Présentation de l'investigation et de la gestion des cas

Compatible avec :

Google Security Operations ingère des alertes provenant d'un large éventail de sources. Chaque alerte inclut les événements de sécurité sous-jacents et les indicateurs clés (tels que les sources, les destinations et les artefacts), qui sont analysés. Au cours de cette analyse, les indicateurs clés (tels que les adresses IP source et de destination, les hachages de fichiers ou les comptes utilisateur) sont extraits et représentés sous forme d'entités. Les entités sont des objets persistants de la plate-forme. Elles collectent des données d'enrichissement, des commentaires d'analystes et un contexte historique, ce qui permet aux analystes de suivre le comportement des entités au fil du temps et dans différents cas. Les entités apparaissent également sur le canevas visuel pour illustrer les relations dans le paysage des menaces.

Création et regroupement de demandes d'assistance

La page Demandes permet aux analystes d'examiner les alertes entrantes et de gérer les workflows d'incidents. Les analystes peuvent également :

  • Regroupez automatiquement les alertes supplémentaires dans des demandes existantes en fonction des entités partagées et des règles configurables.
  • Créez manuellement des cas ou simulez-en à des fins de test et de formation.

En-tête et vues de la file d'attente des demandes

Toutes les demandes actives provenant de différents connecteurs s'affichent dans la file d'attente des demandes. La file d'attente des demandes, actualisée automatiquement toutes les minutes, liste toutes les demandes actives et vous permet de les actualiser manuellement, de les trier, de les filtrer, d'en ajouter ou d'en fermer si nécessaire.

Chaque entrée de demande affiche des métadonnées clés, telles que :

  • Nom et identifiant unique de l'affaire
  • Code temporel de la demande
  • Nombre d'alertes associées
  • Analyste attribué (avec avatar)
  • Priorité et étape de la demande (facultatif, selon la vue)

Les analystes peuvent basculer entre les vues suivantes :

  • Vue par défaut : affiche les fiches de demande avec les informations essentielles.
  • Vue compacte : réduit l'encombrement visuel pour une analyse plus rapide.
  • Vue Liste : affiche toutes les demandes sous forme de tableau pour les opérations groupées ou le filtrage.

Barre supérieure de la demande

La barre supérieure de la demande affiche le contexte au niveau de la demande et les actions disponibles, comme suit :

Pour en savoir plus, consultez Que trouve-t-on sur la page "Cas" ?.

Onglet "Demande"

Chaque cas comprend plusieurs onglets qui aident les analystes à examiner les données du cas, à enquêter dessus et à prendre des mesures. Ces onglets organisent les informations clés (des résumés généraux aux journaux détaillés et aux données d'alerte) dans un format cohérent et navigable.

Onglet "Aperçu de la demande"

L'onglet Aperçu de la demande affiche les widgets spécifiques à la demande configurés par l'administrateur. Pour en savoir plus, consultez Explorer l'onglet "Aperçu de la demande".

Onglet "Mur des cas"

L'onglet Mur de la demande affiche un journal chronologique de tous les événements et actions liés à la demande, de sa création à sa clôture. Lorsque vous ouvrez cet onglet, vous pouvez afficher les informations liées à la demande, telles que les tâches, les commentaires des utilisateurs, les messages de chat épinglés, les actions manuelles et système, les pièces jointes (jusqu'à 50 Mo par fichier) et les tags d'activité personnalisés. Chaque type de contenu est représenté par une icône dans la section supérieure du mur de cas.

Actions réalisables avec cet onglet :

  • Cliquez sur Afficher plus pour afficher à la fois les résultats de l'UI standard et les données JSON correspondantes.
  • Pour afficher les détails d'un événement, cliquez sur une ou plusieurs icônes d'événement.
  • Pour afficher les événements de toutes les alertes de l'enquête, sélectionnez Toutes.
  • Filtrez les activités sur le mur des cas par tags d'activité personnalisés.
Icône Description
Icône Détails de l'action Affiche les actions effectuées sur les alertes dans un tableau, y compris le nom de l'action, le code temporel, le nom de l'alerte, le résultat et l'état (Terminé ou Échec).
Cliquez sur Afficher plus pour développer les résultats, les paramètres et les entités concernées. Cliquez sur Afficher moins pour réduire la vue.
Icône de changement d'état de la demande Affiche toutes les modifications d'état des demandes générées par le système et l'utilisateur, telles que les mises à jour du titre, de l'étape, de la priorité, de l'attribution et de la clôture.
Icône "Détails de la tâche" Affiche l'activité liée aux tâches. Lorsqu'une tâche est terminée, cliquez sur Terminer la tâche. L'état passe à Terminé, et un code temporel ainsi que vos commentaires sont ajoutés.
Icône de commentaire Affiche les commentaires ajoutés manuellement ou par l'action Commentaire de demande.
Icône de discussion épinglée Affiche les messages épinglés de la boîte de dialogue Message instantané.
Icône d'élément favori Affiche les éléments marqués comme favoris dans le mur des cas en cliquant sur l'icône en forme d'étoile jaune.
Icône de tri Trie les journaux d'événements par code temporel, du plus récent au plus ancien ou du plus ancien au plus récent.
Icône Insights Affiche des insights généraux et des avertissements concernant la demande et les entités associées.

Collaboration améliorée grâce au taggage des activités sur le mur des cas

Vous pouvez signaler et classer manuellement des activités individuelles du mur d'incidents à l'aide de tags personnalisés afin d'améliorer la collaboration, la visibilité et la visibilité au sein de votre équipe. Le taggage au niveau de l'activité permet un suivi précis, distinct du taggage plus général des alertes ou des demandes.

Vous pouvez filtrer le mur de l'incident en fonction d'un ou de plusieurs tags d'activité appliqués pour isoler rapidement des observations d'investigation, des transferts d'équipe ou des étapes de correction spécifiques.

Cas d'utilisation : si plusieurs équipes de votre SOC collaborent sur un incident, vous pouvez appliquer des tags spécifiques à l'équipe aux activités concernées. Vous pouvez ensuite filtrer le mur des demandes pour n'afficher que les actions, les commentaires ou les résultats pertinents pour votre équipe.

Pour en savoir plus, consultez Ajouter un tag à une activité du mur de demandes.

Onglet "Aperçu de l'alerte"

Répertorie toutes les alertes associées à la demande, y compris les événements et les métadonnées associés. Cet onglet affiche des informations et des événements essentiels associés à la demande.

Automatisation des playbooks

Les playbooks sont des ensembles d'actions prédéfinis qui collectent des informations à partir de sources d'alertes internes et externes. Ils décident ensuite de la manière de gérer ces alertes ou d'effectuer des opérations sur des systèmes distants, par exemple en bloquant un port de pare-feu ou en désactivant un utilisateur Active Directory. Google SecOps effectue ces actions automatiquement ou de manière semi-automatique en fonction des déclencheurs du playbook lors de l'ingestion d'une alerte.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.