Ringkasan Ancaman Terkorelasi

Fitur Ancaman Berkorelasi di Security Command Center membantu Anda menemukan ancaman aktif penting di lingkungan Anda. Ancaman Berkorelasi menghasilkan serangkaian temuan ancaman terkait dan memberikan penjelasan mendalam tentang temuan ini, yang kemudian dapat Anda gunakan untuk memprioritaskan, memahami, dan merespons ancaman ini.

Tim keamanan sering kali mengalami kelelahan merespons peringatan karena mengelola sejumlah besar temuan ancaman. Situasi ini dapat menyebabkan respons yang terlewat atau tertunda. Tim ini memerlukan informasi yang diprioritaskan dan relevan dengan cepat untuk mengidentifikasi aktivitas pasca-eksploitasi.

Ancaman Berkorelasi membantu dengan menggabungkan beberapa temuan ancaman terkait ke dalam satu masalah. Penggabungan ini membantu memberikan deteksi yang lebih akurat sehingga Anda dapat mengambil tindakan. Ancaman Berkorelasi menghasilkan masalah, yang mewakili serangkaian aktivitas berbahaya terkait.

Fitur ini menawarkan beberapa manfaat:

  • Mengurangi kelelahan merespons peringatan dengan menggabungkan banyak temuan ke dalam masalah penting.
  • Meningkatkan akurasi deteksi dengan menggabungkan beberapa sinyal, sehingga membantu meningkatkan keyakinan dalam mendeteksi aktivitas berbahaya.
  • Menyediakan visualisasi rantai serangan, yang menunjukkan cara peristiwa terhubung untuk membantu membentuk cerita serangan yang lengkap. Pendekatan ini membantu Anda mengantisipasi pergerakan musuh dan mengidentifikasi aset yang disusupi dengan cepat.
  • Menyoroti ancaman penting dan memberikan rekomendasi yang jelas, sehingga membantu Anda memprioritaskan dan mempercepat respons.

Cara kerja Ancaman Berkorelasi

Fitur Ancaman Berkorelasi menggunakan mesin aturan untuk mengidentifikasi dan mengelompokkan temuan keamanan terkait.

Mesin aturan membuat kueri grafik keamanan dengan kueri Ancaman Berkorelasi yang telah ditentukan. Kemudian, mesin akan membuat masalah saat pola diidentifikasi. Security Command Center mengelola siklus proses masalah ini.

Siklus proses masalah

Masalah akan tetap aktif selama 14 hari setelah temuan ancaman pertama jika Anda tidak menetapkan status ke INACTIVE. Jangka waktu ini tidak dapat diubah. Ancaman Berkorelasi otomatis menetapkan status masalah ke INACTIVE jika resource yang mendasarinya, seperti VM atau node Google Kubernetes Engine, dihapus.

Frekuensi pemindaian

Security Command Center memproses aturan Ancaman Berkorelasi setiap jam.

Aturan Ancaman Berkorelasi

Ancaman Berkorelasi membantu mengidentifikasi berbagai pola serangan multi-tahap di seluruh resource cloud. Tabel berikut menentukan aturan Ancaman Berkorelasi yang tersedia.

Aturan Deskripsi
Beberapa sinyal ancaman berkorelasi dari software penambangan mata uang kripto Cari beberapa sinyal berbeda dari software berbahaya yang berasal dari Google Cloud mesin virtual, termasuk VM Compute Engine dan node Google Kubernetes Engine (GKE) (dan Pod-nya).

Contohnya mencakup:

  • Deteksi Ancaman VM mendeteksi program mata uang kripto dan Event Threat Detection mendeteksi koneksi ke alamat IP atau domain mata uang kripto dari VM yang sama.
  • Container Threat Detection mendeteksi program yang menggunakan protokol stratum penambangan mata uang kripto dan Event Threat Detection mendeteksi koneksi ke alamat IP penambangan mata uang kripto dari node Google Kubernetes Engine yang sama.
Beberapa sinyal ancaman berkorelasi dari software berbahaya Cari beberapa sinyal berbeda dari software berbahaya yang berasal dari Google Cloud mesin virtual, termasuk VM Compute Engine dan node GKE (dan Pod-nya) atau Runtime Agen.

