Descripción general de las amenazas correlacionadas

La función Amenazas correlacionadas te ayuda a descubrir y responder a las amenazas activas agregando hallazgos de amenazas relacionados en un solo problema práctico. Agrupando las actividades maliciosas conectadas y explicando la secuencia de ataque subyacente, Correlated Threats ayuda a reducir la fatiga por alertas y aumentar la confianza en la detección.

Beneficios

La función Amenazas correlacionadas ofrece los siguientes beneficios:

  • Reduce la fatiga por alertas, ya que consolida numerosos hallazgos en Critical problemas.
  • Mejora la fidelidad de la detección combinando varias señales, lo que ayuda a aumentar la confianza en la detección de actividad maliciosa.
  • Proporciona una visualización de la cadena de ataque, que muestra cómo se conectan los eventos para ayudar a formar una historia de ataque completa. Este enfoque te ayuda a anticipar los movimientos de los adversarios y a identificar rápidamente los recursos comprometidos.
  • Destaca las amenazas críticas y proporciona recomendaciones claras para ayudarte a priorizar y acelerar tu respuesta.

Cómo funcionan las amenazas correlacionadas

La función Amenazas correlacionadas usa un motor de reglas para identificar y agrupar hallazgos de seguridad relacionados.

El motor de reglas consulta el gráfico de seguridad con consultas de amenazas correlacionadas predefinidas. Luego, el motor crea problemas cuando se identifica un patrón. Security Command Center administra el ciclo de vida de estos problemas.

Ciclo de vida de los problemas

Un problema permanece activo durante 14 días después del primer hallazgo de amenaza si no estableces el estado en INACTIVE. Este período no se puede cambiar. Las amenazas correlacionadas establecen automáticamente el estado del problema en INACTIVE si se borran los recursos subyacentes, como las VMs o los nodos de Google Kubernetes Engine.

Frecuencia de búsqueda

Security Command Center procesa las reglas de amenazas correlacionadas cada hora.

Reglas de amenazas correlacionadas

Las amenazas correlacionadas ayudan a identificar varios patrones de ataque de varias etapas en los recursos de la nube. En la siguiente tabla, se definen las reglas de amenazas correlacionadas disponibles.

Regla Descripción
Múltiples indicadores de amenazas correlacionados de software de minería de criptomonedas Busca varios indicadores distintos de software malicioso que provengan de máquinas virtuales de Google Cloud , incluidas las VMs de Compute Engine y los nodos de Google Kubernetes Engine (GKE) (y sus Pods).

Algunos ejemplos son los siguientes:

  • VM Threat Detection detecta un programa de criptomonedas y Event Threat Detection detecta conexiones a direcciones IP o dominios de criptomonedas desde la misma VM.
  • Container Threat Detection detecta un programa que usa el protocolo de estrato de minería de criptomonedas, y Event Threat Detection detecta una conexión a una dirección IP de minería de criptomonedas desde el mismo nodo de Google Kubernetes Engine.
Múltiples indicadores de amenazas correlacionados de software malicioso Busca varios indicadores distintos de software malicioso que provengan de máquinas virtuales de Google Cloud, incluidas las VMs de Compute Engine y los nodos de GKE (y sus Pods) o Agent Runtime.

Algunos ejemplos son los siguientes:

  • Container Threat Detection detecta si se ejecutan un objeto binario malicioso y una secuencia de comandos de Python maliciosa en el mismo Pod.
  • Event Threat Detection detecta una VM que se conecta a una dirección IP de malware, y VM Threat Detection detecta malware en el disco de la misma VM.
  • Agent Platform Threat Detection detecta una URL maliciosa y una shell inversa del mismo agente de IA.
Movimiento lateral de una cuenta de GCP potencialmente comprometida a un recurso de cómputo comprometido Busca evidencia de llamadas sospechosas a las APIs de procesamiento (Compute Engine o GKE) que modifiquen una VM o un Pod. Luego, la regla correlaciona esa actividad con la actividad maliciosa que se origina en el recurso de procesamiento en un período breve. Los atacantes suelen usar este patrón de movimiento lateral. Esta regla indica que es probable que la VM o el Pod estén comprometidos. Esta regla también indica que la cuenta de Google Cloud (ya sea de usuario o de servicio) puede ser la causa de la actividad maliciosa.

Estos son algunos ejemplos:

  • Event Threat Detection detecta que un usuario agregó una clave SSH nueva a una instancia de Compute Engine, y VM Threat Detection detecta un minero de criptomonedas que se ejecuta en la misma instancia.
  • Event Threat Detection detecta que una cuenta de servicio accedió a una instancia con la API de Compute Engine desde la red de Tor, y Event Threat Detection detecta conexiones a una dirección IP maliciosa desde la misma instancia.
  • Event Threat Detection detecta que un usuario creó un contenedor con privilegios y Container Threat Detection detecta que el contenedor accedió a archivos sensibles en el nodo de GKE desde el mismo Pod.

Investiga las amenazas correlacionadas

En las siguientes secciones, se describe cómo investigar los problemas de amenazas correlacionadas. Para obtener información sobre cómo ver y solucionar problemas creados por las reglas de amenazas correlacionadas, consulta Administra y soluciona problemas.

Recepción escolar

Recibes un problema de amenazas correlacionadas a través de Security Command Center. Este problema indica que el sistema detectó y agrupó varios hallazgos sospechosos. Reconoces este problema como de alta prioridad, ya que está marcado como una Amenaza activa. La correlación de varios indicadores señala un verdadero positivo que requiere atención inmediata. Para obtener más información, consulta Administra y corrige problemas.

Deconstrucción

Abre el problema para ver sus partes. En la vista de detalles del problema, puedes expandir una sección para ver los hallazgos individuales. Por ejemplo, si una secuencia de comandos dañina se ejecuta en un nodo de GKE y, luego, se conecta a una dirección IP maliciosa, ambos eventos aparecen juntos. Verifica los detalles de cada hallazgo, como cuándo ocurrió, qué procesos estuvieron involucrados, las direcciones IP maliciosas y de dónde provino la detección. Esta información indica que los eventos están potencialmente relacionados y explica los detalles técnicos del ataque. Una vista cronológica muestra la secuencia de eventos. El sistema asigna estos detalles a las etapas de la cadena de ataque de MITRE ATT&CK y los presenta en una visualización de la cadena de ataque. Esta función te brinda contexto inmediato sobre la etapa del ataque.

Identificación del alcance

Determinar el alcance de la amenaza Verifica la información contextual sobre los eventos correlacionados, como el recurso afectado y su contexto de proyecto o clúster. La plataforma correlaciona los problemas por recurso y usa identificadores únicos para vincular los eventos al mismo nodo. Aquí se muestra el recurso afectado. Verifica si otros activos muestran indicios similares. Toma nota de las identidades involucradas, como la cuenta de servicio o el usuario que ejecutó la secuencia de comandos maliciosa. Esta vista con alcance te ayuda a enfocarte en los sistemas afectados y confirma si el incidente está localizado o generalizado.

Próximas acciones

El sistema marca los problemas de amenazas correlacionadas con una gravedad crítica. Puedes encontrar las acciones recomendadas en las vistas de Cómo corregir. Contén el recurso afectado, por ejemplo, aislando o cerrando el nodo de GKE afectado. Sigue las recomendaciones, como bloquear la IP maliciosa conocida en el firewall o a nivel de la VPC de la nube. Las acciones recomendadas te ayudan a responder más rápido, contener el incidente y, además, iniciar una investigación enfocada. Para obtener más información sobre cómo investigar amenazas, consulta Cómo investigar amenazas.

¿Qué sigue?