ケース管理の概要
Google Security Operations は、さまざまなソースからアラートを取り込みます。各 アラートには、基盤となるセキュリティ イベントと主要な指標（ ソース、宛先、アーティファクトなど）が含まれており、これらは解析されます。この分析では、ソースと宛先の IP、ファイルのハッシュ、または ユーザー アカウントなどの主要な指標が抽出され、エンティティとして表されます。 エンティティは、プラットフォーム内の永続オブジェクトです。エンティティは、エンリッチメント データ、 アナリストのコメント、履歴コンテキストを収集し、アナリストがエンティティ の動作を時間経過とともにケース全体で追跡できるようにします。エンティティは、脅威の状況における関係を示すために、ビジュアル キャンバスにも表示されます。
ケースの作成とグループ化
[**ケース**] ページでは、アナリストが受信したアラートを調査し、 インシデント ワークフローを管理できます。アナリストは次のこともできます。
- 共有 エンティティと構成可能なルールに基づいて、追加のアラートを既存のケースに自動的にグループ化する。
- テストとトレーニングの目的で、ケースを手動で作成するか、ケースをシミュレートする。
ケースキューのヘッダーとビュー
さまざまなコネクタからのすべてのアクティブなケースがケースキューに表示されます。各ケース エントリには、次のような主要なメタデータが表示されます。
- ケース名と一意の ID
- ケースのタイムスタンプ
- 関連付けられたアラートの数
- 割り当てられたアナリスト（アバター付き）
- ケースの優先度とステージ（ビューによって異なります）
アナリストは、次のビューを切り替えることができます。
- デフォルト ビュー: 重要な情報を含むケースカードが表示されます。
- コンパクト ビュー: 視覚的なフットプリントを減らし、スキャンを高速化します。
- リストビュー: すべてのケースを表形式で表示し、一括操作やフィルタリングを行います。
ケースの上部バー
[ケースの上部バー] には、ケースレベルのコンテキストと使用可能なアクションが次のように表示されます。
- ケースキューのヘッダーには、ケースのタイトル、ID、優先度、ステージ、タイムスタンプ、環境の変更、タグが表示されます。
- 割り当てられたアナリスト（名前またはロール）も表示され、[チャット]、[ケースのクローズ]、[更新]、[探索]、および [ケース アクション] メニューのコントロールが含まれます。
詳細については、[ケース] ページに記載されている内容をご覧ください。
ケースのタブ
各ケースには、アナリストがケースデータをレビュー、調査、操作するのに役立つ複数のタブがあります。これらのタブは、概要から詳細なログやアラートデータまで、重要な情報を一貫したナビゲーション可能な形式で整理します。
[ケースの概要] タブ
[ケースの概要] タブには、管理者によって構成されたケース固有のウィジェットが表示されます。詳細については、[ケースの概要] タブの詳細をご覧ください。
[Case Wall] タブ
[Case Wall] タブには、作成からクローズまでのケース関連 のイベントとアクションの時系列ログが表示されます。このタブを開くと、タスク、ユーザー コメント、固定されたチャット メッセージ、手動アクションとシステム アクション、ファイル添付（1 ファイルあたり 50 MB まで）など、ケース関連の情報を確認できます。 各タイプのコンテンツは、 [Case Wall] の上部にアイコンで表示されます。
このタブでできること:
- [詳細を表示] をクリックすると、標準の UI の結果と対応する JSON データの両方が表示されます。
- イベントの詳細を表示するには、1 つ以上のイベント アイコンをクリックします。
- ケース内のすべてのアラートのイベントを表示するには、[すべてのアラート] を選択します。
- [**アラートの概要**] タブ: ケースにリンクされているすべてのアラートを、関連するイベントとメタデータとともに一覧表示します。 このタブには、ケースに関連付けられた重要な情報とイベントが表示されます。
- ケースキューは 1 分ごとに自動的に更新され、すべてのアクティブなケースが一覧表示されます 。必要に応じて、ケースを手動で更新、並べ替え、フィルタ、追加、クローズできます。
| アイコン | 説明 |
|---|---|
|
アクション名、タイムスタンプ、アラート名、結果、ステータス（[完了] または [失敗]）など、アラートに対して行われたアクションを表形式で表示します。 [詳細を表示] をクリックすると、結果、パラメータ、影響を受けるエンティティが展開されます。[一部を表示] をクリックすると、ビューが折りたたまれます。 |
|
タイトル、ステージ、優先度、割り当て、クローズの更新など、システムとユーザーが生成したケースのステータスの変更をすべて表示します。 |
|
タスク関連のアクティビティを表示します。タスクが完了したら、[タスクを完了] をクリックします。ステータスが [完了] に更新され、タイムスタンプとコメントが表示されます。 |
|
手動で追加されたコメント、または [ケースのコメント] アクションによって追加されたコメントを表示します。 |
|
[インスタント メッセージ] ダイアログから固定されたメッセージを表示します。 |
|
黄色の星アイコンをクリックして、[Case Wall] でお気に入りとしてマークされたアイテムを表示します。 |
|
イベントログをタイムスタンプで並べ替えます（新しい順または古い順）。 |
|
ケースと関連エンティティに関する一般的な分析情報と警告を表示します。 |
ハンドブックの自動化
ハンドブック __は、内部および外部のアラートソースから情報を収集する 事前定義されたアクションのセットです。これらのアラートの処理方法を決定したり、ファイアウォール ポートのブロックや Active Directory ユーザーの無効化など、リモート システムでオペレーションを実行したりします。 Google SecOps は、アラートが取り込まれると、ハンドブックのトリガーに基づいて、これらのアクションを自動または半自動的に実行します 。
さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。