Panoramica delle minacce correlate

La funzionalità Minacce correlate di Security Command Center ti aiuta a scoprire minacce attive critiche nel tuo ambiente. Minacce correlate genera un insieme di risultati relativi alle minacce e fornisce spiegazioni approfondite su questi risultati, che puoi utilizzare per dare priorità, comprendere e rispondere a queste minacce.

I team di sicurezza spesso soffrono di "alert fatigue" a causa della gestione di un numero eccessivo di risultati relativi alle minacce. Questa situazione può portare a risposte mancate o ritardate. Questi team hanno bisogno di informazioni pertinenti e prioritarie in tempi rapidi per identificare le attività post-exploit.

Le minacce correlate aiutano ad aggregare più risultati relativi alle minacce in un problema. Questa aggregazione contribuisce a fornire rilevamenti con un livello di confidenza più elevato su cui puoi intervenire. Minacce correlate genera un problema, che rappresenta una serie di attività dannose correlate.

Questa funzionalità offre vari vantaggi:

  • Riduce l'affaticamento da avvisi consolidando numerosi risultati in problemi critici.
  • Migliora la fedeltà del rilevamento combinando più indicatori, contribuendo ad aumentare l'affidabilità nel rilevamento di attività dannose.
  • Fornisce una visualizzazione della catena di attacco, mostrando come gli eventi si collegano per contribuire a formare una storia completa dell'attacco. Questo approccio ti aiuta ad anticipare le mosse degli avversari e a identificare rapidamente gli asset compromessi.
  • Evidenzia le minacce critiche e fornisce consigli chiari, aiutandoti a dare priorità e ad accelerare la risposta.

Come funzionano le minacce correlate

La funzionalità Minacce correlate utilizza un motore di regole per identificare e raggruppare i risultati di sicurezza correlati.

Il motore delle regole esegue query sul grafo di sicurezza con query predefinite sulle minacce correlate. Il motore crea quindi i problemi quando viene identificato un pattern. Security Command Center gestisce il ciclo di vita di questi problemi.

Ciclo di vita dei problemi

Un problema rimane attivo per 14 giorni dopo il primo rilevamento della minaccia se non imposti lo stato su INACTIVE. Questo periodo di tempo non può essere modificato. Le minacce correlate impostano automaticamente lo stato del problema su INACTIVE se le risorse sottostanti, come le VM o i nodi Google Kubernetes Engine, vengono eliminate.

Frequenza di scansione

Security Command Center elabora le regole di minaccia correlata ogni ora.

Regole Correlated Threats

Le minacce correlate aiutano a identificare vari pattern di attacco multifase nelle risorse cloud. La tabella seguente definisce le regole disponibili per le minacce correlate.

Regola Descrizione
Più indicatori di minaccia correlati di software di mining di criptovalute Cerca più indicatori distinti di software dannoso provenienti dalle macchine virtuali Google Cloud , tra cui le VM di Compute Engine e i nodi di Google Kubernetes Engine (GKE) (e i relativi pod).

Alcuni esempi sono:

  • VM Threat Detection rileva un programma di criptovaluta ed Event Threat Detection rileva le connessioni agli indirizzi IP o ai domini di criptovaluta dalla stessa VM.
  • Container Threat Detection rileva un programma che utilizza il protocollo stratum di mining di criptovalute ed Event Threat Detection rileva una connessione a un indirizzo IP di mining di criptovalute dallo stesso nodo Google Kubernetes Engine.
Più indicatori di minaccia correlati di software dannoso Cerca più indicatori distinti di software dannoso provenienti dalle macchine virtuali Google Cloud, tra cui VM di Compute Engine e nodi GKE (e i relativi pod) o runtime dell'agente.

