Mengelola kasus

Didukung di:

Dokumen ini menguraikan berbagai tindakan yang dapat Anda lakukan pada kasus, termasuk memperbarui status atau prioritasnya, mengelola pemberitahuan terkait, membuat laporan, dan mengambil tindakan individual atau massal untuk menyederhanakan penanganan kasus.

Menandai kasus sebagai penting

Jika ingin menandai kasus, Anda dapat menandainya sebagai penting. Anda juga dapat menghapus tag Penting dari menu yang sama.

Untuk menandai kasus sebagai penting, ikuti langkah-langkah berikut:

  • Klik format_list_bulleted Tindakan Kasus, pilih kasus yang akan diberi tag, lalu pilih Tandai sebagai penting; arrow_drop_up kuning akan muncul bersama kasus tersebut.

Menandai kasus sebagai Insiden

Jika kasus yang ditetapkan kepada Anda bersifat mendesak dan memerlukan tindakan segera, tandai sebagai Insiden. Tindakan ini akan otomatis:

  • Menetapkan prioritas kasus ke Kritis
  • Mengubah tahap kasus menjadi Insiden
  • Menetapkan kasus ke Pengelola SOC
  • Mengirim notifikasi ke semua analis

Untuk menandai kasus sebagai insiden, ikuti langkah-langkah berikut:

  1. Di halaman Kasus, buka kasus yang relevan.
  2. Klik format_list_bulleted Case Actions, lalu pilih Incident.
  3. Dalam dialog Konfirmasi, klik Ya. Halaman akan dimuat ulang dan insiden baru akan muncul dalam daftar kasus dengan ikon insiden dan sidebar penting berwarna merah. Kasus ini otomatis ditetapkan kepada pengguna dengan peran SOC Manager.

Mengubah tahap kasus

Jika Anda diberi kasus, Anda dapat memperbarui tahapannya, berdasarkan alur kerja tim Anda.

Untuk mengubah tahap kasus, ikuti langkah-langkah berikut:

  1. Pilih kasus dari antrean.
  2. Klik format_list_bulleted Case Actions, lalu pilih Stage.
  3. Pilih salah satu tahap berikut:
    • Triase: Fase awal saat kasus dibuat. Ini adalah setelan defaultnya.
    • Penilaian: Kasus dieskalasikan ke tingkat berikutnya untuk dievaluasi.
    • Investigation: Kasus ini ditetapkan untuk penyelidikan aktif terhadap pemberitahuan dan entity.
    • Peningkatan: Kasus ditandai untuk penyempurnaan aturan deteksi SOC atau peninjauan lanjutan.
    • Riset: Kasus ini ditugaskan untuk penyelidikan lebih mendalam terkait akses eksternal atau perilaku ancaman terhadap organisasi Anda.
    • Insiden: Tahap kasus akhir untuk peristiwa kritis. Setelah memilih Insiden, Anda tidak dapat mengubahnya.
  4. Klik Simpan.

Mengubah prioritas kasus

Untuk mengubah prioritas kasus, ikuti langkah-langkah berikut:

  1. Pilih kasus dari antrean.
  2. Klik format_list_bulleted Tindakan Kasus, lalu pilih Prioritas.
  3. Pilih salah satu tingkat berikut, yang masing-masing memiliki indikator warna casing yang sesuai:
    • Informatif (abu-abu)
    • Rendah (biru)
    • Sedang (kuning)
    • Tinggi (oranye)
    • Penting (merah)
  4. Klik Oke. Prioritas kasus diubah.
  5. Opsional: Klik sampel warna untuk mengubah warna batang kasus.

Mendownload laporan kasus

Anda dapat mendownload laporan kasus dalam format DOC, XLSX, atau CSV. Laporan mencakup detail berikut:

  • Detail kasus
  • Notifikasi, entity, dan insight
  • Aktivitas pengguna dan sistem
  • Tindakan playbook dan aktivitas kasus
  • Semua entri yang disertakan dalam dinding kasus

Untuk mendownload laporan, ikuti langkah-langkah berikut:

  1. Pilih kasus dari antrean.
  2. Klik format_list_bulleted Tindakan Kasus, lalu pilih Laporkan.
  3. Dalam dialog Pilih Jenis Laporan, pilih jenis file, lalu klik Pilih.
  4. Buka file yang didownload untuk melihat laporan.

