Ringkasan investigasi dan pengelolaan kasus
Google Security Operations menyerap pemberitahuan dari berbagai sumber. Setiap notifikasi menyertakan peristiwa keamanan dan indikator utama yang mendasarinya (seperti sumber, tujuan, artefak), yang diuraikan dan dianalisis. Selama analisis ini, indikator utama—seperti IP sumber dan tujuan, hash file, atau akun pengguna—diekstraksi dan direpresentasikan sebagai entity. Entity adalah objek persisten di platform. Kasus mengumpulkan data pengayaan, komentar analis, dan konteks historis, sehingga analis dapat melacak perilaku entitas dari waktu ke waktu dan di berbagai kasus. Entity juga muncul di kanvas visual untuk membantu mengilustrasikan hubungan dalam lanskap ancaman.
Pembuatan dan pengelompokan kasus
Halaman Kasus adalah tempat analis dapat menyelidiki pemberitahuan yang masuk dan mengelola alur kerja insiden. Analis juga dapat:
- Mengelompokkan pemberitahuan tambahan secara otomatis ke dalam kasus yang ada berdasarkan entitas bersama dan aturan yang dapat dikonfigurasi.
- Membuat kasus secara manual atau menyimulasikan kasus untuk tujuan pengujian dan pelatihan.
Header dan tampilan antrean kasus
Semua kasus aktif dari berbagai konektor akan muncul dalam antrean kasus. Antrean kasus—yang otomatis diperbarui setiap menit—mencantumkan semua kasus aktif dan memungkinkan Anda memperbarui, mengurutkan, memfilter, menambahkan, atau menutup kasus secara manual sesuai kebutuhan.
Setiap entri kasus menampilkan metadata utama, seperti:
- Nama kasus dan ID unik
- Stempel waktu kasus
- Jumlah pemberitahuan terkait
- Analis yang ditugaskan (dengan avatar)
- Prioritas dan tahap kasus (opsional, bergantung pada tampilan)
Analis dapat beralih di antara tampilan berikut:
- Tampilan default: Menampilkan kartu kasus dengan informasi penting.
- Tampilan ringkas: Mengurangi jejak visual untuk pemindaian yang lebih cepat.
- Tampilan daftar: Menampilkan semua kasus dalam format tabel untuk operasi massal atau pemfilteran.
Panel atas casing
Panel Atas Kasus menampilkan konteks tingkat kasus dan tindakan yang tersedia, sebagai berikut:
- Header antrean kasus menampilkan judul kasus, ID, prioritas, tahap, stempel waktu, lingkungan perubahan, dan tag kasus.
- Panel ini juga menampilkan analis yang ditugaskan (nama atau peran), dan menyertakan kontrol untuk Chat, Close Case, Refresh, Explore, dan menu Case Actions.
Untuk mengetahui detailnya, lihat Apa yang ada di halaman Kasus?
Tab kasus
Setiap kasus mencakup beberapa tab yang membantu analis meninjau, menyelidiki, dan menindaklanjuti data kasus. Tab ini mengatur informasi penting—mulai dari ringkasan tingkat tinggi hingga log mendetail dan data pemberitahuan—ke dalam format yang konsisten dan mudah dijelajahi.
Tab ringkasan kasus
Tab Case Overview menampilkan widget khusus kasus yang dikonfigurasi oleh administrator. Untuk mengetahui detailnya, lihat Menjelajahi tab Ringkasan Kasus.
Tab Repositori Kasus
Tab Case Wall menampilkan log kronologis semua peristiwa dan tindakan terkait kasus, mulai dari pembuatan hingga penutupan. Saat membuka tab ini, Anda dapat melihat informasi terkait kasus seperti tugas, komentar pengguna, pesan chat yang disematkan, tindakan manual dan sistem, lampiran file (hingga 50 MB per file), dan tag aktivitas kustom. Setiap jenis konten diwakili oleh ikon di bagian atas Case Wall.
Tindakan yang dapat Anda lakukan dengan tab ini:
- Klik View More untuk menampilkan hasil UI standar dan data JSON yang sesuai.
- Untuk melihat detail peristiwa, klik satu atau beberapa ikon peristiwa.
- Untuk melihat peristiwa untuk semua notifikasi dalam kasus, pilih Semua.
- Memfilter aktivitas di Repositori Kasus menurut tag aktivitas kustom.
| Ikon | Deskripsi |
|---|---|
|
Menampilkan tindakan yang dilakukan pada notifikasi dalam tabel, termasuk nama tindakan, stempel waktu, nama notifikasi, hasil, dan status (Selesai atau Gagal). Klik Tampilkan Lainnya untuk meluaskan hasil, parameter, dan entitas yang terpengaruh. Klik Tampilkan Lebih Sedikit untuk menciutkan tampilan. |
|
Menampilkan semua perubahan status kasus yang dibuat oleh sistem dan pengguna, seperti pembaruan pada judul, tahap, prioritas, penetapan, dan penutupan. |
|
Menampilkan aktivitas terkait tugas. Setelah tugas selesai, klik Complete Task. Status akan diperbarui menjadi Completed beserta stempel waktu dan komentar Anda. |
|
Menampilkan komentar yang ditambahkan secara manual atau oleh tindakan Case Comment. |
|
Menampilkan pesan yang disematkan dari dialog Pesan Instan. |
|
Menampilkan item yang ditandai sebagai favorit di Repositori Kasus dengan mengklik ikon bintang kuning. |
|
Mengurutkan log peristiwa berdasarkan stempel waktu, baik dari yang terbaru hingga terlama atau terlama hingga terbaru. |
|
Menampilkan insight dan peringatan umum tentang kasus dan entity terkait. |
Kolaborasi yang ditingkatkan dengan pemberian tag aktivitas di Catatan Kasus
Anda dapat menandai dan mengategorikan setiap aktivitas Case Wall secara manual dengan tag kustom untuk meningkatkan kolaborasi, visibilitas, dan visibilitas di seluruh tim Anda. Pemberian tag di tingkat aktivitas memberikan pelacakan terperinci yang berbeda dari pemberian tag pemberitahuan atau kasus yang lebih luas.
Anda dapat memfilter Case Wall berdasarkan satu atau beberapa tag aktivitas yang diterapkan untuk mengisolasi pengamatan forensik, serah terima tim, atau langkah-langkah perbaikan tertentu dengan cepat.
Kasus penggunaan: Jika beberapa tim di SOC Anda berkolaborasi dalam suatu insiden, Anda dapat menerapkan tag khusus tim ke aktivitas yang relevan. Kemudian, Anda dapat memfilter Case Wall untuk hanya melihat tindakan, komentar, atau temuan yang relevan dengan tim Anda.
Untuk mengetahui informasi selengkapnya, lihat Menambahkan tag ke aktivitas Case Wall.
Tab Ringkasan Pemberitahuan
Mencantumkan semua pemberitahuan yang ditautkan ke kasus, termasuk peristiwa dan metadata terkait. Tab ini menampilkan informasi dan peristiwa penting yang terkait dengan kasus.
Otomatisasi playbook
Playbook adalah serangkaian tindakan yang telah ditetapkan sebelumnya yang mengumpulkan informasi dari sumber pemberitahuan internal dan eksternal. Kemudian, mereka membuat keputusan tentang cara menangani pemberitahuan ini atau melakukan operasi pada sistem jarak jauh, seperti memblokir port firewall atau menonaktifkan pengguna Active Directory. Google SecOps melakukan tindakan ini secara otomatis atau semi-otomatis berdasarkan pemicu playbook pada setiap penyerapan pemberitahuan.
Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.