Présentation des menaces corrélées

La fonctionnalité Menaces corrélées de Security Command Center vous aide à découvrir les menaces actives critiques dans votre environnement. Les résultats des menaces corrélées fournissent un ensemble de conclusions sur les menaces associées et des explications détaillées sur ces conclusions. Vous pouvez ensuite les utiliser pour hiérarchiser, comprendre et traiter ces menaces.

Les équipes de sécurité sont souvent lassées de gérer un nombre impressionnant de résultats de menaces. Cela peut entraîner des réponses manquées ou retardées. Ces équipes ont besoin d'informations pertinentes et prioritaires rapidement pour identifier les activités post-exploitation.

Les menaces corrélées vous aident en regroupant plusieurs résultats de menaces associés dans un problème. Cette agrégation permet d'obtenir des détections plus fiables sur lesquelles vous pouvez agir. La fonctionnalité Menaces corrélées génère un problème, qui représente une série d'activités malveillantes associées.

Cette fonctionnalité présente plusieurs avantages :

  • Réduit la fatigue liée aux alertes en regroupant de nombreux résultats dans des problèmes critiques.
  • Améliore la fidélité de la détection en combinant plusieurs signaux, ce qui permet d'accroître la confiance dans la détection des activités malveillantes.
  • Fournit une visualisation de la chaîne d'attaque, montrant comment les événements sont liés pour former un récit complet de l'attaque. Cette approche vous aide à anticiper les mouvements de l'adversaire et à identifier rapidement les ressources compromises.
  • Met en évidence les menaces critiques et fournit des recommandations claires pour vous aider à prioriser et à accélérer votre réponse.

Fonctionnement des menaces corrélées

La fonctionnalité Menaces corrélées utilise un moteur de règles pour identifier et regrouper les résultats de sécurité associés.

Le moteur de règles interroge le graphe de sécurité avec des requêtes prédéfinies sur les menaces corrélées. Le moteur crée ensuite des problèmes lorsqu'un modèle est identifié. Security Command Center gère le cycle de vie de ces problèmes.

Cycle de vie d'un problème

Un problème reste actif pendant 14 jours après la première détection de menace si vous ne définissez pas l'état sur INACTIVE. Cette période ne peut pas être modifiée. Les menaces corrélées définissent automatiquement l'état du problème sur INACTIVE si les ressources sous-jacentes, telles que les VM ou les nœuds Google Kubernetes Engine, sont supprimées.

Fréquence d'analyse

Security Command Center traite les règles de menace corrélée toutes les heures.

Règles sur les menaces corrélées

Les menaces corrélées permettent d'identifier différents schémas d'attaque en plusieurs étapes dans les ressources cloud. Le tableau suivant définit les règles de menaces corrélées disponibles.

Règle Description
Plusieurs signaux de menace corrélés du logiciel de minage de cryptomonnaie Recherchez plusieurs signaux distincts de logiciels malveillants provenant de machines virtuelles Google Cloud , y compris des VM Compute Engine et des nœuds Google Kubernetes Engine (GKE) (ainsi que leurs pods).

Voici quelques exemples :

  • VM Threat Detection détecte un programme de cryptomonnaie et Event Threat Detection détecte les connexions à des adresses IP ou des domaines de cryptomonnaie à partir de la même VM.
  • Container Threat Detection détecte un programme qui utilise le protocole stratum de minage de cryptomonnaie, et Event Threat Detection détecte une connexion à une adresse IP de minage de cryptomonnaie à partir du même nœud Google Kubernetes Engine.
Plusieurs signaux de menace corrélés de logiciels malveillants Recherchez plusieurs signaux distincts de logiciels malveillants provenant de machines virtuelles Google Cloud, y compris des VM Compute Engine et des nœuds GKE (ainsi que leurs pods) ou de l'environnement d'exécution de l'agent.

