Descripción general de las amenazas correlacionadas

La función Amenazas correlacionadas de Security Command Center te ayuda a descubrir amenazas activas críticas en tu entorno. Correlated Threats genera un conjunto de hallazgos de amenazas relacionados y proporciona explicaciones detalladas sobre estos hallazgos, que luego puedes usar para priorizar, comprender y responder a estas amenazas.

Los equipos de seguridad suelen experimentar fatiga por alertas debido a la administración de una cantidad abrumadora de hallazgos de amenazas. Esta situación puede provocar que se pierdan o se retrasen las respuestas. Estos equipos requieren información priorizada y pertinente con rapidez para identificar la actividad posterior a la explotación.

Las amenazas correlacionadas ayudan a agregar varios hallazgos de amenazas relacionados en un problema. Esta agregación ayuda a proporcionar detecciones de mayor confianza sobre las que puedes actuar. Amenazas correlacionadas genera un problema, que representa una serie de actividades maliciosas relacionadas.

Esta función ofrece varios beneficios:

  • Reduce la fatiga por alertas, ya que consolida numerosos hallazgos en problemas críticos.
  • Mejora la fidelidad de la detección combinando varias señales, lo que ayuda a aumentar la confianza en la detección de actividad maliciosa.
  • Proporciona una visualización de la cadena de ataque, que muestra cómo se conectan los eventos para ayudar a formar una historia de ataque completa. Este enfoque te ayuda a anticipar los movimientos de los adversarios y a identificar rápidamente los recursos vulnerados.
  • Destaca las amenazas críticas y proporciona recomendaciones claras para ayudarte a priorizar y acelerar tu respuesta.

Cómo funcionan las amenazas correlacionadas

La función Amenazas correlacionadas usa un motor de reglas para identificar y agrupar los hallazgos de seguridad relacionados.

El motor de reglas consulta el gráfico de seguridad con consultas predefinidas de amenazas correlacionadas. Luego, el motor crea problemas cuando se identifica un patrón. Security Command Center administra el ciclo de vida de estos problemas.

Ciclo de vida de los problemas

Un problema permanece activo durante 14 días después del primer hallazgo de amenaza si no estableces el estado en INACTIVE. Este período no se puede cambiar. Las amenazas correlacionadas configuran automáticamente el estado del problema como INACTIVE si se borran los recursos subyacentes, como las VMs o los nodos de Google Kubernetes Engine.

Frecuencia de análisis

Security Command Center procesa las reglas de amenazas correlacionadas cada hora.

Reglas de amenazas correlacionadas

Las amenazas correlacionadas ayudan a identificar varios patrones de ataque de varias etapas en los recursos de la nube. En la siguiente tabla, se definen las reglas de amenazas correlacionadas disponibles.

Regla Descripción
Múltiples indicadores de amenazas correlacionados de software de minería de criptomonedas Busca varios indicadores distintos de software malicioso que provengan de máquinas virtuales de Google Cloud , incluidas las VMs de Compute Engine y los nodos de Google Kubernetes Engine (GKE) (y sus Pods).

Algunos ejemplos son los siguientes:

  • VM Threat Detection detecta un programa de criptomonedas y Event Threat Detection detecta conexiones a direcciones IP o dominios de criptomonedas desde la misma VM.
  • Container Threat Detection detecta un programa que usa el protocolo de estrato de minería de criptomonedas, y Event Threat Detection detecta una conexión a una dirección IP de minería de criptomonedas desde el mismo nodo de Google Kubernetes Engine.
Múltiples indicadores de amenazas correlacionados de software malicioso Busca varios indicadores distintos de software malicioso que provengan de máquinas virtuales de Google Cloud, incluidas las VMs de Compute Engine y los nodos de GKE (y sus Pods) o Agent Runtime.

