Korrelierte Bedrohungen – Übersicht

Mit der Funktion „Correlated Threats“ (Korrelierte Bedrohungen) im Security Command Center können Sie kritische aktive Bedrohungen in Ihrer Umgebung aufdecken. „Correlated Threats“ gibt eine Reihe von Ergebnissen zu verwandten Bedrohungen aus und bietet detaillierte Erklärungen zu diesen Ergebnissen. So können Sie diese Bedrohungen priorisieren, verstehen und darauf reagieren.

Sicherheitsteams leiden oft unter der Masse an Warnmeldungen, die durch die Verwaltung einer überwältigenden Anzahl von Ergebnissen zu Bedrohungen entstehen. Dies kann zu verpassten oder verzögerten Reaktionen führen. Diese Teams benötigen schnell priorisierte und relevante Informationen, um Aktivitäten nach der Ausnutzung einer Sicherheitslücke zu erkennen.

„Correlated Threats“ hilft dabei, indem mehrere verwandte Ergebnisse zu Bedrohungen zu einem Problem zusammengefasst werden. Diese Zusammenfassung ermöglicht Erkennungen mit höherer Zuverlässigkeit, auf die Sie reagieren können. „Correlated Threats“ generiert ein Problem, das eine Reihe von verwandten schädlichen Aktivitäten darstellt.

Dieses Feature bietet mehrere Vorteile:

  • Reduziert die Masse an Warnmeldungen, indem zahlreiche Ergebnisse zu kritischen Problemen zusammengefasst werden.
  • Verbessert die Erkennungsgenauigkeit durch die Kombination mehrerer Signale, wodurch die Zuverlässigkeit bei der Erkennung schädlicher Aktivitäten erhöht wird.
  • Bietet eine Visualisierung der Angriffskette, die zeigt, wie Ereignisse miteinander verbunden sind, um eine vollständige Angriffssituation zu ergeben. So können Sie die Schritte des Angreifers vorhersehen und kompromittierte Assets schnell identifizieren.
  • Hebt kritische Bedrohungen hervor und bietet klare Empfehlungen, damit Sie Ihre Reaktion priorisieren und beschleunigen können.

Funktionsweise von „Correlated Threats“

Die Funktion „Correlated Threats“ verwendet eine Regel-Engine, um verwandte Sicherheitsergebnisse zu identifizieren und zu gruppieren.

Die Regel-Engine fragt den Sicherheitsgraphen mit vordefinierten „Correlated Threats“-Abfragen ab. Anschließend werden Probleme erstellt, wenn ein Muster erkannt wird. Das Security Command Center verwaltet den Lebenszyklus dieser Probleme.

Lebenszyklus von Problemen

Ein Problem bleibt 14 Tage nach dem ersten Ergebnis zu einer Bedrohung aktiv, wenn Sie den Status nicht auf INACTIVE setzen. Dieser Zeitraum kann nicht geändert werden. „Correlated Threats“ setzt den Status des Problems automatisch auf INACTIVE, wenn die zugrunde liegenden Ressourcen wie VMs oder Google Kubernetes Engine-Knoten gelöscht werden.

Scanfrequenz

Das Security Command Center verarbeitet die Regeln für „Correlated Threats“ stündlich.

Regeln für „Correlated Threats“

„Correlated Threats“ hilft, verschiedene mehrstufige Angriffsmuster in Cloud-Ressourcen zu erkennen. In der folgenden Tabelle sind die verfügbaren Regeln für „Correlated Threats“ definiert.

Regel Beschreibung
Mehrere korrelierte Bedrohungssignale von Kryptowährung-Mining-Software Sucht nach mehreren unterschiedlichen Signalen von schädlicher Software, die von Google Cloud virtuellen Maschinen stammen, einschließlich Compute Engine-VMs und Google Kubernetes Engine-Knoten (GKE) (und deren Pods).

Beispiele:

  • VM Threat Detection erkennt ein Kryptowährungsprogramm und Event Threat Detection erkennt Verbindungen zu Kryptowährungs-IP-Adressen oder ‑Domains von derselben VM.
  • Container Threat Detection erkennt ein Programm, das das Kryptowährung-Mining-Stratum Protokoll verwendet, und Event Threat Detection erkennt eine Verbindung zu einer Kryptowährung-Mining-IP Adresse vom selben Google Kubernetes Engine-Knoten.
Mehrere korrelierte Bedrohungssignale von schädlicher Software Sucht nach mehreren unterschiedlichen Signalen von schädlicher Software, die von Google Cloudvirtuellen Maschinen stammen, einschließlich Compute Engine-VMs und GKE-Knoten (und deren Pods) oder Agent Runtime.

Beispiele:

  • Container Threat Detection erkennt, ob sowohl eine schädliche Binärdatei als auch ein schädliches Python-Skript im selben Pod ausgeführt werden.
  • Event Threat Detection erkennt eine VM, die eine Verbindung zu einer Malware-IP-Adresse herstellt, und VM Threat Detection erkennt Malware auf dem Laufwerk derselben VM.
  • Agent Platform Threat Detection erkennt eine schädliche URL und eine Reverse Shell vom selben KI-Agenten.
Potenziell kompromittiertes GCP-Konto, laterale Bewegung zu einer kompromittierten Rechenressource Sucht nach Hinweisen auf verdächtige Aufrufe von Compute APIs (Compute Engine oder GKE), die eine VM oder einen Pod ändern. Die Regel korreliert diese Aktivität dann mit schädlichen Aktivitäten, die innerhalb kurzer Zeit von der Rechenressource ausgehen. Angreifer verwenden dieses Muster der lateralen Bewegung häufig. Diese Regel gibt an, dass die VM oder Pod wahrscheinlich kompromittiert ist. Diese Regel gibt auch an, dass das Google Cloud Konto (entweder ein Nutzer- oder ein Dienstkonto) die Ursache für die schädliche Aktivität sein kann.

