Ringkasan Ancaman Terkorelasi

Fitur Ancaman Terkait di Security Command Center membantu Anda mengungkap ancaman aktif yang kritis di lingkungan Anda. Ancaman Terkorelasi menghasilkan serangkaian temuan ancaman terkait dan memberikan penjelasan mendalam tentang temuan ini, yang kemudian dapat Anda gunakan untuk memprioritaskan, memahami, dan merespons ancaman ini.

Tim keamanan sering kali mengalami kelelahan akibat mengelola temuan ancaman dalam jumlah yang sangat besar. Situasi ini dapat menyebabkan respons terlewat atau tertunda. Tim ini memerlukan informasi yang diprioritaskan dan relevan dengan cepat untuk mengidentifikasi aktivitas pasca-eksploitasi.

Ancaman Terkait membantu dengan menggabungkan beberapa temuan ancaman terkait menjadi satu masalah. Agregasi ini membantu memberikan deteksi dengan keyakinan lebih tinggi yang dapat Anda tindak lanjuti. Ancaman Terkorelasi menghasilkan masalah, yang mewakili serangkaian aktivitas berbahaya terkait.

Fitur ini menawarkan beberapa manfaat:

  • Mengurangi kelelahan merespons peringatan dengan menggabungkan berbagai temuan menjadi masalah penting.
  • Meningkatkan fidelitas deteksi dengan menggabungkan beberapa sinyal, sehingga membantu meningkatkan keyakinan dalam mendeteksi aktivitas berbahaya.
  • Memberikan visualisasi rantai serangan, yang menunjukkan bagaimana peristiwa terhubung untuk membantu membentuk cerita serangan yang lengkap. Pendekatan ini membantu Anda mengantisipasi pergerakan musuh dan mengidentifikasi aset yang disusupi dengan cepat.
  • Menyoroti ancaman kritis dan memberikan rekomendasi yang jelas, sehingga membantu Anda memprioritaskan dan mempercepat respons.

Cara kerja Ancaman Terkait

Fitur Ancaman Terkait menggunakan mesin aturan untuk mengidentifikasi dan mengelompokkan temuan keamanan terkait.

Mesin aturan mengkueri grafik keamanan dengan kueri Ancaman Terkorelasi yang telah ditentukan sebelumnya. Kemudian, mesin akan membuat masalah saat pola diidentifikasi. Security Command Center mengelola siklus proses masalah ini.

Siklus proses masalah

Masalah akan tetap aktif selama 14 hari setelah temuan ancaman pertama jika Anda tidak menetapkan status ke INACTIVE. Jangka waktu ini tidak dapat diubah. Ancaman Terkait otomatis menetapkan status masalah ke INACTIVE jika resource yang mendasarinya, seperti VM atau node Google Kubernetes Engine, dihapus.

Frekuensi pemindaian

Security Command Center memproses aturan Ancaman Terkait setiap jam.

Aturan Ancaman Terkait

Ancaman Terkait membantu mengidentifikasi berbagai pola serangan multi-tahap di seluruh resource cloud. Tabel berikut menentukan aturan Ancaman Terkait yang tersedia.

Aturan Deskripsi
Beberapa sinyal ancaman yang berkorelasi dari software penambangan mata uang kripto Mencari beberapa sinyal software berbahaya yang berbeda yang berasal dari Google Cloud virtual machine, termasuk VM Compute Engine dan node Google Kubernetes Engine (GKE) (dan Pod-nya).

Contohnya mencakup:

  • VM Threat Detection mendeteksi program cryptocurrency dan Event Threat Detection mendeteksi koneksi ke alamat IP atau domain cryptocurrency dari VM yang sama.
  • Container Threat Detection mendeteksi program yang menggunakan protokol stratum penambangan mata uang kripto dan Event Threat Detection mendeteksi koneksi ke alamat IP penambangan mata uang kripto dari node Google Kubernetes Engine yang sama.
Beberapa sinyal ancaman software berbahaya yang berkorelasi Cari beberapa sinyal software berbahaya yang berbeda yang berasal dari virtual machine Google Cloud, termasuk VM Compute Engine dan node GKE (dan Pod-nya) atau Agent Runtime.

