Korrelierte Bedrohungen – Übersicht

Mit der Funktion „Korrelierte Bedrohungen“ im Security Command Center können Sie kritische aktive Bedrohungen in Ihrer Umgebung aufdecken. Die Ausgabe von „Correlated Threats“ umfasst eine Reihe von zusammenhängenden Bedrohungsbefunden und detaillierte Erklärungen dazu. Anhand dieser Informationen können Sie die Bedrohungen priorisieren, nachvollziehen und darauf reagieren.

Sicherheitsteams sind oft von der überwältigenden Anzahl von Bedrohungsbefunden überfordert. Das kann dazu führen, dass Antworten nicht oder erst verspätet eingehen. Diese Teams benötigen schnell priorisierte und relevante Informationen, um Aktivitäten nach einem Exploit zu erkennen.

Korrelierte Bedrohungen helfen, indem mehrere zusammenhängende Bedrohungsbefunde in einem Problem zusammengefasst werden. Durch diese Aggregation können Sie sich auf die erkannten Probleme verlassen und entsprechende Maßnahmen ergreifen. Bei „Correlated Threats“ wird ein Problem generiert, das eine Reihe von zusammenhängenden schädlichen Aktivitäten darstellt.

Dieses Feature bietet mehrere Vorteile:

  • Warnungsmüdigkeit wird reduziert, da zahlreiche Ergebnisse in kritischen Problemen zusammengefasst werden.
  • Die Erkennungsgenauigkeit wird durch die Kombination mehrerer Signale verbessert, was dazu beiträgt, schädliche Aktivitäten zuverlässiger zu erkennen.
  • Hier wird die Angriffskette visualisiert und gezeigt, wie Ereignisse zusammenhängen, um eine vollständige Angriffschronik zu erstellen. So können Sie die Schritte von Angreifern vorhersehen und kompromittierte Assets schnell identifizieren.
  • Sie hebt kritische Bedrohungen hervor und gibt klare Empfehlungen, damit Sie Ihre Reaktion priorisieren und beschleunigen können.

Funktionsweise von korrelierten Bedrohungen

Bei der Funktion „Korrelierte Bedrohungen“ werden verwandte Sicherheitsergebnisse mithilfe einer Regelausführungsumgebung identifiziert und gruppiert.

Die Regeln-Engine fragt den Sicherheitsgraph mit vordefinierten Abfragen für korrelierte Bedrohungen ab. Die Engine erstellt dann Probleme, wenn ein Muster erkannt wird. Security Command Center verwaltet den Lebenszyklus dieser Probleme.

Lebenszyklus von Problemen

Ein Problem bleibt 14 Tage nach dem ersten Bedrohungsbefund aktiv, wenn Sie den Status nicht auf INACTIVE festlegen. Dieser Zeitraum kann nicht geändert werden. Bei korrelierten Bedrohungen wird der Problemstatus automatisch auf INACTIVE gesetzt, wenn die zugrunde liegenden Ressourcen wie VMs oder Google Kubernetes Engine-Knoten gelöscht werden.

Scan-Häufigkeit

Security Command Center verarbeitet Regeln für korrelierte Bedrohungen stündlich.

Regeln für korrelierte Bedrohungen

Mit korrelierten Bedrohungen lassen sich verschiedene mehrstufige Angriffsmuster für Cloud-Ressourcen erkennen. In der folgenden Tabelle werden die verfügbaren Regeln für korrelierte Bedrohungen definiert.

Regel Beschreibung
Mehrere korrelierte Bedrohungssignale von Kryptowährung-Mining-Software Suchen Sie nach mehreren unterschiedlichen Signalen für schädliche Software, die von Google Cloud virtuellen Maschinen stammen, einschließlich Compute Engine-VMs und Google Kubernetes Engine-Knoten (und deren Pods).

Beispiele:

  • VM Threat Detection erkennt ein Kryptowährungsprogramm und Event Threat Detection erkennt Verbindungen zu Kryptowährungs-IP-Adressen oder ‑Domains von derselben VM.
  • Container Threat Detection erkennt ein Programm, das das Stratum-Protokoll für das Mining von Kryptowährungen verwendet, und Event Threat Detection erkennt eine Verbindung zu einer IP-Adresse für das Mining von Kryptowährungen vom selben Google Kubernetes Engine-Knoten.
Mehrere korrelierte Bedrohungssignale für Malware Suchen Sie nach mehreren unterschiedlichen Signalen für schädliche Software, die von Google Cloud-VMs stammen, einschließlich Compute Engine-VMs und GKE-Knoten (und deren Pods) oder Agent Runtime.

Beispiele:

  • Container Threat Detection erkennt, ob sowohl eine schädliche Binärdatei als auch ein schädliches Python-Skript im selben Pod ausgeführt werden.
  • Event Threat Detection erkennt eine VM, die eine Verbindung zu einer Malware-IP-Adresse herstellt, und VM Threat Detection erkennt Malware auf dem Laufwerk in derselben VM.
  • Bei der Bedrohungserkennung für Agent Platform werden eine schädliche URL und ein Reverse-Shell-Angriff vom selben KI‑Agenten erkannt.
Potenziell manipulierter GCP-Konto-Seitwärtsbewegung zu einer manipulierten Rechenressource Suchen Sie nach Hinweisen auf verdächtige Aufrufe von Compute-APIs (Compute Engine oder GKE), die eine VM oder einen Pod ändern. Die Regel setzt diese Aktivität dann in Beziehung zu schädlichen Aktivitäten, die innerhalb eines kurzen Zeitraums von der Computeressource ausgehen. Angreifer verwenden dieses Muster für Lateral Movement häufig. Diese Regel weist darauf hin, dass die VM oder der Pod wahrscheinlich manipuliert wurde. Diese Regel weist auch darauf hin, dass das Google Cloud -Konto (Nutzer- oder Dienstkonto) möglicherweise die Ursache der schädlichen Aktivität ist.

