Visão geral das ameaças correlacionadas

O recurso de ameaças correlacionadas no Security Command Center ajuda a descobrir ameaças ativas críticas no seu ambiente. O recurso de ameaças correlacionadas gera um conjunto de descobertas de ameaças relacionadas e fornece explicações detalhadas sobre elas, que podem ser usadas para priorizar, entender e responder a essas ameaças.

As equipes de segurança geralmente sofrem com a fadiga de alerta ao gerenciar um número excessivo de descobertas de ameaças. Essa situação pode levar a respostas perdidas ou atrasadas. Essas equipes precisam de informações priorizadas e relevantes rapidamente para identificar atividades pós-exploração.

As ameaças correlacionadas ajudam agregando várias descobertas de ameaças relacionadas em um problema. Essa agregação ajuda a fornecer detecções de maior confiança para você agir. As ameaças correlacionadas geram um problema, que representa uma série de atividades maliciosas relacionadas.

Esse recurso oferece vários benefícios:

  • Reduz a fadiga de alertas ao consolidar várias descobertas em problemas críticos.
  • Melhora a fidelidade da detecção ao combinar vários indicadores, o que ajuda a aumentar a confiança na detecção de atividades maliciosas.
  • Oferece uma visualização da cadeia de ataque, mostrando como os eventos se conectam para ajudar a formar uma história completa do ataque. Essa abordagem ajuda a antecipar as ações do adversário e identificar rapidamente os recursos comprometidos.
  • Destaca ameaças críticas e fornece recomendações claras, ajudando você a priorizar e acelerar sua resposta.

Como as ameaças correlacionadas funcionam

O recurso de ameaças correlacionadas usa um mecanismo de regras para identificar e agrupar descobertas de segurança relacionadas.

O mecanismo de regras consulta o grafo de segurança com consultas predefinidas de ameaças correlacionadas. O mecanismo cria problemas quando um padrão é identificado. O Security Command Center gerencia o ciclo de vida desses problemas.

Ciclo de vida do problema

Um problema permanece ativo por 14 dias após a primeira descoberta de ameaça se você não definir o estado como INACTIVE. Não é possível mudar esse período. As ameaças correlacionadas definem automaticamente o estado do problema como INACTIVE se os recursos subjacentes, como VMs ou nós do Google Kubernetes Engine, forem excluídos.

Frequência de análise

O Security Command Center processa as regras de ameaças correlacionadas a cada hora.

Regras de ameaças correlacionadas

As ameaças correlacionadas ajudam a identificar vários padrões de ataque em vários estágios em recursos de nuvem. A tabela a seguir define as regras de ameaças correlacionadas disponíveis.

Regra Descrição
Vários indicadores de ameaça correlacionados de software de mineração de criptomoedas Procure vários sinais distintos de software malicioso provenientes de máquinas virtuais do Google Cloud , incluindo VMs do Compute Engine e nós do Google Kubernetes Engine (GKE) (e os pods deles).

Os exemplos incluem:

  • A VM Threat Detection detecta um programa de criptomoeda, e o Event Threat Detection detecta conexões com endereços IP ou domínios de criptomoeda da mesma VM.
  • O Detecção de Ameaças em Contêiner detecta um programa que está usando o protocolo de estrato de mineração de criptomoedas, e o Event Threat Detection detecta uma conexão com um endereço IP de mineração de criptomoedas no mesmo nó do Google Kubernetes Engine.
Vários indicadores de ameaça correlacionados de software malicioso Procure vários sinais distintos de software malicioso provenientes de máquinas virtuais do Google Cloud, incluindo VMs do Compute Engine e nós do GKE (e os pods deles) ou o Agent Runtime.

