Korrelierte Bedrohungen – Übersicht

Mit der Funktion „Korrelierte Bedrohungen“ im Security Command Center können Sie kritische aktive Bedrohungen in Ihrer Umgebung aufdecken. „Korrelierte Bedrohungen“ gibt eine Reihe von zusammenhängenden Bedrohungsergebnissen aus und liefert detaillierte Erklärungen zu diesen Ergebnissen, die Sie dann verwenden können, um diese Bedrohungen zu priorisieren, zu verstehen und darauf zu reagieren.

Sicherheitsteams sind oft von der Verwaltung einer überwältigenden Anzahl von Bedrohungsergebnissen überfordert. Das kann dazu führen, dass Antworten verpasst oder verzögert werden. Diese Teams benötigen schnell priorisierte und relevante Informationen, um Aktivitäten nach einem Exploit zu identifizieren.

Korrelierte Bedrohungen helfen, indem mehrere zusammenhängende Bedrohungsbefunde in einem Problem zusammengefasst werden. Diese Aggregation trägt dazu bei, dass Sie zuverlässigere Erkennungen erhalten, auf die Sie reagieren können. „Korrelierte Bedrohungen“ generiert ein Problem, das eine Reihe von zusammenhängenden schädlichen Aktivitäten darstellt.

Dieses Feature bietet mehrere Vorteile:

  • Reduziert die Warnungsmüdigkeit, indem zahlreiche Ergebnisse zu kritischen Problemen zusammengefasst werden.
  • Verbessert die Erkennungsgenauigkeit durch die Kombination mehrerer Signale, was die Zuverlässigkeit bei der Erkennung schädlicher Aktivitäten erhöht.
  • Bietet eine Visualisierung der Angriffskette, die zeigt, wie Ereignisse zusammenhängen, um ein vollständiges Bild des Angriffs zu erhalten. So können Sie die Schritte von Angreifern antizipieren und kompromittierte Assets schnell identifizieren.
  • Hebt kritische Bedrohungen hervor und bietet klare Empfehlungen, damit Sie Ihre Reaktion priorisieren und beschleunigen können.

So funktionieren korrelierte Bedrohungen

Die Funktion „Korrelierte Bedrohungen“ verwendet eine Regel-Engine, um zusammenhängende Sicherheitsergebnisse zu identifizieren und zu gruppieren.

Die Regel-Engine fragt den Sicherheitsgraphen mit vordefinierten Abfragen zu korrelierten Bedrohungen ab. Die Engine erstellt dann Probleme, wenn ein Muster erkannt wird. Security Command Center verwaltet den Lebenszyklus dieser Probleme.

Lebenszyklus eines Problems

Ein Problem bleibt 14 Tage nach dem ersten Bedrohungsfund aktiv, wenn Sie den Status nicht auf INACTIVE setzen. Dieser Zeitraum kann nicht geändert werden. Bei korrelierten Bedrohungen wird der Problemstatus automatisch auf INACTIVE gesetzt, wenn die zugrunde liegenden Ressourcen wie VMs oder Google Kubernetes Engine-Knoten gelöscht werden.

Scanhäufigkeit

Das Security Command Center verarbeitet Regeln für korrelierte Bedrohungen stündlich.

Regeln für korrelierte Bedrohungen

Mit korrelierten Bedrohungen können Sie verschiedene mehrstufige Angriffsmuster in Cloud-Ressourcen identifizieren. In der folgenden Tabelle werden die verfügbaren Regeln für korrelierte Bedrohungen definiert.

Regel Beschreibung
Mehrere korrelierte Bedrohungssignale von Kryptowährung-Mining-Software Suchen Sie nach mehreren unterschiedlichen Signalen für schädliche Software, die von virtuellen Google Cloud -Maschinen stammen, einschließlich Compute Engine-VMs und Google Kubernetes Engine-Knoten (GKE) und deren Pods.

Beispiele:

  • VM Threat Detection erkennt ein Kryptowährungsprogramm und Event Threat Detection erkennt Verbindungen zu Kryptowährungs-IP-Adressen oder -Domains von derselben VM.
  • Container Threat Detection erkennt ein Programm, das das Stratum-Protokoll für das Mining von Kryptowährungen verwendet, und Event Threat Detection erkennt eine Verbindung zu einer IP-Adresse für das Mining von Kryptowährungen vom selben Google Kubernetes Engine-Knoten.
Mehrere korrelierte Bedrohungssignale von Malware Suchen Sie nach mehreren unterschiedlichen Signalen für bösartige Software, die von Google Cloud-VMs stammen, einschließlich Compute Engine-VMs und GKE-Knoten (und deren Pods) oder Agent Runtime.