Mengelola pemberitahuan dalam kasus

Untuk mengelola pemberitahuan tertentu dalam kasus, lakukan hal berikut:

  1. Di menu Opsi Pemberitahuan (dapat ditemukan di tab Pemberitahuan pada pengalaman lama, atau di panel samping/kanvas detail pemberitahuan pada pengalaman yang ditingkatkan), klik more_vert Opsi Pemberitahuan.
  2. Pilih salah satu opsi yang tersedia:
    • Pelajari Notifikasi: Untuk mengetahui informasi selengkapnya tentang halaman Hasil Notifikasi, klik Selidiki notifikasi.
    • Ingest alert as test case: Klik Ingest alert as test case untuk menambahkan kasus pengujian baru ke sistem. Sistem akan menandainya sebagai Kasus Pengujian untuk identifikasi. Notifikasi yang diserap akan dikecualikan dari dasbor dan laporan serta tidak dikelompokkan dengan notifikasi lain.
    • Ubah Prioritas: Sebaiknya ubah prioritas pemberitahuan, bukan prioritas kasus. Mengubah prioritas pemberitahuan tidak akan memengaruhi prioritas kasus. Untuk mengetahui informasi selengkapnya, lihat Mengubah prioritas pemberitahuan, bukan prioritas kasus.
    • Pindahkan Pemberitahuan: Jika Anda diberi kasus dengan beberapa pemberitahuan, Anda dapat Memindahkan Pemberitahuan ke kasus baru atau Memindahkan Pemberitahuan ke kasus yang ada. Jika Anda memilih Move Alert to existing case, pilih kasus tujuan dari menu, lalu klik Move.
    • Mengelola Aturan Deteksi Pemberitahuan: Hanya tersedia untuk pengguna Google Security Operations.
      • Jika aturan tersebut adalah aturan Google SecOps yang telah ditetapkan, sistem akan mengalihkan Anda ke halaman Rules Detection. Untuk mengetahui informasi selengkapnya, lihat Memfilter data dalam tampilan Deteksi Aturan.
      • Jika aturan tersebut adalah aturan pelanggan, sistem akan mengalihkan Anda ke halaman Editor Aturan. Untuk mengetahui informasi selengkapnya, lihat Mengelola aturan menggunakan Editor Aturan.
      • Tutup Pemberitahuan: Menutup pemberitahuan dalam kasus. Pilih nilai dari kolom Reason, Root Cause, atau Usefulness.
        • Kolom Usefulness hanya muncul untuk pengguna Google SecOps dan membantu analis aturan mendapatkan masukan yang lebih akurat tentang aturan pemberitahuan dari input pelanggan.
        • Notifikasi yang ditutup dalam kasus akan tampak tidak tersedia dan menampilkan tag Ditutup. Anda hanya dapat menutup pemberitahuan jika ada pemberitahuan lain dalam kasus dan kasus tersebut ditetapkan kepada Anda.
      • Tambahkan Entity: Tambahkan entity yang ada atau baru secara manual ke pemberitahuan.

Menjalankan tindakan manual dalam kasus

Tindakan manual dan tindakan playbook akan tersedia setelah Anda menginstal integrasi yang sesuai dari Content Hub.

Untuk menjalankan tindakan manual dalam kasus, ikuti langkah-langkah berikut:

  1. Dalam kasus yang dipilih, klik manualactionicon Tindakan Manual.
  2. Dalam dialog Tindakan Manual, pilih tindakan yang diperlukan. Misalnya, pilih VirusTotalV3 > Enrich URL. Masukkan informasi yang diperlukan.
  3. Pilih pemberitahuan dan entitas yang akan diterapkan tindakan.
  4. Klik Execute untuk menampilkan detail tindakan di dinding kasus.

Menyimulasikan kasus di Google SecOps

Anda dapat menyimulasikan kasus yang diisi dengan pemberitahuan default yang dihasilkan sistem. Kasus simulasi berguna di lingkungan staging atau untuk demonstrasi.

Anda juga dapat membuat kasus kustom atau mengimpor kasus yang ada dalam format JSON menggunakan file dengan akhiran `.CASE`.

Untuk menyimulasikan kasus, ikuti langkah-langkah berikut:

  1. Di header Case queue, klik Add a Case, lalu pilih Simulate Cases.
  2. Dalam dialog Simulate Cases, pilih kasus dari daftar.
  3. Klik Create.

Buat kasus baru

Untuk membuat kasus simulasi baru, ikuti langkah-langkah berikut:

  1. Dalam dialog Simulate Cases, klik Add or import case, lalu klik Add New Case.
  2. Dalam dialog Add New Case, masukkan Source/SIEM Name, Rule Name (Rule Generator), Alert Product, Alert Name, Nama peristiwa
  3. Secara opsional, Anda juga dapat memberikan:
    • Kolom Pemberitahuan Tambahan
    • Kolom Peristiwa Tambahan
  4. Klik Simpan. Kasus akan muncul dalam daftar Simulate Cases.
  5. Pilih kasus yang baru dibuat, lalu klik Create.
  6. Pilih lingkungan target, lalu klik Simulate. Kasus baru akan muncul dalam antrean.

Mengimpor kasus ke file JSON

Untuk mengimpor kasus ke file JSON, ikuti langkah-langkah berikut:

  1. Dalam dialog Simulate Cases, klik Add or import case, lalu klik Import Case.
  2. Pilih kasus yang diperlukan, lalu klik Buka. Kasus diimpor dalam format JSON.

Melakukan tindakan batch pada beberapa kasus

Anda dapat melakukan tindakan batch pada beberapa kasus dari antrean kasus atau halaman Penelusuran.

