調査とケース管理の概要
Google Security Operations は、さまざまなソースからアラートを取り込みます。各アラートには、基盤となるセキュリティ イベントと主要なインジケーター（ソース、宛先、アーティファクトなど）が含まれ、これらが解析、分析されます。この分析では、送信元 IP と宛先 IP、ファイルハッシュ、ユーザー アカウントなどの主要なインジケーターが抽出され、エンティティとして表されます。エンティティは、プラットフォーム内の永続オブジェクトです。エンリッチメント データ、アナリストのコメント、履歴コンテキストを収集して、アナリストが時間の経過とともにケース全体でエンティティの動作を追跡できるようにします。エンティティはビジュアル キャンバスにも表示され、脅威の状況における関係を説明するのに役立ちます。
ケースの作成とグループ化
[ケース] ページでは、アナリストが受信アラートを調査し、インシデント ワークフローを管理できます。アナリストは次の操作も行えます。
- 共有エンティティと構成可能なルールに基づいて、追加のアラートを既存のケースに自動的にグループ化します。
- テストやトレーニングを目的として、ケースを手動で作成したり、ケースをシミュレートしたりします。
ケースキューのヘッダーとビュー
さまざまなコネクタからのすべてのアクティブなケースがケースキューに表示されます。ケースキューは 1 分ごとに自動的に更新され、すべてのアクティブなケースが一覧表示されます。必要に応じて、ケースの手動更新、並べ替え、フィルタ、追加、クローズを行うことができます。
各ケースエントリには、次のような主要なメタデータが表示されます。
- ケース名と一意の ID
- ケースのタイムスタンプ
- 関連するアラートの数
- 割り当てられたアナリスト（アバター付き）
- ケースの優先度とステージ（省略可、ビューによって異なる）
アナリストは、次のビューを切り替えることができます。
- デフォルト ビュー: 重要な情報を含むケースカードが表示されます。
- コンパクト表示: 視覚的なフットプリントを削減して、スキャンを高速化します。
- リスト表示: すべてのケースが表形式で表示されます。一括操作やフィルタリングを行う場合に便利です。
ケースの上部バー
ケースのトップバーには、次のようにケースレベルのコンテキストと使用可能なアクションが表示されます。
- ケースキューのヘッダーには、ケースのタイトル、ID、優先度、ステージ、タイムスタンプ、変更環境、ケースタグが表示されます。
- また、割り当てられたアナリスト（名前またはロール）が表示され、[チャット]、[ケースを閉じる]、[更新]、[探索]、[ケースのアクション] メニューのコントロールが含まれています。
詳しくは、[ケース] ページに記載されている内容をご覧ください。
[Case]（ケース）タブ
各ケースには、アナリストがケースデータを確認、調査、対応するのに役立つ複数のタブが含まれています。これらのタブでは、概要から詳細なログやアラートデータまで、重要な情報が一貫したナビゲーション可能な形式で整理されています。
[ケースの概要] タブ
[ケースの概要] タブには、管理者が構成したケース固有のウィジェットが表示されます。詳しくは、[ケースの概要] タブの詳細をご覧ください。
[Case Wall] タブ
[Case Wall] タブには、ケースの作成からクローズまで、ケースに関連するすべてのイベントとアクションのログが時系列で表示されます。このタブを開くと、タスク、ユーザー コメント、固定されたチャット メッセージ、手動アクションとシステム アクション、添付ファイル（ファイルあたり最大 50 MB）、カスタム アクティビティ タグなど、ケースに関連する情報を確認できます。各タイプのコンテンツは、ケースウォールの上部にあるアイコンで表されます。
このタブでできる操作:
- [View More] をクリックすると、標準の UI の結果と対応する JSON データの両方が表示されます。
- イベントの詳細を表示するには、1 つ以上のイベント アイコンをクリックします。
- ケース内のすべてのアラートのイベントを表示するには、[All] を選択します。
- カスタム アクティビティ タグでケースウォールのアクティビティをフィルタします。
| アイコン | 説明 |
|---|---|
|
アラートに対して実行されたアクションを、アクション名、タイムスタンプ、アラート名、結果、ステータス（[完了] または [失敗]）などの情報とともに表形式で表示します。 [Show More] をクリックして、結果、パラメータ、影響を受けるエンティティを展開します。[一部を表示] をクリックすると、ビューが閉じます。 |
|
タイトル、ステージ、優先度、割り当て、クローズの更新など、システムおよびユーザーが生成したすべてのケース ステータスの変更が表示されます。 |
|
タスク関連のアクティビティが表示されます。タスクが完了したら、[タスクを完了] をクリックします。ステータスが [完了] に更新され、タイムスタンプとコメントが表示されます。 |
|
手動で追加されたコメント、または [Case Comment] アクションによって追加されたコメントが表示されます。 |
|
[インスタント メッセージ] ダイアログから固定されたメッセージを表示します。 |
|
黄色のスターアイコンをクリックすると、ケースウォールでお気に入りとしてマークされたアイテムが表示されます。 |
|
イベントログをタイムスタンプ順（新しい順または古い順）に並べ替えます。 |
|
ケースと関連エンティティに関する一般的な分析情報と警告が表示されます。 |
ケースウォールのアクティビティ タグ付けによるコラボレーションの強化
カスタムタグを使用して、個々のケースウォール アクティビティを手動でフラグ付けして分類することで、チーム全体でコラボレーション、可視性、検出可能性を向上させることができます。アクティビティ レベルでタグ付けすると、より広範なアラートやケースのタグ付けとは異なる、きめ細かいトラッキングが可能になります。
適用された 1 つ以上のアクティビティ タグでケースウォールをフィルタして、特定のフォレンジック観察、チームの引き継ぎ、修復手順をすばやく分離できます。
ユースケース: SOC の複数のチームがインシデントで共同作業を行う場合は、関連するアクティビティにチーム固有のタグを適用できます。その後、ケースウォールをフィルタして、チームに関連するアクション、コメント、検出結果のみを表示できます。
詳しくは、ケースウォールのアクティビティにタグを追加するを参照してください。
[Alert Overview]（アラートの概要）タブ
関連するイベントやメタデータなど、ケースにリンクされているすべてのアラートを一覧表示します。このタブには、ケースに関連する重要な情報とイベントが表示されます。
ハンドブックの自動化
ハンドブックは、内部および外部のアラートソースから情報を収集する事前定義されたアクションのセットです。その後、これらのアラートの処理方法を決定したり、ファイアウォール ポートのブロックや Active Directory ユーザーの無効化など、リモート システムでオペレーションを実行したりします。Google SecOps は、アラートが取り込まれると、ハンドブックのトリガーに基づいて、これらのアクションを自動または半自動的に実行します。
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。