Voici quelques exemples :

  • Container Threat Detection détecte si un script Python malveillant et un fichier binaire malveillant s'exécutent dans le même pod.
  • Event Threat Detection détecte une VM qui se connecte à une adresse IP de logiciel malveillant, et VM Threat Detection détecte un logiciel malveillant sur le disque de la même VM.
  • Agent Platform Threat Detection détecte une URL malveillante et une interface système inversée provenant du même agent d'IA.
Mouvement latéral d'un compte GCP potentiellement compromis vers une ressource de calcul compromise Recherchez des preuves d'appels suspects aux API de calcul (Compute Engine ou GKE) qui modifient une VM ou un pod. La règle met ensuite en corrélation cette activité avec une activité malveillante provenant de la ressource de calcul dans un court laps de temps. Les pirates informatiques utilisent souvent ce modèle de déplacement latéral. Cette règle indique que la VM ou le pod sont probablement compromis. Cette règle indique également que le compte Google Cloud (compte utilisateur ou de service) peut être à l'origine de l'activité malveillante.

Voici quelques exemples :

  • Event Threat Detection détecte qu'un utilisateur a ajouté une clé SSH à une instance Compute Engine, et VM Threat Detection détecte un mineur de cryptomonnaie en cours d'exécution sur la même instance.
  • Event Threat Detection détecte qu'un compte de service a accédé à une instance à l'aide de l'API Compute Engine à partir du réseau Tor, et détecte des connexions à une adresse IP malveillante à partir de la même instance.
  • Event Threat Detection détecte qu'un utilisateur a créé un conteneur privilégié, tandis que Container Threat Detection détecte que le conteneur a accédé à des fichiers sensibles sur le nœud GKE à partir du même pod.

Examiner les menaces corrélées

Les menaces corrélées vous guident tout au long d'une procédure d'investigation structurée. Ce processus vous aide à comprendre les incidents de sécurité et à y répondre efficacement. Vous pouvez utiliser l'index des menaces constatées pour en savoir plus sur une menace spécifique. Chaque page spécifique à un résultat décrit comment examiner la menace et y répondre.

Réception

Vous recevez un problème de menaces corrélées via Security Command Center. Ce problème indique que le système a détecté et regroupé plusieurs résultats suspects. Vous reconnaissez que ce problème est de haute priorité, car il est marqué comme Menace active. La corrélation de plusieurs signaux indique un vrai positif qui nécessite une attention immédiate. Pour en savoir plus, consultez Gérer et résoudre les problèmes.

Déconstruction

Ouvrez le problème pour en voir les différentes parties. Dans la vue des détails du problème, vous pouvez développer une section pour afficher les résultats individuels. Par exemple, si un script malveillant s'exécute sur un nœud GKE et se connecte ensuite à une adresse IP malveillante, les deux événements s'affichent ensemble. Consultez les détails de chaque résultat, comme la date et l'heure de l'événement, les processus impliqués, les adresses IP malveillantes et la source de la détection. Ces informations indiquent que les événements sont potentiellement liés et expliquent les détails techniques de l'attaque. Une vue chronologique affiche la séquence d'événements. Le système mappe ces détails aux étapes de la chaîne d'attaque MITRE ATT&CK et les présente dans une visualisation de la chaîne d'attaque. Cette fonctionnalité vous fournit un contexte immédiat sur l'étape de l'attaque.

Identification du champ d'application

Déterminez l'étendue de la menace. Consultez les informations contextuelles sur les événements corrélés, comme l'élément concerné et le contexte de son projet ou cluster. La plate-forme met en corrélation les problèmes par ressource, en utilisant des identifiants uniques pour associer les événements au même nœud. Il indique le composant concerné. Vérifiez si d'autres composants présentent des signes similaires. Notez les identités impliquées, comme le compte de service ou l'utilisateur qui a exécuté le script malveillant. Cette vue limitée vous aide à vous concentrer sur les systèmes concernés et à déterminer si l'incident est localisé ou généralisé.

Actions suivantes

Le système attribue un niveau de gravité critique aux problèmes de menace corrélée. Vous trouverez les actions recommandées dans les vues Comment résoudre le problème. Contenez le composant concerné, par exemple en isolant ou en arrêtant le nœud GKE affecté. Suivez les recommandations, par exemple en bloquant l'adresse IP malveillante connue au niveau du pare-feu ou du VPC cloud. Les actions recommandées vous aident à répondre plus rapidement, à contenir l'incident et à lancer une investigation ciblée. Pour en savoir plus sur l'analyse des menaces, consultez Analyser les menaces.

Étapes suivantes