Beispiele:

  • Container Threat Detection erkennt, ob sowohl eine schädliche Binärdatei als auch ein schädliches Python-Skript im selben Pod ausgeführt werden.
  • Event Threat Detection erkennt eine VM, die eine Verbindung zu einer Malware-IP-Adresse herstellt, und VM Threat Detection erkennt Malware auf dem Laufwerk in derselben VM.
  • Die Bedrohungserkennung für Agent Platform erkennt eine schädliche URL und einen Reverse-Shell-Angriff vom selben KI-Agenten.
Potenziell kompromittiertes GCP-Konto – Seitwärtsbewegung zu kompromittierter Rechenressource Suchen Sie nach Hinweisen auf verdächtige Aufrufe von Compute APIs (Compute Engine oder GKE), die eine VM oder einen Pod ändern. Die Regel korreliert diese Aktivität dann mit schädlichen Aktivitäten, die innerhalb eines kurzen Zeitraums von der Compute-Ressource ausgehen. Angreifer verwenden dieses Muster für Lateral Movement häufig. Diese Regel gibt an, dass die VM oder der Pod wahrscheinlich manipuliert wurde. Diese Regel weist auch darauf hin, dass das Konto Google Cloud (entweder Nutzer- oder Dienstkonto) die Ursache für die schädliche Aktivität sein kann.

Beispiele:

  • Event Threat Detection erkennt, dass ein Nutzer einer Compute Engine-Instanz einen neuen SSH-Schlüssel hinzugefügt hat, und VM Threat Detection erkennt einen Kryptowährungs-Miner, der auf derselben Instanz ausgeführt wird.
  • Event Threat Detection erkennt, dass ein Dienstkonto über das Tor-Netzwerk mit der Compute Engine API auf eine Instanz zugegriffen hat, und Event Threat Detection erkennt Verbindungen zu einer schädlichen IP-Adresse von derselben Instanz.
  • Event Threat Detection erkennt, dass ein Nutzer einen privilegierten Container erstellt hat, und Container Threat Detection erkennt, dass der Container über denselben Pod auf vertrauliche Dateien auf dem GKE-Knoten zugegriffen hat.

Korrelierte Bedrohungen untersuchen

In den folgenden Abschnitten wird beschrieben, wie Sie Probleme mit korrelierten Bedrohungen untersuchen. Informationen zum Ansehen und Beheben von Problemen, die durch Regeln für korrelierte Bedrohungen erstellt wurden, finden Sie unter Probleme verwalten und beheben.

Rezeption

Sie erhalten über das Security Command Center ein Problem mit korrelierten Bedrohungen. Dieses Problem weist darauf hin, dass das System mehrere verdächtige Ergebnisse erkannt und gruppiert hat. Sie erkennen dieses Problem als hohe Priorität, da es als Aktive Bedrohung gekennzeichnet ist. Die Korrelation mehrerer Signale weist auf ein richtig positives Ergebnis hin, das sofortige Aufmerksamkeit erfordert. Weitere Informationen finden Sie unter Probleme verwalten und beheben.

Dekonstruktion

Öffnen Sie das Problem, um die einzelnen Teile zu sehen. In der Ansicht mit den Problemdetails können Sie einen Abschnitt maximieren, um die einzelnen Ergebnisse zu sehen. Wenn beispielsweise ein schädliches Script auf einem GKE-Knoten ausgeführt wird und dann eine Verbindung zu einer schädlichen IP-Adresse herstellt, werden beide Ereignisse zusammen angezeigt. Prüfen Sie die Details der einzelnen Ergebnisse, z. B. wann sie aufgetreten sind, welche Prozesse beteiligt waren, welche IP-Adressen bösartig sind und woher die Erkennung stammt. Diese Informationen deuten darauf hin, dass die Ereignisse möglicherweise zusammenhängen, und erklären die technischen Details des Angriffs. Eine chronologische Ansicht zeigt die Abfolge der Ereignisse. Das System ordnet diese Details den Phasen der MITRE ATT&CK-Angriffskette zu und stellt sie in einer Visualisierung der Angriffskette dar. Mit dieser Funktion erhalten Sie sofort Kontext zur Angriffsphase.

Bereichsidentifikation

Bestimmen Sie das Ausmaß der Bedrohung. Prüfen Sie Kontextinformationen zu den korrelierten Ereignissen, z. B. das betroffene Asset und den zugehörigen Projekt- oder Clusterkontext. Die Plattform korreliert Probleme nach Ressource und verwendet eindeutige Kennungen, um Ereignisse mit demselben Knoten zu verknüpfen. Hier wird das betroffene Asset angezeigt. Prüfen Sie, ob andere Assets ähnliche Anzeichen aufweisen. Notieren Sie sich die beteiligten Identitäten, z. B. das Dienstkonto oder den Nutzer, der das schädliche Script ausgeführt hat. Diese eingeschränkte Ansicht hilft Ihnen, sich auf betroffene Systeme zu konzentrieren, und bestätigt, ob der Vorfall lokal oder weit verbreitet ist.

Nächste Aktionen

Das System markiert Probleme mit korrelierten Bedrohungen mit einem kritischen Schweregrad. Empfohlene Maßnahmen finden Sie in den Ansichten Problemlösung. Eindämmen des betroffenen Assets, z. B. durch Isolieren oder Herunterfahren des betroffenen GKE-Knotens. Folgen Sie den Empfehlungen, z. B. die bekannte bösartige IP-Adresse auf Firewall- oder Cloud-VPC-Ebene zu blockieren. Die empfohlenen Maßnahmen helfen Ihnen, schneller zu reagieren, den Vorfall einzudämmen und eine gezielte Untersuchung einzuleiten. Weitere Informationen zum Untersuchen von Bedrohungen finden Sie unter Bedrohungen untersuchen.

Nächste Schritte