Prüfung und Fallverwaltung – Übersicht

Unterstützt in:

Google SecOps SOAR

Google Security Operations erfasst Benachrichtigungen aus einer Vielzahl von Quellen. Jede Benachrichtigung enthält die zugrunde liegenden Sicherheitsereignisse und Schlüsselindikatoren (z. B. Quellen, Ziele, Artefakte), die geparst und analysiert werden. Während dieser Analyse werden wichtige Indikatoren wie Quell- und Ziel-IP-Adressen, Dateihashes oder Nutzerkonten extrahiert und als Entitäten dargestellt. Entitäten sind persistente Objekte auf der Plattform. Sie erfassen Anreicherungsdaten, Analystenkommentare und historischen Kontext, sodass Analysten das Verhalten von Entitäten im Zeitverlauf und über Fälle hinweg verfolgen können. Entitäten werden auch im visuellen Canvas angezeigt, um Beziehungen in der Bedrohungslandschaft zu veranschaulichen.

Erstellen und Gruppieren von Supportanfragen

Auf der Seite Fälle können Analysten eingehende Benachrichtigungen untersuchen und Vorfall-Workflows verwalten. Analysten können außerdem:

• Zusätzliche Benachrichtigungen werden automatisch anhand von gemeinsamen Entitäten und konfigurierbaren Regeln in vorhandenen Fällen zusammengefasst.
• Fälle manuell erstellen oder Fälle für Test- und Trainingszwecke simulieren.

Header und Ansichten der Fallwarteschlange

Alle aktiven Fälle aus verschiedenen Connectors werden in der Fallwarteschlange angezeigt. In der Fallwarteschlange, die jede Minute automatisch aktualisiert wird, werden alle aktiven Fälle aufgeführt. Sie können Fälle nach Bedarf manuell aktualisieren, sortieren, filtern, hinzufügen oder schließen.

Jeder Fall enthält wichtige Metadaten, z. B.:

• Name und eindeutige ID des Falls
• Zeitstempel des Falls
• Anzahl der verknüpften Benachrichtigungen
• Zugewiesener Analyst (mit Avatar)
• Fallpriorität und ‑phase (optional, je nach Ansicht)

Analysten können zwischen diesen Ansichten wechseln:

• Standardansicht: Zeigt Fallkarten mit wichtigen Informationen an.
• Kompakte Ansicht: Reduziert die visuelle Darstellung für schnelleres Scannen.
• Listenansicht: Hier werden alle Anfragen in einem Tabellenformat für Bulk-Vorgänge oder zum Filtern angezeigt.

Obere Leiste für Anfragen

In der oberen Leiste des Falls werden der Kontext auf Fallebene und die verfügbaren Aktionen angezeigt:

• In der Kopfzeile der Fallwarteschlange werden der Titel, die ID, die Priorität, die Phase, der Zeitstempel, die Änderungsumgebung und die Fall-Tags angezeigt.
• Außerdem werden der zugewiesene Analyst (Name oder Rolle) sowie Steuerelemente für Chat, Fall schließen, Aktualisieren, Erkunden und das Menü Fallaktionen angezeigt.

Weitere Informationen finden Sie unter Was ist auf der Seite „Anfragen“ zu sehen?.

Tab „Anfrage“

Jeder Fall enthält mehrere Tabs, mit denen Analysten Falldaten prüfen, untersuchen und darauf reagieren können. Auf diesen Tabs werden wichtige Informationen – von allgemeinen Zusammenfassungen bis hin zu detaillierten Logs und Benachrichtigungsdaten – in einem einheitlichen, navigierbaren Format organisiert.

Tab „Anfrageübersicht“

Auf dem Tab Fallübersicht werden fallspezifische Widgets angezeigt, die vom Administrator konfiguriert wurden. Weitere Informationen finden Sie unter Tab „Fallübersicht“.

Tab „Fall-Repository“

Auf dem Tab Fallpinnwand wird ein chronologisches Protokoll aller fallbezogenen Ereignisse und Aktionen angezeigt, von der Erstellung bis zum Abschluss. Wenn Sie diesen Tab öffnen, können Sie fallbezogene Informationen wie Aufgaben, Nutzerkommentare, angepinnte Chatnachrichten, manuelle und Systemaktionen, Dateianhänge (bis zu 50 MB pro Datei) und benutzerdefinierte Aktivitäts-Tags aufrufen. Jeder Inhaltstyp wird durch ein Symbol im oberen Bereich der Case Wall dargestellt.

