Panoramica della gestione delle richieste

Supportato in:

Google SecOps SOAR

Google Security Operations importa avvisi da un'ampia gamma di fonti. Ogni avviso include gli eventi di sicurezza e gli indicatori chiave sottostanti (ad esempio origini, destinazioni, artefatti), che vengono analizzati e analizzati. Durante questa analisi, gli indicatori chiave, come IP di origine e di destinazione, hash dei file o account utente, vengono estratti e rappresentati come entità. Le entità sono oggetti persistenti nella piattaforma. Raccolgono dati di arricchimento, commenti degli analisti e contesto storico, consentendo agli analisti di monitorare il comportamento delle entità nel tempo e nei vari casi. Le entità vengono visualizzate anche nel canvas visivo per illustrare le relazioni nel panorama delle minacce.

Creazione e raggruppamento delle richieste

La pagina Richieste è il luogo in cui gli analisti possono esaminare gli avvisi in arrivo e gestire i flussi di lavoro relativi agli incidenti. Gli analisti possono anche:

• Raggruppa automaticamente gli avvisi aggiuntivi nei casi esistenti in base a entità condivise e regole configurabili.
• Crea manualmente casi o simula casi a scopo di test e addestramento.

Intestazione e visualizzazioni della coda di richieste

Tutti i casi attivi provenienti da vari connettori vengono visualizzati nella coda dei casi. Ogni voce della richiesta mostra i metadati chiave, ad esempio:

• Nome della richiesta e ID univoco
• Timestamp della richiesta
• Numero di avvisi associati
• Analista assegnato (con avatar)
• Priorità e fase della richiesta (facoltativo, a seconda della visualizzazione)

Gli analisti possono alternare queste visualizzazioni:

• Visualizzazione predefinita: mostra le schede dei casi con le informazioni essenziali.
• Visualizzazione compatta: riduce l'ingombro visivo per una scansione più rapida.
• Visualizzazione elenco: mostra tutti i casi in formato tabella per operazioni collettive o filtri.

Barra superiore della pratica

La barra superiore della richiesta mostra il contesto a livello di richiesta e le azioni disponibili, come segue:

• L'intestazione della coda delle richieste mostra il titolo, l'ID, la priorità, la fase, il timestamp, l'ambiente di modifica e i tag.
• Mostra anche l'analista assegnato (nome o ruolo) e include i controlli per Chat, Chiudi richiesta, Aggiorna, Esplora e il menu Azioni richiesta.

Per maggiori dettagli, vedi Che cosa contiene la pagina Richieste?

Scheda Richiesta

Ogni richiesta include diverse schede che aiutano gli analisti a esaminare, analizzare e agire in base ai dati della richiesta. Queste schede organizzano le informazioni chiave, dai riepiloghi di alto livello ai log dettagliati e ai dati degli avvisi, in un formato coerente e navigabile.

Scheda Panoramica del caso

La scheda Panoramica casi mostra i widget specifici per i casi configurati dall'amministratore. Per maggiori dettagli, consulta Esplorare la scheda Panoramica della richiesta.

Scheda Bacheca casi

La scheda Bacheca dei casi mostra un log cronologico di tutti gli eventi e le azioni correlati al caso, dalla creazione alla chiusura. Quando apri questa scheda, puoi visualizzare informazioni relative alla richiesta, come attività, commenti degli utenti, messaggi della chat fissati, azioni manuali e di sistema e allegati (fino a 50 MB per file). Ogni tipo di contenuto è rappresentato da un'icona nella sezione superiore della bacheca dei casi.

Azioni che puoi eseguire con questa scheda:

• Fai clic su Visualizza altro per visualizzare sia i risultati della UI standard sia i dati JSON corrispondenti.
• Per visualizzare i dettagli dell'evento, fai clic su una o più icone dell'evento.
• Per visualizzare gli eventi per tutti gli avvisi nel caso, seleziona Tutti gli avvisi.

Icona	Descrizione
	Mostra le azioni intraprese sugli avvisi in una tabella, inclusi il nome dell'azione, il timestamp, il nome dell'avviso, il risultato e lo stato (Completato o Errore). Fai clic su Mostra altro per espandere i risultati, i parametri e le entità interessate. Fai clic su Mostra meno per comprimere la visualizzazione.
	Mostra tutte le modifiche allo stato delle richieste generate dal sistema e dagli utenti, ad esempio aggiornamenti a titolo, fase, priorità, assegnazione e chiusura.
	Mostra l'attività relativa all'attività. Quando un'attività è completata, fai clic su Completa attività. Lo stato viene aggiornato a Completato insieme a un timestamp e ai tuoi commenti.
	Mostra i commenti aggiunti manualmente o tramite l'azione Commento alla richiesta.
	Visualizza i messaggi fissati nella finestra di dialogo Messaggio istantaneo.
	Visualizza gli elementi contrassegnati come preferiti nella bacheca casi facendo clic sull'icona a forma di stella gialla.
	Ordina i log degli eventi in base al timestamp, dal più recente al meno recente o viceversa.
	Mostra approfondimenti e avvisi generali sulla richiesta e sulle entità associate.

• Scheda Panoramica avvisi: elenca tutti gli avvisi collegati al caso, inclusi gli eventi e i metadati associati. Questa scheda mostra informazioni ed eventi cruciali associati alla richiesta.
• La coda delle richieste, aggiornata automaticamente ogni minuto, elenca tutte le richieste attive e ti consente di aggiornare, ordinare, filtrare, aggiungere o chiudere manualmente le richieste in base alle esigenze.

Automazione dei playbook

I playbook sono insiemi predefiniti di azioni che raccolgono informazioni da origini di avvisi interne ed esterne. Quindi, prendono decisioni su come gestire questi avvisi o eseguire operazioni su sistemi remoti, ad esempio bloccare una porta firewall o disattivare un utente Active Directory. Google SecOps esegue queste azioni automaticamente o semiautomaticamente in base ai trigger del playbook in qualsiasi inserimento di avvisi.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.