedades de entidad a una sola entidad.

Nota: Para agregar o editar propiedades de entidades, asegúrate de que se hayan otorgado los permisos correspondientes en el módulo correspondiente de Configuración. Para obtener más información, consulta Cómo trabajar con grupos de permisos.

Propiedades de la entidad

Las entidades son componentes clave en los casos de Google SecOps, ya que representan objetos involucrados en eventos de seguridad. Comprender sus propiedades es fundamental para una investigación eficaz.

Las entidades y los artefactos difieren en varios aspectos:

• Ícono: Las entidades tienen íconos negros con un trazo azul, mientras que los artefactos tienen íconos verdes.
• Aparición: Por lo general, la misma entidad aparece como máximo dos veces en el mismo evento (como fuente y destino). No hay límite en la cantidad de artefactos del mismo tipo en una alerta.
• Alcance: Las entidades pueden ser internas (dentro de la red de la organización) o externas. Los artefactos siempre son internos.

Para obtener definiciones de las propiedades de entidades estándar, consulta SOARInvolvedEntities.

Puedes administrar las propiedades agregando nuevas, editando los valores existentes o agregando entidades a las alertas. Para obtener más información, consulta las secciones siguientes:

• Cómo agregar una propiedad de entidad
• Cómo editar una propiedad de entidad
• Cómo agregar entidades nuevas o existentes

Cómo agregar o editar propiedades de entidades en varias páginas

Agrega o edita una propiedad de enriquecimiento de entidad en las siguientes páginas:

• Investigación: En la vista del caso, haz clic en Explorar para abrir la página Investigación.
• Explorador de entidades: En la vista del caso, haz clic en el widget Aspectos destacados de la entidad y selecciona la entidad pertinente.
• Casos (aspectos destacados de entidades): En la vista de casos, haz clic en una entidad en el widget Aspectos destacados de entidades y, luego, en Ver más para abrir un panel lateral con las propiedades de la entidad.
• Casos (gráfico de entidades): En la vista de casos, haz clic en el widget Gráfico de entidades y, luego, en Entidad. Se abrirá un panel lateral con las propiedades de la entidad.

Cómo agregar una propiedad de entidad

Como parte de la investigación, incluye otras claves de entidades para enriquecer tu caso. Identificar el tipo de malware que se usa para comprender mejor la amenaza En este ejemplo, se muestra cómo crear una nueva propiedad de entidad llamada Malware_family.

Para agregar una propiedad de entidad, sigue estos pasos:

1. Ve a la cola de Casos.
2. Selecciona el caso Se encontró un virus o se encontró un riesgo de seguridad y haz clic en Explorar para abrir la página Investigación.
3. Haz clic en Agregar Agregar.
4. Ingresa Malware_family como la Clave y Trojan.Generic como el Valor.
5. Haz clic en Guardar para agregar la nueva propiedad de la entidad.

El nuevo enriquecimiento proporciona una capa adicional de comprensión durante la investigación de tu caso.

Cómo editar una propiedad de entidad

En este ejemplo, se sigue un caso de uso en el que un archivo se marca como sospechoso con un nivel de confianza bajo en un caso relacionado con una posible amenaza de software malicioso. Después de ejecutar un bloque de enriquecimiento y una investigación de TI, tienes la certeza de que el archivo es malicioso y deseas actualizar el confidence_level de Bajo a Alto.

Para editar una propiedad de la entidad, sigue estos pasos:

1. Ve a la página Casos.
2. Ve al caso Se encontró un virus o un riesgo de seguridad y haz clic en Explorar para abrir la página Investigación.
3. Haz clic en tag File Hash Entity en la página Investigation.
4. Mantén el puntero sobre el valor de confidence_level en el panel lateral.
5. Haz clic en more_vert Más y selecciona Ver o editar la propiedad.
6. En el diálogo Ver o editar la propiedad de entidad, cambia el valor de Confidence_level de Low a High para destacar el riesgo potencial de la entidad hash. También puedes seleccionar un formato de visualización para controlar cómo aparecen los datos en el panel lateral.
   Nota: El formato de visualización solo afecta la forma en que se muestra el valor en la IU. No cambia los datos subyacentes.
7. Haz clic en Guardar.

El nivel de confianza de la entidad se actualiza y se refleja en el panel lateral.

Nota: No puedes cambiar las propiedades de la entidad, como isAttacker, isVulnerable y isPivot a false una vez que se establecen en true.

Agregar entidades nuevas o existentes

Para agregar entidades nuevas o existentes, sigue estos pasos:

1. Haz clic en more_vert Opciones de alerta y selecciona Agregar entidad.
2. En el diálogo Add entities to alert, selecciona una entidad de Add existing entities o Add new entity.
3. Ingresa un identificador y haz clic en agregar Agregar > Aplicar.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.