Beispiele:

  • Event Threat Detection erkennt, dass ein Nutzer einer Compute Engine-Instanz einen neuen SSH-Schlüssel hinzugefügt hat, und VM Threat Detection erkennt, dass auf derselben Instanz ein Kryptowährung-Miner ausgeführt wird.
  • Event Threat Detection erkennt, dass ein Dienstkonto über die Compute Engine API aus dem Tor-Netzwerk auf eine Instanz zugegriffen hat, und Event Threat Detection erkennt Verbindungen zu einer schädlichen IP-Adresse von derselben Instanz.
  • Event Threat Detection erkennt, dass ein Nutzer einen privilegierten Container erstellt hat, und Container Threat Detection erkennt, dass der Container über denselben Pod auf sensible Dateien auf dem GKE-Knoten zugegriffen hat.

Korrelierte Bedrohungen untersuchen

„Correlated Threats“ führt Sie durch einen strukturierten Untersuchungsprozess. Dieser Prozess hilft Ihnen, Sicherheitsvorfälle effektiv zu verstehen und darauf zu reagieren. Im Index der Bedrohungsergebnisse finden Sie weitere Informationen zu einem bestimmten Bedrohungsergebnis. Auf jeder seitenbezogenen Seite wird beschrieben, wie Sie die Bedrohung untersuchen und darauf reagieren können.

Empfang

Sie erhalten über Security Command Center ein Problem mit korrelierten Bedrohungen. Dieses Problem weist darauf hin, dass das System mehrere verdächtige Ergebnisse erkannt und gruppiert hat. Sie erkennen dieses Problem als „Hohe Priorität“, da es als Aktive Bedrohung markiert ist. Die Korrelation mehrerer Signale deutet auf ein richtig positives Ergebnis hin, das sofortige Aufmerksamkeit erfordert. Weitere Informationen finden Sie unter Probleme verwalten und beheben.

Rückbau

Öffnen Sie das Problem, um die einzelnen Teile zu sehen. In der Ansicht mit den Problemdetails können Sie einen Abschnitt maximieren, um die einzelnen Ergebnisse zu sehen. Wenn beispielsweise ein schädliches Script auf einem GKE-Knoten ausgeführt wird und dann eine Verbindung zu einer schädlichen IP-Adresse herstellt, werden beide Ereignisse zusammen angezeigt. Sehen Sie sich die Details der einzelnen Ergebnisse an, z. B. wann sie aufgetreten sind, welche Prozesse beteiligt waren, die schädlichen IP-Adressen und wo die Erkennung erfolgt ist. Diese Informationen deuten darauf hin, dass die Ereignisse möglicherweise zusammenhängen, und enthalten die technischen Details des Angriffs. Eine chronologische Ansicht zeigt die Abfolge der Ereignisse. Das System ordnet diese Details den Phasen der MITRE ATT&CK-Angriffskette zu und stellt sie in einer Visualisierung der Angriffskette dar. Mit dieser Funktion erhalten Sie sofort Kontext zur Angriffsphase.

Bereichsidentifikation

Bestimmen Sie das Ausmaß der Bedrohung. Sehen Sie sich Kontextinformationen zu den korrelierten Ereignissen an, z. B. das betroffene Asset und den Projekt- oder Clusterkontext. Die Plattform korreliert Probleme nach Ressource und verwendet eindeutige Kennungen, um Ereignisse demselben Knoten zuzuordnen. Hier sehen Sie das betroffene Asset. Prüfen Sie, ob andere Assets ähnliche Anzeichen aufweisen. Notieren Sie sich die beteiligten Identitäten, z. B. das Dienstkonto oder den Nutzer, der das schädliche Skript ausgeführt hat. Diese eingeschränkte Ansicht hilft Ihnen, sich auf die betroffenen Systeme zu konzentrieren und zu bestätigen, ob der Vorfall lokal oder weit verbreitet ist.

Nächste Schritte

Das System kennzeichnet Probleme mit korrelierten Bedrohungen mit dem Schweregrad „Kritisch“. Empfohlene Maßnahmen finden Sie in den Ansichten Problemlösung. Das betroffene Asset eindämmen, z. B. durch Isolieren oder Herunterfahren des betroffenen GKE-Knotens. Folgen Sie Empfehlungen wie dem Blockieren der bekannten schädlichen IP-Adresse auf Firewall- oder Cloud-VPC-Ebene. Die empfohlenen Maßnahmen helfen Ihnen, schneller zu reagieren, den Vorfall einzudämmen und eine gezielte Untersuchung einzuleiten. Weitere Informationen zum Untersuchen von Bedrohungen finden Sie unter Bedrohungen untersuchen.

Nächste Schritte