Übersicht über die Analyse und Fallverwaltung

Unterstützt in:

Google SecOps SOAR

Google Security Operations erfasst Benachrichtigungen aus einer Vielzahl von Quellen. Jede Benachrichtigung enthält die zugrunde liegenden Sicherheitsereignisse und wichtigen Indikatoren (z. B. Quellen, Ziele, Artefakte), die analysiert werden. Bei dieser Analyse werden wichtige Indikatoren wie Quell- und Ziel-IPs, Dateihashes oder Nutzerkonten extrahiert und als Entitäten dargestellt. Entitäten sind persistente Objekte auf der Plattform. Sie erfassen Anreicherungsdaten, Analystenkommentare und den bisherigen Kontext, sodass Analysten das Verhalten von Einheiten im Zeitverlauf und über verschiedene Fälle hinweg nachvollziehen können. Entitäten werden auch auf der visuellen Arbeitsfläche angezeigt, um Beziehungen in der Bedrohungslandschaft zu veranschaulichen.

Supportanfragen erstellen und gruppieren

Auf der Seite Anfragen können Analysten eingehende Benachrichtigungen untersuchen und Incident-Workflows verwalten. Analysten haben außerdem folgende Möglichkeiten:

• Zusätzliche Benachrichtigungen werden anhand gemeinsamer Entitäten und konfigurierbarer Regeln automatisch in vorhandenen Fällen gruppiert.
• Anfragen manuell erstellen oder simulieren, um sie zu testen und KI-Agenten zu trainieren.

Kopfzeile und Ansichten der Fallwarteschlange

Alle aktuellen Fälle aus verschiedenen Connectors werden in der Fallwarteschlange angezeigt. Jeder Fall enthält wichtige Metadaten wie:

• Name und eindeutige ID des Falls
• Zeitstempel des Falls
• Anzahl der zugehörigen Benachrichtigungen
• Zugewiesener Analyst (mit Avatar)
• Fallpriorität und ‑phase (optional, je nach Ansicht)

Analysten können zwischen diesen Ansichten wechseln:

• Standardansicht: Hier werden Fallkarten mit wichtigen Informationen angezeigt.
• Kompakte Ansicht: Reduziert den visuellen Platzbedarf für ein schnelleres Scannen.
• Listenansicht: Hier werden alle Anfragen in einem Tabellenformat für Bulk-Vorgänge oder Filterung angezeigt.

Obere Leiste für Anfragen

In der Fall-Kopfzeile werden Kontextinformationen auf Fallebene und verfügbare Aktionen angezeigt, wie unten beschrieben:

• In der Kopfzeile der Fallwarteschlange werden der Falltitel, die ID, die Priorität, die Phase, der Zeitstempel, die Änderungs-Umgebung und die Tags angezeigt.
• Außerdem wird der zugewiesene Analyst (Name oder Rolle) angezeigt und es sind Steuerelemente für Chat, Fall schließen, Aktualisieren, Erkunden und das Menü Fallaktionen verfügbar.

Weitere Informationen finden Sie unter Was ist auf der Seite „Fälle“ zu sehen?

Tab „Anfrage“

Jeder Fall enthält mehrere Tabs, die Analysten dabei helfen, Falldaten zu prüfen, zu untersuchen und darauf zu reagieren. Auf diesen Tabs werden wichtige Informationen wie Zusammenfassungen, detaillierte Logs und Warnungsdaten in einem einheitlichen, navigierbaren Format organisiert.

Tab „Fallübersicht“

Auf dem Tab Fallübersicht werden fallspezifische Widgets angezeigt, die vom Administrator konfiguriert wurden. Weitere Informationen finden Sie unter Tab „Fallübersicht“.

Tab „Fall-Repository“

Auf dem Tab Case Wall (Fall-Wall) wird ein chronologisches Protokoll aller fallbezogenen Ereignisse und Aktionen angezeigt, von der Erstellung bis zum Abschluss. Wenn Sie diesen Tab öffnen, können Sie fallbezogene Informationen wie Aufgaben, Nutzerkommentare, angepinnte Chatnachrichten, manuelle und Systemaktionen sowie Dateianhänge (bis zu 50 MB pro Datei) ansehen. Jeder Inhaltstyp wird durch ein Symbol im oberen Bereich der Fallübersicht dargestellt.

Auf diesem Tab haben Sie folgende Möglichkeiten:

• Klicken Sie auf Mehr anzeigen, um sowohl die Ergebnisse der Standard-Benutzeroberfläche als auch die entsprechenden JSON-Daten aufzurufen.
• Wenn Sie Ereignisdetails aufrufen möchten, klicken Sie auf eines oder mehrere der Ereignissymbole.
• Wenn Sie Ereignisse für alle Benachrichtigungen im Fall aufrufen möchten, wählen Sie Alle Benachrichtigungen aus.

Symbol	Beschreibung
	Hier werden Aktionen, die für Benachrichtigungen ausgeführt wurden, in einer Tabelle angezeigt. Dazu gehören der Aktionsname, der Zeitstempel, der Benachrichtigungsname, das Ergebnis und der Status (Abgeschlossen oder Fehler). Klicken Sie auf Mehr anzeigen, um die Ergebnisse, Parameter und betroffenen Einheiten zu maximieren. Klicken Sie auf Weniger anzeigen, um die Ansicht zu minimieren.
	Hier werden alle vom System und von Nutzern generierten Änderungen des Fallstatus angezeigt, z. B. Aktualisierungen des Titels, der Phase, der Priorität, der Zuweisung und des Abschlusses.
	Hier werden aufgabenbezogene Aktivitäten angezeigt. Wenn eine Aufgabe erledigt ist, klicken Sie auf Aufgabe erledigen. Der Status wird zusammen mit einem Zeitstempel und Ihren Kommentaren auf Abgeschlossen aktualisiert.
	Hier werden Kommentare angezeigt, die manuell oder durch die Aktion Fallkommentar hinzugefügt wurden.
	Hier werden angepinnte Nachrichten aus dem Dialogfeld Sofortnachricht angezeigt.
	Hier werden Elemente angezeigt, die im Fall‑Repository als Favoriten markiert sind. Klicken Sie dazu auf das gelbe Sternsymbol.
	Sortiert Ereignisprotokolle nach Zeitstempel, entweder vom neuesten zum ältesten oder vom ältesten zum neuesten.
	Hier werden allgemeine Statistiken und Warnungen zum Fall und zu den zugehörigen Entitäten angezeigt.

• Tab Benachrichtigungsübersicht: Hier werden alle mit dem Fall verknüpften Benachrichtigungen aufgeführt, einschließlich der zugehörigen Ereignisse und Metadaten. Auf diesem Tab finden Sie wichtige Informationen und Ereignisse im Zusammenhang mit dem Fall.
• In der Fallwarteschlange, die jede Minute automatisch aktualisiert wird, sind alle aktuellen Fälle aufgeführt. Sie können sie nach Bedarf manuell aktualisieren, sortieren, filtern, hinzufügen oder schließen.

Playbook-Automatisierung

Playbooks sind vordefinierte Aktionssätze, mit denen Informationen aus internen und externen Warnquellen erfasst werden. Anschließend treffen sie Entscheidungen darüber, wie sie mit diesen Benachrichtigungen umgehen oder Vorgänge auf Remote-Systemen ausführen, z. B. einen Firewall-Port blockieren oder einen Active Directory-Nutzer deaktivieren. Google SecOps führt diese Aktionen automatisch oder halbautomatisch basierend auf den Playbook-Triggern bei jeder Benachrichtigungsauslösung aus.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten