En este documento, se abarcan los conceptos de casos en el nivel Enterprise de Security Command Center y se explica cómo trabajar con ellos.
Descripción general
En Security Command Center, usas casos para obtener detalles sobre los hallazgos, adjuntar guías a las alertas de hallazgos, aplicar respuestas automáticas ante amenazas y hacer un seguimiento de la corrección de problemas de seguridad.
Un hallazgo es un registro de un problema de seguridad que genera uno de los servicios de detección. En un caso, los hallazgos y otros problemas de seguridad se presentan como alertas, que se enriquecen con una guía que recopila información adicional. Siempre que sea posible, Security Command Center agrega alertas nuevas a los casos existentes, donde se agrupan con otras alertas relacionadas. Para obtener más detalles sobre los casos, consulta Descripción general de casos en la documentación de Google SecOps.
Flujo de hallazgos
En Security Command Center Enterprise, hay dos flujos para los hallazgos:
Los hallazgos de amenazas de Security Command Center pasan por el módulo de administración de eventos e información de seguridad (SIEM). Después de activar las reglas internas de SIEM, los hallazgos se convierten en alertas.
El conector recopila las alertas y las transfiere al módulo de organización, automatización y respuesta de seguridad (SOAR), donde las guías procesan y enriquecen las alertas que se agrupan en casos.
Los hallazgos de combinaciones tóxicas y los hallazgos relacionados de vulnerabilidades y parámetros de configuración incorrectos van directamente al módulo de SOAR. Después de que el conector de SCC Enterprise - Urgent Posture Findings transfiere y agrupa los hallazgos como alertas en casos, las guías procesan y enriquecen las alertas.
En Security Command Center Enterprise, el hallazgo de Security Command Center se convierte en una alerta de caso.
Investiga casos
Durante la transferencia, los hallazgos se agrupan en casos para que los especialistas en seguridad sepan qué priorizar.
Se agrupan varios hallazgos con los mismos parámetros en un caso. Para obtener más información sobre el mecanismo de agrupación de hallazgos, consulta Agrupa hallazgos en casos. Si usas un sistema de tickets, como Jira o ServiceNow, se crea un ticket en función de un caso, lo que significa que hay un ticket para todos los hallazgos de un caso.
Estado del hallazgo
Un hallazgo puede tener cualquiera de los siguientes estados:
Activo: El hallazgo está activo.
Silenciado: El hallazgo está activo y silenciado. Si todos los hallazgos de un caso están silenciados, el caso se cierra. Para obtener más información sobre cómo silenciar hallazgos en casos, consulta Silencia hallazgos en casos.
Cerrado: El hallazgo está inactivo.
El estado del hallazgo se muestra en el widget Estado del hallazgo de la pestaña Descripción general del caso y en el widget Resumen del hallazgo de una alerta.
Si realizas la integración en sistemas de tickets, habilita los trabajos de sincronización para mantener actualizada automáticamente la información sobre los hallazgos y sus estados, y sincronizar los datos de casos con los tickets pertinentes. Para obtener más información sobre la sincronización de datos de casos, consulta Habilita la sincronización de datos de casos.
Gravedad del hallazgo en comparación con la prioridad del caso
De forma predeterminada, todos los hallazgos contenidos en un caso poseen la misma severity
propiedad. Puedes
configurar los parámetros de configuración de agrupación
para
incluir hallazgos con diferentes niveles de gravedad en un caso.
La prioridad del caso se basa en la gravedad más alta del hallazgo. Cuando cambia la gravedad del hallazgo, Security Command Center actualiza automáticamente la prioridad del caso para que coincida con la propiedad de gravedad más alta entre todos los hallazgos de un caso. Silenciar hallazgos no afecta la prioridad del caso. Si un hallazgo silenciado posee la gravedad más alta, define la prioridad del caso.
En el siguiente ejemplo, la prioridad del Caso 1 es Crítica porque la gravedad del Hallazgo 3 (aunque esté silenciado) se establece en Crítica:
- Caso 1: Prioridad:
CRITICAL- Hallazgo 1, activo. Gravedad:
HIGH - Hallazgo 2, activo. Gravedad:
HIGH - Hallazgo 3, silenciado. Gravedad:
CRITICAL
- Hallazgo 1, activo. Gravedad:
En el siguiente ejemplo, la prioridad del Caso 2 es Alta porque la gravedad más alta de todos los hallazgos es Alta:
- Caso 2: Prioridad:
HIGH- Hallazgo 1, activo. Gravedad:
HIGH - Hallazgo 2, activo. Gravedad:
HIGH - Hallazgo 3, silenciado. Gravedad:
HIGH
- Hallazgo 1, activo. Gravedad:
Revisa casos
Para revisar un caso, sigue estos pasos:
- En la Google Cloud consola de, ve a Riesgo > Casos. Se abrirá la lista de casos.
- Selecciona un caso para revisarlo. Se abrirá la vista de casos, donde podrás encontrar un resumen de los hallazgos junto con toda la información sobre una alerta o la colección de alertas agrupadas en un caso seleccionado.
- Consulta la pestaña Muro de casos para obtener detalles sobre la actividad realizada en el caso y las alertas incluidas.
Ve a la pestaña Alerta para obtener una descripción general de un hallazgo.
La pestaña Alerta contiene la siguiente información:
- Lista de eventos de alertas
- Guías adjuntas a la alerta
- Descripción general de los hallazgos
- Información sobre el recurso afectado
- Opcional: Detalles del ticket
Integra con sistemas de tickets
De forma predeterminada, no se integra ningún sistema de tickets con Security Command Center Enterprise.
Los casos que contienen hallazgos de vulnerabilidades y parámetros de configuración incorrectos tienen tickets relacionados solo cuando integras y configuras el sistema de tickets. Si integras un sistema de tickets, Security Command Center Enterprise crea tickets en función de los casos de postura y reenvía toda la información recopilada por las guías al sistema de tickets mediante el trabajo de sincronización.
De forma predeterminada, los casos que contienen hallazgos de amenazas no tienen tickets relacionados, incluso cuando integras el sistema de tickets con tu instancia de Security Command Center Enterprise. Para usar tickets para tus casos de amenazas, personaliza las guías disponibles agregando una acción o crea guías nuevas.
Usuario asignado al caso en comparación con el usuario asignado al ticket
Cada hallazgo tiene un solo propietario de recurso en un momento determinado. El propietario del recurso se define con Google Cloud etiquetas, contactos esenciales o el valor del parámetro Fallback Owner configurado en el conector de SCC Enterprise - Urgent Posture Findings.
Si integras un sistema de tickets, el propietario del recurso es el usuario asignado al ticket de forma predeterminada. Para obtener más información sobre la asignación automática y manual de tickets, consulta Asigna tickets en función de los casos de postura.
El usuario asignado al ticket trabaja con los hallazgos para corregirlos.
El usuario asignado al caso trabaja con casos en Security Command Center Enterprise y no prioriza ni mitiga los hallazgos.
Por ejemplo, un usuario asignado al caso puede ser un administrador de amenazas o un especialista en seguridad que colabora con un ingeniero (usuario asignado al ticket) y verifica que se aborden todas las alertas de un caso. El usuario asignado al caso nunca trabaja con sistemas de tickets.
¿Qué sigue?
Para obtener más información sobre los casos, consulta los siguientes recursos en la documentación de Google SecOps:
- Pestaña Descripción general de casos
- ¿Qué hay en la página Casos?
- Cómo realizar una acción manual en un caso
- Cómo simular casos
- Trabaja con bloques de la guía.