조사 및 케이스 관리 개요

다음에서 지원:

Google Security Operations는 다양한 소스의 알림을 수집합니다. 각 알림에는 기본 보안 이벤트와 주요 지표(예: 소스, 대상, 아티팩트)가 포함되며, 이러한 지표는 파싱 및 분석됩니다. 이 분석 중에 소스 및 대상 IP, 파일 해시, 사용자 계정과 같은 주요 지표가 추출되어 항목으로 표시됩니다. 항목은 플랫폼의 영구 객체입니다. 보강 데이터, 분석가 의견, 과거 컨텍스트를 수집하여 분석가가 시간 경과에 따라, 그리고 케이스 전반에서 항목 동작을 추적할 수 있도록 합니다. 항목은 위협 환경의 관계를 보여주는 데 도움이 되도록 시각적 캔버스에도 표시됩니다.

케이스 생성 및 그룹화

케이스 페이지는 분석가가 수신 알림을 조사하고 사고 워크플로를 관리할 수 있는 곳입니다. 분석가는 다음 작업도 수행할 수 있습니다.

  • 공유 항목 및 구성 가능한 규칙을 기반으로 추가 알림을 기존 케이스로 자동 그룹화합니다.
  • 테스트 및 교육 목적으로 케이스를 수동으로 만들거나 시뮬레이션합니다.

케이스 대기열 헤더 및 뷰

다양한 커넥터의 모든 활성 케이스가 케이스 대기열에 표시됩니다. 케이스 대기열은 1분마다 자동으로 새로고침되며, 모든 활성 케이스를 나열하고 필요에 따라 케이스를 수동으로 새로고침, 정렬, 필터링, 추가 또는 종료할 수 있습니다.

각 케이스 항목에는 다음과 같은 주요 메타데이터가 표시됩니다.

  • 케이스 이름 및 고유 ID
  • 케이스 타임스탬프
  • 연결된 알림 수
  • 할당된 분석가(아바타 포함)
  • 케이스 우선순위 및 단계(선택사항, 보기에 따라 다름)

분석가는 다음 보기 간에 전환할 수 있습니다.

  • 기본 뷰: 필수 정보가 포함된 케이스 카드를 표시합니다.
  • 간단히 보기: 시각적 공간을 줄여 더 빠르게 스캔할 수 있습니다.
  • 목록 보기: 일괄 작업 또는 필터링을 위해 모든 케이스를 표 형식으로 표시합니다.

케이스 상단 바

케이스 상단 바에는 다음과 같이 케이스 수준 컨텍스트와 사용 가능한 작업이 표시됩니다.

자세한 내용은 케이스 페이지에 있는 내용을 참고하세요.

케이스 탭

각 케이스에는 분석가가 케이스 데이터를 검토, 조사, 조치하는 데 도움이 되는 여러 탭이 포함되어 있습니다. 이러한 탭은 상위 수준 요약부터 세부 로그 및 알림 데이터에 이르기까지 주요 정보를 일관되고 탐색 가능한 형식으로 정리합니다.

케이스 개요 탭

케이스 개요 탭에는 관리자가 구성한 케이스별 위젯이 표시됩니다. 자세한 내용은 케이스 개요 탭 살펴보기를 참고하세요.

케이스 월 탭

케이스 월 탭에는 생성부터 종료까지 모든 케이스 관련 이벤트 및 작업의 연대순 로그가 표시됩니다. 이 탭을 열면 작업, 사용자 댓글, 고정된 채팅 메시지, 수동 및 시스템 작업, 파일 첨부(파일당 최대 50MB), 커스텀 활동 태그와 같은 케이스 관련 정보를 볼 수 있습니다. 각 콘텐츠 유형은 케이스 월 상단에 아이콘으로 표시됩니다.

이 탭에서 수행할 수 있는 작업:

  • 더보기를 클릭하여 표준 UI 결과와 해당 JSON 데이터를 모두 표시합니다.
  • 이벤트 세부정보를 보려면 이벤트 아이콘을 하나 이상 클릭합니다.
  • 케이스의 모든 알림에 대한 이벤트를 보려면 모두를 선택합니다.
  • 맞춤 활동 태그를 기준으로 케이스 월의 활동을 필터링합니다.
아이콘 설명
작업 세부정보 아이콘 작업 이름, 타임스탬프, 알림 이름, 결과, 상태(완료됨 또는 오류)를 포함하여 알림에 대해 수행된 작업을 표에 표시합니다.
더보기를 클릭하여 결과, 매개변수, 영향을 받는 항목을 펼칩니다. 간략히 보기를 클릭하여 보기를 접습니다.
케이스 상태 변경 아이콘 제목, 단계, 우선순위, 할당, 종료에 대한 업데이트와 같이 시스템 및 사용자가 생성한 모든 케이스 상태 변경사항을 표시합니다.
작업 세부정보 아이콘 할 일 관련 활동을 표시합니다. 작업이 완료되면 작업 완료를 클릭합니다. 상태가 타임스탬프 및 댓글과 함께 완료됨으로 업데이트됩니다.
댓글 아이콘 수동으로 추가되거나 케이스 댓글 작업으로 추가된 댓글을 표시합니다.
고정된 채팅 아이콘 채팅 메시지 대화상자에서 고정된 메시지를 표시합니다.
즐겨찾기 항목 아이콘 노란색 별표 아이콘을 클릭하여 케이스 월에서 즐겨찾기로 표시된 항목을 표시합니다.
정렬 아이콘 이벤트 로그를 타임스탬프를 기준으로 최신순 또는 오래된 순으로 정렬합니다.
통계 아이콘 케이스 및 관련 항목에 대한 일반적인 인사이트와 경고를 표시합니다.

케이스 월 활동 태그 지정을 통한 공동작업 개선

개별 Case Wall 활동에 커스텀 태그를 수동으로 지정하고 분류하여 팀 전체의 공동작업, 가시성, 검색 가능성을 개선할 수 있습니다. 활동 수준에서 태그를 지정하면 더 광범위한 알림 또는 케이스 태그 지정과 구분되는 세분화된 추적이 가능합니다.

하나 이상의 적용된 활동 태그로 케이스 벽을 필터링하여 특정 포렌식 관찰, 팀 핸드오프 또는 해결 단계를 빠르게 격리할 수 있습니다.

사용 사례: SOC의 여러 팀이 사고에 대해 공동작업하는 경우 관련 활동에 팀별 태그를 적용할 수 있습니다. 그런 다음 케이스 월을 필터링하여 팀과 관련된 작업, 댓글 또는 발견 사항만 보기 전용으로 볼 수 있습니다.

자세한 내용은 케이스 월 활동에 태그 추가를 참고하세요.

알림 개요 탭

연결된 이벤트 및 메타데이터를 포함하여 케이스에 연결된 모든 알림을 나열합니다. 이 탭에는 케이스와 관련된 중요한 정보와 이벤트가 표시됩니다.

플레이북 자동화

플레이북은 내부 및 외부 알림 소스에서 정보를 수집하는 사전 정의된 작업 집합입니다. 그런 다음 이러한 알림을 처리하는 방법이나 원격 시스템에서 방화벽 포트 차단 또는 Active Directory 사용자 사용 중지와 같은 작업을 수행하는 방법을 결정합니다. Google SecOps는 알림 수집 시 플레이북 트리거를 기반으로 이러한 작업을 자동 또는 반자동으로 수행합니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.