關聯威脅總覽

Security Command Center 的「關聯威脅」功能可協助您找出環境中的重大活躍威脅。「關聯威脅」會輸出一組相關威脅發現項目，並提供深入說明，方便您排定優先順序、瞭解及應對這些威脅。

資安團隊經常疲於管理大量威脅發現項目。這可能導致回覆遺漏或延遲。這些團隊需要快速取得優先處理的相關資訊，才能找出漏洞入侵後的活動。

「關聯威脅」會將多項相關威脅發現項目匯總成一個問題，這項匯總功能可提供更可靠的偵測結果，方便您採取行動。「關聯威脅」會產生問題，代表一系列相關的惡意活動。

這項功能有以下優點：

  • 將多項發現項目合併為重大問題，減少過多快訊。
  • 結合多個信號，提高偵測準確度，進而提升偵測惡意活動的信心。
  • 以視覺化方式呈現攻擊鏈，顯示事件之間的關聯，協助您瞭解完整的攻擊過程。這種方法有助於預測對手行動，並快速找出遭入侵的資產。
  • 突顯重大威脅並提供明確建議，協助您排定優先順序並加快回應速度。

關聯威脅的運作方式

「關聯威脅」功能會使用規則引擎，找出並分組相關的安全性發現項目。

規則引擎會使用預先定義的關聯威脅查詢，查詢安全圖譜。如果偵測到模式，引擎就會建立問題。Security Command Center 會管理這些問題的生命週期。

問題生命週期

如果您未將狀態設為 INACTIVE，問題在首次發現威脅後會維持有效狀態 14 天。這個時間範圍無法變更。 如果刪除基礎資源 (例如 VM 或 Google Kubernetes Engine 節點)，Correlated Threats 會自動將問題狀態設為「INACTIVE」。

掃描頻率

Security Command Center 每小時會處理一次關聯威脅規則。

關聯威脅規則

「關聯威脅」可協助您找出雲端資源中的各種多階段攻擊模式。下表定義可用的「關聯威脅」規則。

規則 說明
加密貨幣挖礦軟體的多個相關威脅信號 尋找來自 Google Cloud 虛擬機器的多個惡意軟體訊號，包括 Compute Engine VM 和 Google Kubernetes Engine (GKE) 節點 (及其 Pod)。

相關示例如下：

  • VM Threat Detection 偵測到加密貨幣程式，Event Threat Detection 則偵測到從相同 VM 連至加密貨幣 IP 位址或網域的連線。
  • Container Threat Detection 偵測到某個程式使用加密貨幣挖礦 Stratum 通訊協定，而 Event Threat Detection 偵測到從同一個 Google Kubernetes Engine 節點連至加密貨幣挖礦 IP 位址的連線。
多個相關聯的惡意軟體威脅信號 尋找來自 Google Cloud虛擬機器的多個惡意軟體訊號，包括 Compute Engine VM 和 GKE 節點 (及其 Pod) 或 Agent Runtime。

相關示例如下：

  • Container Threat Detection 會偵測惡意二進位檔和惡意 Python 指令碼是否在同一個 Pod 中執行。
  • Event Threat Detection 偵測到 VM 連線至惡意軟體 IP 位址，而 VM Threat Detection 偵測到同一 VM 的磁碟上有惡意軟體。
  • Agent Platform Threat Detection 偵測到同一個 AI 代理有惡意網址和反向殼層。
可能遭入侵的 GCP 帳戶橫向移動至遭入侵的運算資源 尋找可疑的 Compute API (Compute Engine 或 GKE) 呼叫，這類呼叫會修改 VM 或 Pod。接著，規則會將該活動與短時間內源自運算資源的惡意活動建立關聯。攻擊者通常會使用這種橫向移動模式。這項規則表示 VM 或 Pod 可能遭到入侵。這項規則也指出 Google Cloud 帳戶 (使用者或服務帳戶) 可能是惡意活動的來源。

相關示例如下：

  • Event Threat Detection 偵測到使用者在 Compute Engine 執行個體中新增了安全殼層金鑰，而 VM Threat Detection 則偵測到同一個執行個體中執行了加密貨幣挖礦程式。
  • Event Threat Detection 偵測到服務帳戶透過 Tor 網路使用 Compute Engine API 存取執行個體，且 Event Threat Detection 偵測到從相同執行個體連至惡意 IP 位址的連線。
  • Event Threat Detection 偵測到使用者建立了特殊權限容器，而 Container Threat Detection 偵測到該容器從同一個 Pod 存取 GKE 節點上的機密檔案。

調查相關威脅

以下各節說明如何調查關聯威脅問題。如要瞭解如何查看及修正「關聯威脅」規則建立的問題，請參閱「管理及修正問題」。

接待

您透過 Security Command Center 收到「相關威脅」問題。這個問題表示系統偵測到多個可疑發現項目，並將其分組。您發現這個問題標示為「Active threat」(活躍威脅)，因此應優先處理。多個信號的關聯性表示真陽性，需要立即關注。詳情請參閱「管理及修復問題」。

拆解

開啟問題即可查看其組成部分。在問題詳細資料檢視畫面中，您可以展開特定部分，查看個別發現項目。舉例來說，如果 GKE 節點執行有害指令碼，然後連線至惡意 IP 位址，這兩項事件會一併顯示。查看每項發現項目的詳細資料，例如發生時間、涉及的程序、惡意 IP 位址，以及偵測來源。這項資訊指出事件可能相關，並說明攻擊的技術細節。時間軸檢視畫面會顯示事件順序。系統會將這些詳細資料對應至 MITRE ATT&CK 攻擊鏈階段，並以攻擊鏈視覺化圖表呈現。這項功能可讓您立即瞭解攻擊階段的背景資訊。

範圍識別

判斷威脅程度。查看相關事件的背景資訊，例如受影響的資產及其專案或叢集背景資訊。平台會依資源關聯問題，使用專屬 ID 將事件連結至相同節點。這裡會顯示受影響的資產。確認其他資產是否出現類似跡象。請記下涉及的身分，例如執行惡意指令碼的服務帳戶或使用者。這個範圍檢視畫面可協助您專注於受影響的系統，並確認事件是局部還是廣泛。

後續行動

系統會將「相關威脅」問題標示為嚴重性「重大」。您可以在「如何修正」檢視畫面中，查看建議採取的行動。圍堵受影響的資產，例如隔離或關閉受影響的 GKE 節點。請按照建議操作，例如在防火牆或雲端虛擬私有雲層級封鎖已知的惡意 IP。建議採取的行動可協助您更快應對、控制事件，並展開重點調查。如要進一步瞭解如何調查威脅，請參閱「如何調查威脅」。

後續步驟