Panoramica delle minacce correlate

La funzionalità Minacce correlate in Security Command Center ti aiuta a scoprire minacce attive critiche nel tuo ambiente. Correlated Threats restituisce un insieme di risultati relativi alle minacce correlate e fornisce spiegazioni dettagliate su questi risultati, che puoi utilizzare per dare la priorità, comprendere e rispondere a queste minacce.

I team di sicurezza spesso sono sopraffatti dalla gestione di un numero elevato di risultati relativi alle minacce. Questa situazione può comportare risposte mancate o ritardate. Questi team richiedono informazioni pertinenti e con priorità elevata per identificare rapidamente l'attività post-exploit.

Le minacce correlate aiutano a raggruppare più risultati di minacce correlate in un problema. Questa aggregazione contribuisce a fornire rilevamenti più affidabili su cui puoi intervenire. Correlated Threats genera un problema, che rappresenta una serie di attività dannose correlate.

Questa funzionalità offre vari vantaggi:

  • Riduce l'affaticamento da avvisi consolidando numerosi risultati in problemi critici.
  • Migliora la fedeltà del rilevamento combinando più indicatori, contribuendo ad aumentare l'affidabilità del rilevamento di attività dannose.
  • Fornisce una visualizzazione della catena di attacchi, mostrando come gli eventi si collegano per aiutare a formare una storia completa dell'attacco. Questo approccio ti aiuta ad anticipare le mosse degli avversari e a identificare rapidamente gli asset compromessi.
  • Evidenzia le minacce critiche e fornisce consigli chiari, aiutandoti a dare la priorità e accelerare la risposta.

Come funziona Correlated Threats

La funzionalità Minacce correlate utilizza un motore di regole per identificare e raggruppare i risultati di sicurezza correlati.

Il motore delle regole esegue query sul grafico di sicurezza con query sulle minacce correlate predefinite. Il motore crea quindi i problemi quando viene identificato un pattern. Security Command Center gestisce il ciclo di vita di questi problemi.

Ciclo di vita del problema

Un problema rimane attivo per 14 giorni dopo il primo rilevamento della minaccia se non imposti lo stato su INACTIVE. Questo periodo di tempo non può essere modificato. Le minacce correlate impostano automaticamente lo stato del problema su INACTIVE se le risorse sottostanti, come VM o nodi Google Kubernetes Engine, vengono eliminate.

Frequenza di scansione

Security Command Center elabora le regole per le minacce correlate ogni ora.

Regole relative alle minacce correlate

Le minacce correlate aiutano a identificare vari pattern di attacco in più fasi nelle risorse cloud. La tabella seguente definisce le regole Correlated Threats disponibili.

Regola Descrizione
Più indicatori di minaccia correlati del software di mining di criptovalute Cerca più segnali distinti di software dannoso provenienti da macchine virtuali Google Cloud , incluse le VM di Compute Engine e i nodi Google Kubernetes Engine (GKE) (e i relativi pod).

Alcuni esempi sono:

  • VM Threat Detection rileva un programma di criptovalute ed Event Threat Detection rileva connessioni a indirizzi IP o domini di criptovalute dalla stessa VM.
  • Container Threat Detection rileva un programma che utilizza il protocollo stratum di mining di criptovalute ed Event Threat Detection rileva una connessione a un indirizzo IP di mining di criptovalute dallo stesso nodo Google Kubernetes Engine.
Più indicatori di minaccia correlati di software dannoso Cerca più segnali distinti di software dannoso provenienti da Google Cloud macchine virtuali, incluse VM di Compute Engine e nodi GKE (e i relativi pod) o Agent Runtime.

Alcuni esempi sono:

  • Container Threat Detection rileva se nello stesso pod sono in esecuzione sia un binario dannoso sia uno script Python dannoso.
  • Event Threat Detection rileva una VM che si connette a un indirizzo IP malware, mentre VM Threat Detection rileva malware sul disco nella stessa VM.
  • Agent Platform Threat Detection rileva un URL dannoso e una reverse shell dallo stesso agente AI.
Movimento laterale dell'account Google Cloud potenzialmente compromesso alla risorsa di computing compromessa Cerca prove di chiamate sospette alle API Compute (Compute Engine o GKE) che modificano una VM o un pod. La regola correla quindi questa attività con attività dannose che hanno origine dalla risorsa di calcolo in un breve periodo. Gli autori degli attacchi utilizzano spesso questo pattern di movimento laterale. Questa regola indica che la VM o il pod è probabilmente compromesso. Questa regola indica anche che l' Google Cloud account (utente o account di servizio) potrebbe essere la causa dell'attività dannosa.