Mögliche Aktionen auf diesem Tab:

• Klicken Sie auf Mehr anzeigen, um sowohl die Standard-UI-Ergebnisse als auch die entsprechenden JSON-Daten aufzurufen.
• Wenn du dir die Details zu einem Ereignis ansehen möchtest, klicke auf eines oder mehrere der Ereignissymbole.
• Wenn Sie Ereignisse für alle Benachrichtigungen im Fall aufrufen möchten, wählen Sie Alle aus.
• Filtern Sie Aktivitäten im Fall‑Repository nach benutzerdefinierten Aktivitäts-Tags.

Symbol	Beschreibung
	Zeigt Aktionen, die für Benachrichtigungen ausgeführt wurden, in einer Tabelle an, einschließlich Aktionsname, Zeitstempel, Benachrichtigungsname, Ergebnis und Status (Abgeschlossen oder Fehlerhaft). Klicken Sie auf Mehr anzeigen, um die Ergebnisse, Parameter und betroffenen Entitäten zu maximieren. Klicken Sie auf Weniger anzeigen, um die Ansicht zu minimieren.
	Zeigt alle system- und nutzergenerierten Änderungen des Fallstatus an, z. B. Aktualisierungen des Titels, der Phase, der Priorität, der Zuweisung und des Abschlusses.
	Zeigt aufgabenbezogene Aktivitäten an. Wenn eine Aufgabe erledigt ist, klicken Sie auf Aufgabe erledigt. Der Status wird auf Abgeschlossen aktualisiert und ein Zeitstempel sowie Ihre Kommentare werden hinzugefügt.
	Zeigt Kommentare an, die manuell oder über die Aktion Fallkommentar hinzugefügt wurden.
	Zeigt angepinnte Nachrichten aus dem Dialogfeld Sofortnachricht an.
	Zeigt Elemente an, die im Fall-Repository durch Klicken auf das gelbe Sternsymbol als Favoriten markiert wurden.
	Sortiert Ereignisprotokolle nach Zeitstempel, entweder vom neuesten zum ältesten oder vom ältesten zum neuesten.
	Zeigt allgemeine Statistiken und Warnungen zum Fall und zu den zugehörigen Entitäten an.

Bessere Zusammenarbeit durch Tagging von Aktivitäten im Fall-Repository

Sie können einzelne Case Wall-Aktivitäten manuell mit benutzerdefinierten Tags kennzeichnen und kategorisieren, um die Zusammenarbeit, Sichtbarkeit und Auffindbarkeit in Ihrem Team zu verbessern. Das Tagging auf Aktivitätsebene ermöglicht ein detailliertes Tracking, das sich von allgemeineren Tags für Warnungen oder Fälle unterscheidet.

Sie können die Fallübersicht nach einem oder mehreren angewendeten Aktivitäts-Tags filtern, um bestimmte forensische Beobachtungen, Teamübergaben oder Abhilfemaßnahmen schnell zu isolieren.

Anwendungsfall: Wenn mehrere Teams in Ihrem SOC an einem Vorfall zusammenarbeiten, können Sie teamspezifische Tags auf relevante Aktivitäten anwenden. Anschließend können Sie die Fallübersicht filtern, um nur die Aktionen, Kommentare oder Ergebnisse anzuzeigen, die für Ihr Team relevant sind.

Weitere Informationen finden Sie unter Tag zu einer Case Wall-Aktivität hinzufügen.

Tab „Benachrichtigungsübersicht“

Listet alle mit dem Fall verknüpften Benachrichtigungen auf, einschließlich zugehöriger Ereignisse und Metadaten. Auf diesem Tab werden wichtige Informationen und Ereignisse im Zusammenhang mit dem Fall angezeigt.

Playbook-Automatisierung

Playbooks sind vordefinierte Sätze von Aktionen, mit denen Informationen aus internen und externen Warnungsquellen erfasst werden. Anschließend entscheiden sie, wie mit diesen Benachrichtigungen umgegangen werden soll, oder führen Vorgänge auf Remotesystemen aus, z. B. das Blockieren eines Firewall-Ports oder das Deaktivieren eines Active Directory-Nutzers. Google SecOps führt diese Aktionen automatisch oder halbautomatisch aus, basierend auf den Playbook-Triggern bei jeder Benachrichtigungsaufnahme.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten