Présentation des menaces corrélées

La fonctionnalité Menaces corrélées de Security Command Center vous aide à détecter les menaces actives critiques dans votre environnement. "Menaces corrélées" génère un ensemble de résultats de menaces associées et fournit des explications détaillées sur ces résultats, que vous pouvez ensuite utiliser pour hiérarchiser, comprendre et répondre à ces menaces.

Les équipes de sécurité sont souvent submergées par le nombre d'alertes qu'elles doivent gérer. Cette situation peut entraîner des réponses manquées ou retardées. Ces équipes ont besoin d'informations pertinentes et prioritaires rapidement pour identifier les activités post-exploitation.

Les menaces corrélées permettent d'agréger plusieurs résultats de menaces associés dans un problème. Cette agrégation permet de fournir des détections plus fiables sur lesquelles vous pouvez agir. "Menaces corrélées" génère un problème, qui représente une série d'activités malveillantes associées.

Cette fonctionnalité présente plusieurs avantages :

  • Réduit la fatigue liée aux alertes en regroupant de nombreux résultats en problèmes critiques.
  • Améliore la fidélité de la détection en combinant plusieurs signaux, ce qui permet d'accroître la confiance dans la détection des activités malveillantes.
  • Fournit une visualisation de la chaîne d'attaque, montrant comment les événements se connectent pour aider à former une histoire d'attaque complète. Cette approche vous aide à anticiper les actions des pirates et à identifier rapidement les ressources compromises.
  • Il met en évidence les menaces critiques et fournit des recommandations claires, ce qui vous aide à prioriser et à accélérer votre réponse.

Fonctionnement des menaces corrélées

La fonctionnalité Menaces corrélées utilise un moteur de règles pour identifier et regrouper les résultats de sécurité associés.

Le moteur de règles interroge le graphe de sécurité à l'aide de requêtes de menaces corrélées prédéfinies. Le moteur crée ensuite des problèmes lorsqu'un modèle est identifié. Security Command Center gère le cycle de vie de ces problèmes.

Cycle de vie d'un problème

Un problème reste actif pendant 14 jours après la première détection de menace si vous ne définissez pas l'état sur INACTIVE. Cette période ne peut pas être modifiée. Les menaces corrélées définissent automatiquement l'état du problème sur INACTIVE si les ressources sous-jacentes, telles que les VM ou les nœuds Google Kubernetes Engine, sont supprimées.

Fréquence d'analyse

Security Command Center traite les règles de menace corrélée toutes les heures.

Règles de menaces corrélées

Les menaces corrélées permettent d'identifier différents schémas d'attaque en plusieurs étapes sur les ressources cloud. Le tableau suivant définit les règles de menaces corrélées disponibles.

Règle Description
Plusieurs signaux de menace corrélés de logiciels de minage de cryptomonnaie Recherchez plusieurs signaux distincts de logiciels malveillants provenant de machines virtuelles Google Cloud , y compris de VM Compute Engine et de nœuds Google Kubernetes Engine (GKE) (et de leurs pods).

Voici quelques exemples :

  • VM Threat Detection détecte un programme de cryptomonnaie, et Event Threat Detection détecte les connexions à des adresses IP ou des domaines de cryptomonnaie à partir de la même VM.
  • Container Threat Detection détecte un programme qui utilise le protocole de minage de cryptomonnaie Stratum, et Event Threat Detection détecte une connexion à une adresse IP de minage de cryptomonnaie à partir du même nœud Google Kubernetes Engine.
Plusieurs signaux de menace corrélés de logiciels malveillants Recherchez plusieurs signaux distincts de logiciels malveillants provenant de machines virtuelles Google Cloud, y compris de VM Compute Engine et de nœuds GKE (et de leurs pods) ou d'Agent Runtime.

Voici quelques exemples :

  • Container Threat Detection détecte si un binaire malveillant et un script Python malveillant s'exécutent dans le même pod.
  • Event Threat Detection détecte une VM qui se connecte à une adresse IP de logiciel malveillant, et VM Threat Detection détecte un logiciel malveillant sur le disque de la même VM.
  • Agent Platform Threat Detection détecte une URL malveillante et une interface système inversée provenant du même agent IA.
Mouvement latéral d'un compte GCP potentiellement compromis vers une ressource de calcul compromise Recherchez des preuves d'appels suspects aux API de calcul (Compute Engine ou GKE) qui modifient une VM ou un pod. La règle met ensuite en corrélation cette activité avec une activité malveillante provenant de la ressource de calcul sur une courte période. Les pirates informatiques utilisent couramment ce modèle de mouvement latéral. Cette règle indique que la VM ou le pod est probablement compromis. Cette règle indique également que le compte Google Cloud (utilisateur ou compte de service) peut être à l'origine de l'activité malveillante.

Voici quelques exemples :

  • Event Threat Detection détecte qu'un utilisateur a ajouté une clé SSH à une instance Compute Engine, et VM Threat Detection détecte un mineur de cryptomonnaie s'exécutant sur la même instance.
  • Event Threat Detection détecte qu'un compte de service a accédé à une instance à l'aide de l'API Compute Engine à partir du réseau Tor, et Event Threat Detection détecte des connexions à une adresse IP malveillante à partir de la même instance.
  • Event Threat Detection détecte qu'un utilisateur a créé un conteneur privilégié, et Container Threat Detection détecte que le conteneur a accédé à des fichiers sensibles sur le nœud GKE à partir du même pod.

Examiner les menaces corrélées

Les sections suivantes expliquent comment examiner les problèmes liés aux menaces corrélées. Pour savoir comment afficher et corriger les problèmes créés par les règles de menaces corrélées, consultez Gérer et corriger les problèmes.

Réception

Vous recevez un problème de menaces corrélées via Security Command Center. Ce problème indique que le système a détecté et regroupé plusieurs résultats suspects. Vous reconnaissez que ce problème est hautement prioritaire, car il est marqué comme une menace active. La corrélation de plusieurs signaux indique un vrai positif qui nécessite une attention immédiate. Pour en savoir plus, consultez Gérer et résoudre les problèmes.

Déconstruction

Ouvrez le problème pour en voir les différentes parties. Dans la vue des détails du problème, vous pouvez développer une section pour afficher les résultats individuels. Par exemple, si un script nuisible s'exécute sur un nœud GKE, puis se connecte à une adresse IP malveillante, les deux événements s'affichent ensemble. Vérifiez les détails de chaque résultat, par exemple quand il s'est produit, quels processus étaient impliqués, les adresses IP malveillantes et d'où provient la détection. Ces informations indiquent que les événements sont potentiellement liés et expliquent les détails techniques de l'attaque. Une vue chronologique montre la séquence des événements. Le système mappe ces détails aux étapes de la chaîne d'attaque MITRE ATT&CK et les présente dans une visualisation de la chaîne d'attaque. Cette fonctionnalité vous donne un contexte immédiat sur l'étape de l'attaque.

Identification du champ d'application

Déterminez l'étendue de la menace. Vérifiez les informations contextuelles sur les événements corrélés, telles que l'élément concerné et son contexte de projet ou de cluster. La plate-forme met en corrélation les problèmes par ressource, en utilisant des identifiants uniques pour associer les événements au même nœud. Il s'agit du composant concerné. Vérifiez si d'autres assets présentent des signes similaires. Notez les identités impliquées, telles que le compte de service ou l'utilisateur qui a exécuté le script malveillant. Cette vue limitée vous aide à vous concentrer sur les systèmes concernés et à confirmer si l'incident est localisé ou généralisé.

Actions suivantes

Le système marque les problèmes de menace corrélée avec un niveau de gravité critique. Vous trouverez les actions recommandées dans les vues Résoudre les problèmes. Contenez l'élément concerné, par exemple en isolant ou en arrêtant le nœud GKE affecté. Suivez les recommandations, par exemple en bloquant l'adresse IP malveillante connue au niveau du pare-feu ou du VPC cloud. Les actions recommandées vous aident à réagir plus rapidement, à contenir l'incident et à lancer une investigation ciblée. Pour en savoir plus sur l'investigation des menaces, consultez Comment examiner les menaces.

Étapes suivantes