Panoramica dell'indagine e della gestione dei casi

Supportata in:

Google SecOps SOAR

Google Security Operations importa gli avvisi da un'ampia gamma di origini. Ogni avviso include gli eventi di sicurezza sottostanti e gli indicatori chiave (come origini, destinazioni, artefatti), che vengono analizzati. Durante questa analisi, gli indicatori chiave, come gli IP di origine e di destinazione, gli hash dei file o gli account utente, vengono estratti e rappresentati come entità. Le entità sono oggetti persistenti nella piattaforma. Raccolgono dati di arricchimento, commenti degli analisti e contesto storico, consentendo agli analisti di monitorare il comportamento delle entità nel tempo e nei vari casi. Le entità vengono visualizzate anche nel canvas visivo per illustrare le relazioni nel panorama delle minacce.

Creazione e raggruppamento delle richieste

La pagina Richieste è il luogo in cui gli analisti possono esaminare gli avvisi in arrivo e gestire i flussi di lavoro degli incidenti. Gli analisti possono anche:

• Raggruppa automaticamente altri avvisi in casi esistenti in base a entità condivise e regole configurabili.
• Creare manualmente richieste o simulare richieste a scopo di test e formazione.

Intestazione e visualizzazioni della coda di richieste

Tutte le richieste attive provenienti da vari connettori vengono visualizzate nella coda delle richieste. La coda dei casi, aggiornata automaticamente ogni minuto, elenca tutti i casi attivi e ti consente di aggiornare, ordinare, filtrare, aggiungere o chiudere manualmente i casi in base alle esigenze.

Ogni voce della richiesta mostra i metadati chiave, ad esempio:

• Nome e ID univoco della richiesta
• Timestamp della richiesta
• Numero di avvisi associati
• Analista assegnato (con avatar)
• Priorità e fase della richiesta (facoltativo, a seconda della visualizzazione)

Gli analisti possono passare da una visualizzazione all'altra:

• Visualizzazione predefinita: mostra le schede delle richieste con le informazioni essenziali.
• Visualizzazione compatta: riduce l'impatto visivo per una scansione più rapida.
• Visualizzazione elenco: mostra tutte le richieste in formato tabella per operazioni collettive o filtri.

Barra superiore della richiesta

La barra superiore della richiesta mostra il contesto a livello di richiesta e le azioni disponibili, come segue:

• L'intestazione della coda dei casi mostra il titolo, l'ID, la priorità, la fase, il timestamp, l'ambiente di modifica e i tag del caso.
• Mostra anche l'analista assegnato (nome o ruolo) e include i controlli per Chat, Chiudi richiesta, Aggiorna, Esplora e il menu Azioni richiesta.

Per maggiori dettagli, consulta Cosa contiene la pagina Richieste?

Scheda Richiesta

Ogni richiesta include diverse schede che aiutano gli analisti a esaminare, analizzare e intervenire sui dati della richiesta. Queste schede organizzano le informazioni chiave, dai riepiloghi di alto livello ai log dettagliati e ai dati degli avvisi, in un formato coerente e navigabile.

Scheda Panoramica della richiesta

La scheda Panoramica casi mostra i widget specifici per i casi configurati dall'amministratore. Per maggiori dettagli, consulta Esplora la scheda Panoramica della richiesta.

Scheda Bacheca casi

La scheda Bacheca delle richieste mostra un log cronologico di tutti gli eventi e le azioni relativi alle richieste, dalla creazione alla chiusura. Quando apri questa scheda, puoi visualizzare le informazioni relative alla richiesta, come attività, commenti degli utenti, messaggi chat fissati, azioni manuali e di sistema, file allegati (fino a 50 MB per file) e tag di attività personalizzati. Ogni tipo di contenuto è rappresentato da un'icona nella sezione superiore della bacheca delle richieste.

Azioni che puoi eseguire con questa scheda:

• Fai clic su Visualizza altro per visualizzare sia i risultati della UI standard sia i dati JSON corrispondenti.
• Per visualizzare i dettagli dell'evento, fai clic su una o più icone degli eventi.
• Per visualizzare gli eventi per tutti gli avvisi della richiesta, seleziona Tutti.
• Filtra le attività nella bacheca casi in base ai tag attività personalizzati.

Icona	Descrizione
	Visualizza le azioni intraprese sugli avvisi in una tabella, inclusi il nome dell'azione, il timestamp, il nome dell'avviso, il risultato e lo stato (Completato o Non riuscito). Fai clic su Mostra altro per espandere i risultati, i parametri e le entità interessate. Fai clic su Mostra meno per comprimere la visualizzazione.
	Mostra tutte le modifiche allo stato della richiesta generate dal sistema e dall'utente, ad esempio gli aggiornamenti al titolo, alla fase, alla priorità, all'assegnazione e alla chiusura.
	Mostra l'attività relativa alle attività. Quando un'attività è completata, fai clic su Completa attività. Lo stato viene aggiornato in Completato insieme a un timestamp e ai tuoi commenti.
	Mostra i commenti aggiunti manualmente o tramite l'azione Commento alla richiesta.
	Visualizza i messaggi fissati dalla finestra di dialogo Messaggio immediato.
	Mostra gli elementi contrassegnati come preferiti nella bacheca casi facendo clic sull'icona a forma di stella gialla.
	Ordina i log eventi in base al timestamp, dal più recente al meno recente o viceversa.
	Mostra insight e avvisi generali sulla richiesta e sulle entità associate.

Collaborazione migliorata con il tagging delle attività della bacheca casi

Puoi contrassegnare e classificare manualmente le singole attività della bacheca delle richieste con tag personalizzati per migliorare la collaborazione, la visibilità e la rilevabilità all'interno del tuo team. Il tagging a livello di attività fornisce un monitoraggio granulare distinto dal tagging più ampio di avvisi o casi.

Puoi filtrare la bacheca delle richieste in base a uno o più tag di attività applicati per isolare rapidamente osservazioni forensi, passaggi di consegne del team o passaggi di correzione specifici.

Caso d'uso: se più team del tuo SOC collaborano a un incidente, puoi applicare tag specifici per i team alle attività pertinenti. Puoi quindi filtrare la bacheca delle richieste per visualizzare solo le azioni, i commenti o i risultati pertinenti per il tuo team.

Per saperne di più, consulta Aggiungi un tag a un'attività della bacheca delle richieste.

Scheda Panoramica degli avvisi

Elenca tutti gli avvisi collegati alla richiesta, inclusi gli eventi e i metadati associati. In questa scheda vengono visualizzati gli eventi e le informazioni cruciali associati alla richiesta.

Automazione dei playbook

I playbook sono insiemi predefiniti di azioni che raccolgono informazioni da origini di avvisi interne ed esterne. Quindi, prendono decisioni su come gestire questi avvisi o eseguire operazioni su sistemi remoti, come il blocco di una porta del firewall o la disattivazione di un utente di Active Directory. Google SecOps esegue queste azioni automaticamente o in modo semiautomatico in base ai trigger del playbook su qualsiasi importazione di avvisi.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.