Contohnya mencakup:

  • Container Threat Detection mendeteksi apakah biner berbahaya dan skrip Python berbahaya berjalan di Pod yang sama.
  • Event Threat Detection mendeteksi VM yang terhubung ke alamat IP malware, dan VM Threat Detection mendeteksi malware pada disk di VM yang sama.
  • Agent Platform Threat Detection mendeteksi URL Berbahaya dan Reverse Shell dari Agen AI yang sama.
Pergerakan lateral akun GCP yang berpotensi disusupi ke resource komputasi yang disusupi Cari bukti panggilan mencurigakan ke API komputasi (Compute Engine atau GKE) yang mengubah VM atau Pod. Aturan tersebut kemudian menghubungkan aktivitas tersebut dengan aktivitas berbahaya yang berasal dari resource komputasi dalam waktu singkat. Penyerang biasanya menggunakan pola gerakan lateral ini. Aturan ini menunjukkan bahwa VM atau Pod kemungkinan telah disusupi. Aturan ini juga menunjukkan bahwa akun Google Cloud (baik akun pengguna maupun akun layanan) mungkin menjadi penyebab aktivitas berbahaya.

Contohnya mencakup:

  • Event Threat Detection mendeteksi bahwa pengguna menambahkan kunci SSH baru ke instance Compute Engine, dan VM Threat Detection mendeteksi penambang mata uang kripto yang berjalan di instance yang sama.
  • Event Threat Detection mendeteksi bahwa akun layanan mengakses instance menggunakan Compute Engine API dari jaringan Tor, dan Event Threat Detection mendeteksi koneksi ke alamat IP berbahaya dari instance yang sama.
  • Event Threat Detection mendeteksi bahwa pengguna membuat container dengan hak istimewa dan Container Threat Detection mendeteksi bahwa container tersebut mengakses file sensitif di node GKE dari Pod yang sama.

Menyelidiki Ancaman Terkait

Bagian berikut menjelaskan cara menyelidiki masalah Ancaman Terkait. Untuk mengetahui informasi tentang cara melihat dan memulihkan masalah yang dibuat oleh aturan Ancaman Terkait, lihat Mengelola dan memulihkan masalah.

Reception

Anda menerima masalah Ancaman Terkait melalui Security Command Center. Masalah ini menunjukkan bahwa sistem mendeteksi dan mengelompokkan beberapa temuan yang mencurigakan. Anda mengenali masalah ini sebagai prioritas tinggi, karena ditandai sebagai Ancaman aktif. Korelasi beberapa sinyal menunjukkan positif benar yang memerlukan fokus segera. Untuk mengetahui informasi selengkapnya, lihat Mengelola dan memperbaiki masalah.

Dekonstruksi

Buka masalah untuk melihat bagian-bagiannya. Dalam tampilan detail masalah, Anda dapat meluaskan bagian untuk melihat setiap temuan. Misalnya, jika skrip berbahaya berjalan di node GKE, lalu terhubung ke alamat IP berbahaya, kedua peristiwa tersebut akan muncul bersamaan. Periksa detail setiap temuan, seperti kapan temuan itu terjadi, proses apa yang terlibat, alamat IP berbahaya, dan dari mana deteksi berasal. Informasi ini menunjukkan bahwa peristiwa tersebut berpotensi terkait dan menjelaskan detail teknis serangan. Tampilan kronologis menunjukkan urutan peristiwa. Sistem memetakan detail ini ke tahap rantai serangan MITRE ATT&CK dan menyajikannya dalam visualisasi rantai serangan. Fitur ini memberi Anda konteks langsung tentang tahap serangan.

Identifikasi cakupan

Tentukan tingkat ancaman. Periksa informasi kontekstual tentang peristiwa yang berkorelasi, seperti aset yang terpengaruh dan konteks project atau clusternya. Platform ini menghubungkan masalah berdasarkan resource, menggunakan ID unik untuk mengaitkan peristiwa ke node yang sama. Bagian ini menampilkan aset yang terpengaruh. Verifikasi apakah aset lain menunjukkan tanda-tanda serupa. Perhatikan identitas yang terlibat, seperti akun layanan atau pengguna yang menjalankan skrip berbahaya. Tampilan terbatas ini membantu Anda berfokus pada sistem yang terpengaruh dan mengonfirmasi apakah insiden tersebut bersifat lokal atau meluas.

Tindakan berikutnya

Sistem menandai masalah Ancaman Terkait dengan tingkat keparahan kritis. Anda dapat menemukan tindakan yang disarankan di tampilan Cara memperbaiki. Batasi aset yang terpengaruh, misalnya, dengan mengisolasi atau menonaktifkan node GKE yang terpengaruh. Ikuti rekomendasi, seperti memblokir IP berbahaya yang diketahui di tingkat firewall atau VPC cloud. Tindakan yang disarankan membantu Anda merespons lebih cepat, mengatasi insiden, dan memulai penyelidikan yang terfokus. Untuk mengetahui informasi selengkapnya tentang cara menyelidiki ancaman, lihat Cara menyelidiki ancaman.

Langkah berikutnya