Beispiele:

  • Event Threat Detection erkennt, dass ein Nutzer einen neuen SSH-Schlüssel zu einer Compute Engine-Instanz hinzugefügt hat, und VM Threat Detection erkennt, dass auf derselben Instanz ein Kryptowährung-Miner ausgeführt wird.
  • Event Threat Detection erkennt, dass ein Dienstkonto über die Compute Engine API aus dem Tor-Netzwerk auf eine Instanz zugegriffen hat, und Event Threat Detection erkennt Verbindungen zu einer schädlichen IP-Adresse von derselben Instanz.
  • Event Threat Detection erkennt, dass ein Nutzer einen privilegierten Container erstellt hat und Container Threat Detection erkennt, dass der Container über denselben Pod auf sensible Dateien auf dem GKE-Knoten zugegriffen hat.

„Correlated Threats“ untersuchen

„Correlated Threats“ führt Sie durch einen strukturierten Untersuchungsprozess. Dieser Prozess hilft Ihnen, Sicherheitsvorfälle effektiv zu verstehen und darauf zu reagieren. Im Index der Ergebnisse zu Bedrohungen finden Sie weitere Informationen zu einem bestimmten Ergebnis. Auf jeder ergebnisspezifischen Seite wird beschrieben, wie Sie die Bedrohung untersuchen und darauf reagieren.

Empfang

Sie erhalten ein Problem zu „Correlated Threats“ über das Security Command Center. Dieses Problem gibt an, dass das System mehrere verdächtige Ergebnisse erkannt und gruppiert hat. Sie erkennen dieses Problem als hochprioritär, da es als Aktive Bedrohung gekennzeichnet ist. Die Korrelation mehrerer Signale deutet auf ein echtes positives Ergebnis hin, das sofortige Aufmerksamkeit erfordert. Weitere Informationen finden Sie unter Probleme verwalten und beheben issues.

Analyse

Öffnen Sie das Problem, um die einzelnen Teile zu sehen. In der Ansicht mit den Details zum Problem können Sie einen Abschnitt maximieren, um die einzelnen Ergebnisse zu sehen. Wenn beispielsweise ein schädliches Skript auf einem GKE-Knoten ausgeführt wird und dann eine Verbindung zu einer schädlichen IP-Adresse herstellt, werden beide Ereignisse zusammen angezeigt. Prüfen Sie die Details der einzelnen Ergebnisse, z. B. wann sie aufgetreten sind, welche Prozesse beteiligt waren, die schädlichen IP-Adressen und wo die Erkennung stattgefunden hat. Diese Informationen deuten darauf hin, dass die Ereignisse möglicherweise zusammenhängen, und erklären die technischen Details des Angriffs. In einer chronologischen Ansicht wird die Reihenfolge der Ereignisse angezeigt. Das System ordnet diese Details den Phasen der Angriffskette von MITRE ATT&CK zu und präsentiert sie in einer Visualisierung der Angriffskette. Mit dieser Funktion erhalten Sie sofort Kontext zur Angriffsphase.

Umfang identifizieren

Bestimmen Sie den Umfang der Bedrohung. Prüfen Sie die Kontextinformationen zu den korrelierten Ereignissen, z. B. das betroffene Asset und den zugehörigen Projekt- oder Clusterkontext. Die Plattform korreliert Probleme nach Ressource und verwendet eindeutige IDs, um Ereignisse demselben Knoten zuzuordnen. So wird das betroffene Asset angezeigt. Prüfen Sie, ob bei anderen Assets ähnliche Anzeichen auftreten. Notieren Sie sich die beteiligten Identitäten, z. B. das Dienstkonto oder den Nutzer, der das schädliche Skript ausgeführt hat. Diese eingeschränkte Ansicht hilft Ihnen, sich auf betroffene Systeme zu konzentrieren und zu bestätigen, ob der Vorfall lokalisiert oder weit verbreitet ist.

Nächste Schritte

Das System kennzeichnet Probleme zu „Correlated Threats“ mit der Schweregradstufe „Kritisch“. Empfohlene Maßnahmen finden Sie in den Ansichten So beheben Sie das Problem. Isolieren Sie das betroffene Asset, z. B. indem Sie den betroffenen GKE-Knoten isolieren oder herunterfahren. Folgen Sie den Empfehlungen, z. B. indem Sie die bekannte schädliche IP-Adresse auf Firewall- oder Cloud-VPC-Ebene blockieren. Die empfohlenen Maßnahmen helfen Ihnen, schneller zu reagieren, den Vorfall einzudämmen und eine gezielte Untersuchung einzuleiten. Weitere Informationen zur Untersuchung von Bedrohungen finden Sie unter Bedrohungen untersuchen.

Nächste Schritte