엔티티 속성 관리

다음에서 지원:

이 문서에서는 Google Security Operations에서 케이스 분석 중에 더 효율적으로 작업할 수 있도록 조사 페이지에서 직접 항목 보강 속성을 추가하거나 수정하여 케이스 조사의 일부로 사용하는 방법을 설명합니다. 단일 항목에 최대 100개의 항목 속성을 추가할 수 있습니다.

항목 속성

엔티티는 Google SecOps 케이스의 핵심 구성요소로, 보안 이벤트와 관련된 객체를 나타냅니다. 속성을 이해하는 것은 효과적인 조사를 위해 매우 중요합니다.

엔티티와 아티팩트는 다음과 같은 여러 가지 면에서 다릅니다.

  • 아이콘: 엔티티에는 파란색 획이 있는 검은색 아이콘이 있고 아티팩트에는 녹색 아이콘이 있습니다.
  • 발생: 동일한 항목은 일반적으로 동일한 이벤트에서 최대 두 번 (소스 및 대상) 표시됩니다. 알림에 포함된 동일한 유형의 아티팩트 수에는 제한이 없습니다.
  • 범위: 엔티티는 내부 (조직 네트워크 내) 또는 외부일 수 있습니다. 아티팩트는 항상 내부입니다.

표준 엔티티 속성의 정의는 SOARInvolvedEntities를 참고하세요.

새 속성을 추가하거나, 기존 값을 수정하거나, 알림에 항목을 추가하여 속성을 관리할 수 있습니다. 자세한 내용은 다음을 참고하세요.

페이지 전체에서 항목 속성 추가 또는 수정

다음 페이지에서 항목 보강 속성을 추가하거나 수정합니다.

  • 조사: 케이스 보기에서 Explore를 클릭하여 조사 페이지를 엽니다.
  • 엔티티 탐색기: 케이스 보기에서 엔티티 하이라이트 위젯을 클릭하고 관련 엔티티를 선택합니다.
  • 케이스 (항목 정보): 케이스 보기에서 항목 정보 위젯의 항목을 클릭한 다음 더보기를 클릭하여 항목 속성이 있는 측면 드로어를 엽니다.
  • 케이스 (항목 그래프): 케이스 보기에서 항목 그래프 위젯을 클릭한 다음 항목을 클릭합니다. 항목 속성이 포함된 측면 창이 열립니다.

항목 속성 추가

조사의 일환으로 다른 항목 키를 포함하여 케이스 조사를 보강합니다. 위협을 더 잘 이해하기 위해 사용되는 멀웨어의 종류를 식별합니다. 이 예에서는 Malware_family이라는 새 항목 속성을 만드는 방법을 보여줍니다.

엔티티 속성을 추가하려면 다음 단계를 따르세요.

  1. Cases 대기열로 이동합니다.
  2. 바이러스 발견 또는 보안 위험 발견 케이스를 선택하고 탐색을 클릭하여 조사 페이지를 엽니다.
  3. 추가 추가를 클릭합니다.
  4. 키에 Malware_family를 입력하고 값에 Trojan.Generic를 입력합니다.
  5. 저장을 클릭하여 새 항목 속성을 추가합니다.

새로운 보강 기능을 통해 케이스 조사 중에 추가적인 이해를 얻을 수 있습니다.

엔티티 속성 수정

이 예시에서는 잠재적인 멀웨어 위협과 관련된 사례에서 파일이 신뢰도가 낮은 의심스러운 파일로 표시되는 사용 사례를 따릅니다. TI 보강 블록과 조사를 실행한 후 파일이 악성이라고 확신하며 confidence_level를 Low에서 High로 업데이트하려고 합니다.

엔티티 속성을 수정하려면 다음 단계를 따르세요.

  1. 케이스 페이지로 이동합니다.
  2. 바이러스 발견 또는 보안 위험 발견 케이스로 이동하여 탐색을 클릭하여 조사 페이지를 엽니다.
  3. 조사 페이지에서 태그 파일 해시 항목을 클릭합니다.
  4. 측면 드로어에서 confidence_level 값 위로 포인터를 가져갑니다.
  5. more_vert 더보기를 클릭하고 속성 보기 또는 수정을 선택합니다.
  6. 항목 속성 확인 또는 수정 대화상자에서 Confidence_level 값을 Low에서 High로 변경하여 해시 항목의 잠재적 위험을 강조합니다. 표시 형식을 선택하여 측면 탐색 메뉴에 데이터가 표시되는 방식을 관리할 수도 있습니다.
  7. 저장을 클릭합니다.

항목의 신뢰 수준이 업데이트되고 측면 창에 반영됩니다.

신규 또는 기존 항목 추가

새 항목 또는 기존 항목을 추가하려면 다음 단계를 따르세요.

  1. more_vert 알림 옵션을 클릭하고 엔티티 추가를 선택합니다.
  2. 알림에 항목 추가 대화상자에서 기존 항목 추가 또는 새 항목 추가 중 하나에서 항목을 선택합니다.
  3. 식별자를 입력하고 추가 추가 > 적용을 클릭합니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.