Algunos ejemplos son los siguientes:

  • Container Threat Detection detecta si se ejecutan un objeto binario malicioso y una secuencia de comandos de Python maliciosa en el mismo Pod.
  • Event Threat Detection detecta una VM que se conecta a una dirección IP de malware, y VM Threat Detection detecta malware en el disco de la misma VM.
  • Agent Platform Threat Detection detecta una URL maliciosa y una shell inversa del mismo agente de IA.
Movimiento lateral de una cuenta de GCP potencialmente comprometida a un recurso de cómputo comprometido Busca evidencia de llamadas sospechosas a las APIs de procesamiento (Compute Engine o GKE) que modifiquen una VM o un Pod. Luego, la regla correlaciona esa actividad con la actividad maliciosa que se origina en el recurso de procesamiento en un período breve. Los atacantes suelen usar este patrón de movimiento lateral. Esta regla indica que es probable que la VM o el Pod estén comprometidos. Esta regla también indica que la cuenta de Google Cloud (ya sea de usuario o de servicio) puede ser la causa de la actividad maliciosa.

Estos son algunos ejemplos:

  • Event Threat Detection detecta que un usuario agregó una clave SSH nueva a una instancia de Compute Engine, y VM Threat Detection detecta un minero de criptomonedas que se ejecuta en la misma instancia.
  • Event Threat Detection detecta que una cuenta de servicio accedió a una instancia con la API de Compute Engine desde la red de Tor, y Event Threat Detection detecta conexiones a una dirección IP maliciosa desde la misma instancia.
  • Event Threat Detection detecta que un usuario creó un contenedor con privilegios y Container Threat Detection detecta que el contenedor accedió a archivos sensibles en el nodo de GKE desde el mismo Pod.

Investiga las amenazas correlacionadas

En las siguientes secciones, se describe cómo investigar los problemas de amenazas correlacionadas. Para obtener información sobre cómo ver y solucionar problemas creados por las reglas de amenazas correlacionadas, consulta Administra y soluciona problemas.

Recepción

Recibes un problema de amenazas correlacionadas a través de Security Command Center. Este problema indica que el sistema detectó y agrupó varios hallazgos sospechosos. Reconoces que este problema es de alta prioridad, ya que está marcado como una amenaza activa. La correlación de varios indicadores señala un verdadero positivo que requiere atención inmediata. Para obtener más información, consulta Administra y corrige problemas.

Deconstrucción

Abre el problema para ver sus partes. En la vista de detalles del problema, puedes expandir una sección para ver los hallazgos individuales. Por ejemplo, si una secuencia de comandos dañina se ejecuta en un nodo de GKE y, luego, se conecta a una dirección IP maliciosa, ambos eventos aparecen juntos. Verifica los detalles de cada hallazgo, como cuándo ocurrió, qué procesos estuvieron involucrados, las direcciones IP maliciosas y de dónde provino la detección. Esta información indica que los eventos están potencialmente relacionados y explica los detalles técnicos del ataque. Una vista cronológica muestra la secuencia de eventos. El sistema asigna estos detalles a las etapas de la cadena de ataque de MITRE ATT&CK y los presenta en una visualización de la cadena de ataque. Esta función te brinda contexto inmediato sobre la etapa del ataque.

Identificación del alcance

Determinar el alcance de la amenaza Verifica la información contextual sobre los eventos correlacionados, como el recurso afectado y su contexto de proyecto o clúster. La plataforma correlaciona los problemas por recurso y usa identificadores únicos para vincular los eventos al mismo nodo. Aquí se muestra el recurso afectado. Verifica si otros activos muestran signos similares. Toma nota de las identidades involucradas, como la cuenta de servicio o el usuario que ejecutó la secuencia de comandos maliciosa. Esta vista con alcance te ayuda a enfocarte en los sistemas afectados y confirma si el incidente está localizado o generalizado.

Próximas acciones

El sistema marca los problemas de amenazas correlacionadas con una gravedad crítica. Puedes encontrar las acciones recomendadas en las vistas de Cómo corregir. Contén el recurso afectado, por ejemplo, aislando o cerrando el nodo de GKE afectado. Sigue las recomendaciones, como bloquear la IP maliciosa conocida a nivel del firewall o de la VPC de la nube. Las acciones recomendadas te ayudan a responder más rápido, contener el incidente y, además, iniciar una investigación enfocada. Para obtener más información sobre cómo investigar amenazas, consulta Cómo investigar amenazas.

¿Qué sigue?