Alcuni esempi sono:

  • Container Threat Detection rileva se un file binario dannoso e uno script Python dannoso sono in esecuzione nello stesso pod.
  • Event Threat Detection rileva una VM che si connette a un indirizzo IP malware e VM Threat Detection rileva malware sul disco nella stessa VM.
  • Agent Platform Threat Detection rileva un URL dannoso e una reverse shell dallo stesso agente AI.
Movimento laterale dell'account GCP potenzialmente compromesso verso una risorsa di computing compromessa Cerca prove di chiamate sospette alle API di computing (Compute Engine o GKE) che modificano una VM o un pod. La regola mette quindi in correlazione questa attività con l'attività dannosa che ha origine dalla risorsa di computing entro un breve periodo. Gli utenti malintenzionati utilizzano comunemente questo pattern di movimento laterale. Questa regola indica che la VM o il pod sono probabilmente compromessi. Questa regola indica anche che l'account Google Cloud (utente o di account di servizio) potrebbe essere la causa dell'attività dannosa.

Alcuni esempi sono:

  • Event Threat Detection rileva che un utente ha aggiunto una nuova chiave SSH a un'istanza Compute Engine e VM Threat Detection rileva un miner di criptovalute in esecuzione sulla stessa istanza.
  • Event Threat Detection rileva che un account di servizio ha eseguito l'accesso a un'istanza utilizzando l'API Compute Engine dalla rete Tor ed Event Threat Detection rileva le connessioni a un indirizzo IP dannoso dalla stessa istanza.
  • Event Threat Detection rileva che un utente ha creato un container con privilegi e Container Threat Detection rileva che il container ha eseguito l'accesso a file sensibili sul nodo GKE dallo stesso pod.

Analizza le minacce correlate

Le sezioni seguenti descrivono come esaminare i problemi relativi alle minacce correlate. Per informazioni su come visualizzare e risolvere i problemi creati dalle regole di Correlated Threats, consulta Gestisci e risolvi i problemi.

Reception

Ricevi un problema di minacce correlate tramite Security Command Center. Questo problema indica che il sistema ha rilevato e raggruppato più risultati sospetti. Riconosci questo problema come ad alta priorità, perché è contrassegnato come Minaccia attiva. La correlazione di più indicatori indica un vero positivo che richiede un'attenzione immediata. Per saperne di più, consulta Gestisci e correggi i problemi.

Deconstruction

Apri il problema per visualizzarne le parti. Nella visualizzazione dei dettagli del problema, puoi espandere una sezione per visualizzare i singoli risultati. Ad esempio, se uno script dannoso viene eseguito su un nodo GKE e poi si connette a un indirizzo IP dannoso, entrambi gli eventi vengono visualizzati insieme. Controlla i dettagli di ogni risultato, ad esempio quando si è verificato, quali processi sono stati coinvolti, gli indirizzi IP dannosi e l'origine del rilevamento. Queste informazioni indicano che gli eventi sono potenzialmente correlati e spiegano i dettagli tecnici dell'attacco. Una visualizzazione cronologica mostra la sequenza degli eventi. Il sistema mappa questi dettagli alle fasi della catena di attacco MITRE ATT&CK e li presenta in una visualizzazione della catena di attacco. Questa funzionalità fornisce un contesto immediato sulla fase dell'attacco.

Identificazione dell'ambito

Determinare l'entità della minaccia. Controlla le informazioni contestuali sugli eventi correlati, come l'asset interessato e il contesto del progetto o del cluster. La piattaforma correla i problemi per risorsa, utilizzando identificatori univoci per collegare gli eventi allo stesso nodo. Mostra l'asset interessato. Verifica se altri asset mostrano segni simili. Prendi nota delle identità coinvolte, ad esempio il service account o l'utente che ha eseguito lo script dannoso. Questa visualizzazione mirata ti aiuta a concentrarti sui sistemi interessati e a confermare se l'incidente è localizzato o diffuso.

Azioni successive

Il sistema contrassegna i problemi di minaccia correlata con una gravità critica. Puoi trovare i comportamenti consigliati nelle visualizzazioni Come risolvere il problema. Contenere l'asset interessato, ad esempio isolando o arrestando il nodo GKE interessato. Segui i consigli, ad esempio blocca l'IP dannoso noto a livello di firewall o VPC cloud. Le azioni consigliate ti aiutano a rispondere più rapidamente, contenere l'incidente e avviare un'indagine mirata. Per saperne di più sull'indagine sulle minacce, consulta Come indagare sulle minacce.

Passaggi successivi