Contohnya mencakup:

  • Container Threat Detection mendeteksi apakah biner berbahaya dan skrip Python berbahaya berjalan di Pod yang sama.
  • Event Threat Detection mendeteksi VM yang terhubung ke alamat IP malware, dan VM Threat Detection mendeteksi malware di disk di VM yang sama VM.
  • Agent Platform Threat Detection mendeteksi URL Berbahaya dan Reverse Shell dari Agen AI yang sama.
Potensi pergerakan lateral akun GCP yang disusupi ke resource komputasi yang disusupi Cari bukti panggilan mencurigakan ke API komputasi (Compute Engine atau GKE) yang mengubah VM atau Pod. Kemudian, aturan tersebut mengorelasikan aktivitas tersebut dengan aktivitas berbahaya yang berasal dari resource komputasi dalam waktu singkat. Penyerang biasanya menggunakan pola pergerakan lateral ini. Aturan ini menunjukkan bahwa VM atau Pod kemungkinan disusupi. Aturan ini juga menunjukkan bahwa akun Google Cloud (akun pengguna atau akun layanan) mungkin menjadi penyebab aktivitas berbahaya.

Contohnya mencakup:

  • Event Threat Detection mendeteksi bahwa pengguna menambahkan kunci SSH baru ke a Compute Engine instance, dan VM Threat Detection mendeteksi penambang mata uang kripto berjalan di instance yang sama.
  • Event Threat Detection mendeteksi bahwa akun layanan mengakses instance menggunakan Compute Engine API dari jaringan Tor, dan Event Threat Detection mendeteksi koneksi ke alamat IP berbahaya dari instance yang sama instance.
  • Event Threat Detection mendeteksi bahwa pengguna membuat container yang memiliki hak istimewa dan Container Threat Detection mendeteksi bahwa container mengakses file sensitif di node GKE dari Pod yang sama.

Menyelidiki Ancaman Berkorelasi

Ancaman Berkorelasi memandu Anda melalui proses investigasi terstruktur. Proses ini membantu Anda memahami dan merespons insiden keamanan secara efektif. Anda dapat menggunakan Indeks temuan ancaman untuk menemukan informasi lebih lanjut tentang temuan ancaman tertentu. Setiap halaman khusus temuan menjelaskan cara menyelidiki dan merespons ancaman.

Penerimaan

Anda menerima masalah Ancaman Berkorelasi melalui Security Command Center. Masalah ini menunjukkan bahwa sistem mendeteksi dan mengelompokkan beberapa temuan mencurigakan. Anda mengenali masalah ini sebagai prioritas tinggi, karena ditandai sebagai Ancaman aktif. Korelasi beberapa sinyal menunjukkan positif benar yang memerlukan fokus segera. Untuk mengetahui informasi selengkapnya, lihat Mengelola dan memulihkan masalah.

Dekonstruksi

Buka masalah untuk melihat bagian-bagiannya. Dalam tampilan detail masalah, Anda dapat meluaskan bagian untuk melihat temuan individual. Misalnya, jika skrip berbahaya berjalan di node GKE, lalu terhubung ke alamat IP berbahaya, kedua peristiwa tersebut akan muncul bersamaan. Periksa detail setiap temuan, seperti waktu terjadinya, proses yang terlibat, alamat IP berbahaya, dan asal deteksi. Informasi ini menunjukkan bahwa peristiwa tersebut berpotensi terkait dan menjelaskan detail teknis serangan. Tampilan kronologis menunjukkan urutan peristiwa. Sistem memetakan detail ini ke tahap rantai serangan MITRE ATT&CK dan menampilkannya pada visualisasi rantai serangan. Fitur ini memberi Anda konteks langsung tentang tahap serangan.

Identifikasi cakupan

Tentukan tingkat ancaman. Periksa informasi kontekstual tentang peristiwa yang berkorelasi, seperti aset yang terpengaruh dan konteks project atau clusternya. Platform mengorelasikan masalah berdasarkan resource, menggunakan ID unik untuk mengaitkan peristiwa ke node yang sama. Hal ini menunjukkan aset yang terpengaruh. Verifikasi apakah aset lain menunjukkan tanda yang serupa. Perhatikan identitas yang terlibat, seperti akun layanan atau pengguna yang menjalankan skrip berbahaya. Tampilan yang dicakup ini membantu Anda berfokus pada sistem yang terpengaruh dan mengonfirmasi apakah insiden tersebut bersifat lokal atau luas.

Tindakan berikutnya

Sistem menandai masalah Ancaman Berkorelasi dengan tingkat keparahan yang penting. Anda dapat menemukan tindakan yang direkomendasikan di tampilan Cara memperbaiki. Batasi aset yang terpengaruh, misalnya, dengan mengisolasi atau mematikan node GKE yang terpengaruh. Ikuti rekomendasi, seperti memblokir IP berbahaya yang diketahui di tingkat firewall atau VPC cloud. Tindakan yang direkomendasikan membantu Anda merespons lebih cepat, mengatasi insiden, dan memulai investigasi yang terfokus. Untuk mengetahui informasi selengkapnya tentang cara menyelidiki ancaman, lihat Cara menyelidiki ancaman.

Langkah berikutnya