Tindakan batch yang tersedia meliputi:

  • Ekspor ke CSV: Mendownload daftar kasus yang dipilih dan metadatanya dalam format CSV untuk ditinjau atau dilaporkan secara offline.
  • Tutup kasus: Anda dapat menutup kasus menggunakan berbagai opsi antarmuka, termasuk halaman detail kasus, antrean kasus (tampilan berdampingan dan tampilan daftar), dan halaman Penelusuran. Anda dapat menutup kasus setelah masalahnya diselesaikan.
  • Buka kembali kasus: Membuka kembali kasus yang sebelumnya ditutup untuk melanjutkan investigasi atau tindakan tindak lanjut.
  • Ubah prioritas: Memperbarui tingkat prioritas (Rendah, Sedang, Tinggi, atau Kritis) kasus yang dipilih untuk mencerminkan urgensi atau tingkat keparahan.
  • Menetapkan kasus: Menetapkan kasus kepada pengguna atau grup tertentu untuk penyelidikan lebih lanjut.
  • Tambahkan tag: Menerapkan satu atau beberapa tag ke kasus yang dipilih untuk mendukung pemfilteran, kategorisasi, atau aturan otomatisasi.
  • Menggabungkan kasus: Menggabungkan beberapa kasus terkait menjadi satu kasus untuk mengurangi duplikasi dan memusatkan investigasi.
  • Ubah tahap: Memperbarui tahap kasus yang dipilih untuk mencerminkan progres atau statusnya.

Untuk melakukan tindakan batch, ikuti langkah-langkah berikut:

  1. Buka Investigation, lalu klik SOAR Search (atau buka antrean kasus di halaman Cases).
  2. Pilih jangka waktu untuk kasus yang relevan.
  3. Pilih kasus menggunakan filter yang diperlukan.
  4. Centang kotak untuk menerapkan filter yang relevan > Terapkan.
  5. Dalam daftar Hasil, centang kotak untuk kasus yang ingin Anda ubah.
  6. Pilih tindakan dari menu Hasil Penelusuran.

Tindakan cepat

Widget Tindakan Cepat memungkinkan Anda menentukan tindakan yang dapat digunakan kembali dan dapat Anda jalankan langsung dari kasus dan pemberitahuan. Anda dapat menambahkan widget ini ke tampilan kasus, tampilan notifikasi, dan tampilan notifikasi kustom di playbook dalam pengalaman lama dan yang ditingkatkan.

Menentukan parameter untuk Tindakan Cepat bersifat opsional. Jika disediakan, Anda dapat meninjau dan mengubahnya sebelum eksekusi. Jika dibiarkan kosong, parameter harus diisi saat runtime.

Jika integrasi dihapus setelah Tindakan Cepat dikonfigurasi, tombol Tindakan Cepat yang sesuai akan disembunyikan, dan widget akan ditandai dalam tampilan konfigurasi untuk menunjukkan integrasi yang tidak ada.

Untuk mengetahui petunjuk penyiapan, lihat referensi berikut:

Kasus penggunaan: Mengonfigurasi Tindakan Cepat untuk investigasi file berbahaya

Kasus penggunaan ini menunjukkan cara membuat Tindakan Cepat yang membantu menyelidiki file yang berpotensi berbahaya dalam sebuah kasus.

Menambahkan widget Tindakan Cepat

  1. Buka Setelan > Investigasi > Tampilan.
  2. Pilih Default Case View.
  3. Pilih tab General.
  4. Tarik widget Tindakan Cepat ke Default Case View.

Mengonfigurasi widget

  1. Klik settings Configuration.
  2. Di panel samping Tindakan Cepat, masukkan File Investigation untuk judul widget.
  3. Untuk deskripsi widget, masukkan Quickly scan file hashes.
  4. Opsional: pilih lebar widget.
  5. Klik Setelan Lanjutan.
  6. Di bagian Conditions, tentukan kriteria untuk menampilkan widget. Untuk menampilkan widget hanya saat kasus diberi tag dengan malicious-file, gunakan kondisi Case.Tags berisi malicious-file.

Menambahkan tombol Scan Hash

  1. Di Text, Anda dapat memberikan petunjuk atau konteks langsung dalam widget. Untuk kasus penggunaan ini, tambahkan teks berikut: Use the 'Scan Hash' button to check suspicious files.
  2. Di Buttons, klik + Add New Button untuk membuat Tindakan Cepat baru. Anda dapat menambahkan hingga enam tombol, yang masing-masing sesuai dengan Tindakan Cepat yang berbeda.
  3. Dalam dialog Add Button yang muncul, konfigurasikan Tindakan Cepat (Scan Hash):
    • Name: Scan Hash
    • Warna Tombol: Pilih warna.
    • Action: Pilih Scan Hash dari bagian VirusTotal di daftar Action.
    • Opsional: pilih Instance yang relevan untuk VirusTotal.
    • Opsional: di Parameters, tentukan parameter Hash:
      Hash: [Case.FileHash]
  4. Dalam dialog Add Button, klik Close.
  5. Di panel samping Tindakan Cepat, klik Simpan.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.