Os exemplos incluem:

  • O Container Threat Detection detecta se um binário malicioso e um script Python malicioso estão em execução no mesmo pod.
  • O Event Threat Detection detecta uma VM que está se conectando a um endereço IP de malware, e a VM Threat Detection detecta malware no disco na mesma VM.
  • A Detecção de Ameaças da Agent Platform detecta um URL mal-intencionado e um shell reverso do mesmo agente de IA.
Movimento lateral de conta do GCP potencialmente comprometida para recurso de computação comprometido Procure evidências de chamadas suspeitas para APIs de computação (Compute Engine ou GKE) que modificam uma VM ou um pod. Em seguida, a regra correlaciona essa atividade com uma atividade maliciosa que se origina do recurso de computação em um curto período. Os invasores costumam usar esse padrão de movimento lateral. Essa regra indica que a VM ou o pod provavelmente está comprometido. Essa regra também indica que a conta do Google Cloud (de usuário ou de serviço) pode ser a causa da atividade maliciosa.

Confira alguns exemplos:

  • O Event Threat Detection detecta que um usuário adicionou uma nova chave SSH a uma instância do Compute Engine, e a VM Threat Detection detecta um minerador de criptomoedas em execução na mesma instância.
  • O Event Threat Detection detecta que uma conta de serviço acessou uma instância usando a API Compute Engine da rede Tor e detecta conexões com um endereço IP malicioso da mesma instância.
  • O Event Threat Detection detecta que um usuário criou um contêiner privilegiado, e a Detecção de Ameaças em Contêiner detecta que o contêiner acessou arquivos confidenciais no nó do GKE do mesmo pod.

Investigar ameaças correlacionadas

As seções a seguir descrevem como investigar problemas de ameaças correlacionadas. Para saber como visualizar e corrigir problemas criados pelas regras de ameaças correlacionadas, consulte Gerenciar e corrigir problemas.

Recepção

Você recebe um problema de ameaças correlacionadas pelo Security Command Center. Esse problema indica que o sistema detectou e agrupou várias descobertas suspeitas. Você reconhece esse problema como de alta prioridade, porque ele está marcado como uma Ameaça ativa. A correlação de vários indicadores indica um verdadeiro positivo que requer foco imediato. Para mais informações, consulte Gerenciar e corrigir problemas.

Desconstrução

Abra o problema para ver as partes dele. Na visualização de detalhes do problema, é possível expandir uma seção para ver as descobertas individuais. Por exemplo, se um script nocivo for executado em um nó do GKE e se conectar a um endereço IP malicioso, os dois eventos vão aparecer juntos. Verifique os detalhes de cada descoberta, como quando ela ocorreu, quais processos estavam envolvidos, os endereços IP mal-intencionados e de onde veio a detecção. Essas informações indicam que os eventos estão potencialmente relacionados e explicam os detalhes técnicos do ataque. Uma visualização cronológica mostra a sequência de eventos. O sistema mapeia esses detalhes para os estágios da cadeia de ataque do MITRE ATT&CK e os apresenta em uma visualização da cadeia de ataque. Esse recurso fornece contexto imediato sobre o estágio do ataque.

Identificação do escopo

Determine a extensão da ameaça. Verifique as informações contextuais sobre os eventos correlacionados, como o recurso afetado e o contexto do projeto ou do cluster. A plataforma correlaciona problemas por recurso, usando identificadores exclusivos para vincular eventos ao mesmo nó. Mostra o recurso afetado. Verifique se outros recursos mostram sinais semelhantes. Anote as identidades envolvidas, como a conta de serviço ou o usuário que executou o script malicioso. Essa visualização com escopo ajuda você a se concentrar nos sistemas afetados e confirma se o incidente é localizado ou generalizado.

Próximas ações

O sistema marca os problemas de ameaça correlacionada com uma gravidade crítica. As ações recomendadas estão nas visualizações Como corrigir. Contenha o recurso afetado, por exemplo, isolando ou encerrando o nó do GKE afetado. Siga as recomendações, como bloquear o IP malicioso conhecido no nível do firewall ou da VPC na nuvem. As ações recomendadas ajudam você a responder mais rapidamente, conter o incidente e iniciar uma investigação focada. Para mais informações sobre como investigar ameaças, consulte Como investigar ameaças.

A seguir