Alcuni esempi sono:

  • Event Threat Detection rileva che un utente ha aggiunto una nuova chiave SSH a un'istanza Compute Engine e VM Threat Detection rileva un miner di criptovalute in esecuzione sulla stessa istanza.
  • Event Threat Detection rileva che un account di servizio ha eseguito l'accesso a un'istanza utilizzando l'API Compute Engine dalla rete Tor ed Event Threat Detection rileva connessioni a un indirizzo IP dannoso dalla stessa istanza.
  • Event Threat Detection rileva che un utente ha creato un container con privilegi e Container Threat Detection rileva che il container ha eseguito l'accesso a file sensibili sul nodo GKE dallo stesso pod.

Analizza le minacce correlate

Le minacce correlate ti guidano attraverso una procedura di indagine strutturata. Questo processo ti aiuta a comprendere e rispondere in modo efficace agli incidenti di sicurezza. Puoi utilizzare l'indice dei risultati relativi alle minacce per trovare ulteriori informazioni su un risultato specifico relativo alle minacce. Ogni pagina specifica per i risultati descrive come esaminare e rispondere alla minaccia.

Reception

Ricevi un problema Minacce correlate tramite Security Command Center. Questo problema indica che il sistema ha rilevato e raggruppato più risultati sospetti. Riconosci questo problema come prioritario perché è contrassegnato come Minaccia attiva. La correlazione di più indicatori indica un vero positivo che richiede un'attenzione immediata. Per saperne di più, consulta Gestisci e risolvi i problemi.

Decostruzione

Apri il problema per visualizzarne le parti. Nella visualizzazione dei dettagli del problema, puoi espandere una sezione per visualizzare i singoli risultati. Ad esempio, se uno script dannoso viene eseguito su un nodo GKE e poi si connette a un indirizzo IP dannoso, entrambi gli eventi vengono visualizzati insieme. Controlla i dettagli di ogni risultato, ad esempio quando si è verificato, quali processi sono stati coinvolti, gli indirizzi IP dannosi e da dove proviene il rilevamento. Queste informazioni indicano che gli eventi sono potenzialmente correlati e spiegano i dettagli tecnici dell'attacco. Una visualizzazione cronologica mostra la sequenza degli eventi. Il sistema mappa questi dettagli alle fasi della catena di attacco MITRE ATT&CK e li presenta in una visualizzazione della catena di attacco. Questa funzionalità fornisce un contesto immediato sulla fase dell'attacco.

Identificazione dell'ambito

Determina l'entità della minaccia. Controlla le informazioni contestuali sugli eventi correlati, ad esempio la risorsa interessata e il contesto del progetto o del cluster. La piattaforma correla i problemi per risorsa, utilizzando identificatori univoci per collegare gli eventi allo stesso nodo. Viene visualizzato l'asset interessato. Verifica se altri asset mostrano segni simili. Prendi nota delle identità coinvolte, ad esempio il service account o l'utente che ha eseguito lo script dannoso. Questa visualizzazione con ambito ti aiuta a concentrarti sui sistemi interessati e conferma se l'incidente è localizzato o diffuso.

Azioni successive

Il sistema contrassegna i problemi di minaccia correlata con una gravità critica. Puoi trovare i comportamenti consigliati nelle visualizzazioni Come risolvere il problema. Contieni l'asset interessato, ad esempio isolando o arrestando il nodo GKE interessato. Segui i consigli, ad esempio blocca l'IP malicious noto a livello di firewall o VPC cloud. Le azioni consigliate ti aiutano a rispondere più rapidamente, contenere l'incidente e avviare un'indagine mirata. Per saperne di più su come esaminare le minacce, consulta Come esaminare le minacce.

Passaggi successivi