Descripción general de las amenazas correlacionadas

La función Correlated Threats de Security Command Center te ayuda a descubrir amenazas activas críticas en tu entorno. Correlated Threats genera un conjunto de hallazgos de amenazas relacionados y proporciona explicaciones detalladas sobre estos hallazgos, que luego puedes usar para priorizar, comprender y responder a estas amenazas.

Los equipos de seguridad suelen experimentar fatiga por alertas debido a la administración de una gran cantidad de hallazgos de amenazas. Esta situación puede provocar respuestas perdidas o retrasadas. Estos equipos requieren información priorizada y pertinente rápidamente para identificar la actividad posterior a la explotación.

Correlated Threats ayuda a agregar varios hallazgos de amenazas relacionados en un problema. Esta agregación ayuda a proporcionar detecciones de mayor confianza en las que puedes tomar medidas. Correlated Threats genera un problema, que representa una serie de actividades maliciosas relacionadas.

Esta función ofrece varios beneficios:

  • Reduce la fatiga por alertas mediante la consolidación de numerosos hallazgos en problemas críticos.
  • Mejora la fidelidad de la detección combinando varias señales, lo que ayuda a aumentar la confianza en la detección de actividades maliciosas.
  • Proporciona una visualización de la cadena de ataque, que muestra cómo se conectan los eventos para ayudar a formar una historia de ataque completa. Este enfoque te ayuda a anticipar los movimientos del adversario y a identificar rápidamente los recursos vulnerados.
  • Destaca las amenazas críticas y proporciona recomendaciones claras, lo que te ayuda a priorizar y acelerar tu respuesta.

Cómo funciona Correlated Threats

La función Correlated Threats usa un motor de reglas para identificar y agrupar los hallazgos de seguridad relacionados.

El motor de reglas consulta el gráfico de seguridad con consultas predefinidas de Correlated Threats. Luego, el motor crea problemas cuando se identifica un patrón. Security Command Center administra el ciclo de vida de estos problemas.

Ciclo de vida de los problemas

Un problema permanece activo durante 14 días después del primer hallazgo de amenazas si no estableces el estado en INACTIVE. Este período no se puede cambiar. Correlated Threats establece automáticamente el estado del problema en INACTIVE si se borran los recursos subyacentes, como las VMs o los nodos de Google Kubernetes Engine.

Frecuencia de análisis

Security Command Center procesa las reglas de Correlated Threats por hora.

Reglas de Correlated Threats

Correlated Threats ayuda a identificar varios patrones de ataque de varias etapas en los recursos de la nube. En la siguiente tabla, se definen las reglas de Correlated Threats disponibles.

Regla Descripción
Varias señales de amenazas correlacionadas de software de minería de criptomonedas Busca varias señales distintas de software malicioso provenientes de Google Cloud máquinas virtuales, incluidas las VMs de Compute Engine y los nodos de Google Kubernetes Engine (GKE) (y sus pods).

Algunos ejemplos son los siguientes:

  • VM Threat Detection detecta un programa de criptomonedas, y Event Threat Detection detecta conexiones a direcciones IP o dominios de criptomonedas desde la misma VM.
  • Container Threat Detection detecta un programa que usa el protocolo de estrato de minería de criptomonedas y Event Threat Detection detecta una conexión a una dirección IP de minería de criptomonedas desde el mismo nodo de Google Kubernetes Engine.
Varias señales de amenazas correlacionadas de software malicioso Busca varias señales distintas de software malicioso provenientes de Google Cloudmáquinas virtuales, incluidas las VMs de Compute Engine y los nodos de GKE (y sus Pods) o Agent Runtime.

Algunos ejemplos son los siguientes:

  • Container Threat Detection detecta si un archivo binario malicioso y una secuencia de comandos de Python maliciosa se ejecutan en el mismo pod.
  • Event Threat Detection detecta una VM que se conecta a una dirección IP de software malicioso, y VM Threat Detection detecta software malicioso en el disco de la misma VM.
  • Agent Platform Threat Detection detecta una URL maliciosa y un shell inverso desde el mismo agente de IA.
Movimiento lateral de la cuenta de GCP potencialmente vulnerada al recurso de procesamiento vulnerado Busca evidencia de llamadas sospechosas a las APIs de procesamiento (Compute Engine o GKE) que modifican una VM o un pod. Luego, la regla correlaciona esa actividad con actividad maliciosa que se origina en el recurso de procesamiento en un período breve. Los atacantes suelen usar este patrón de movimiento lateral. Esta regla indica que es probable que la VM o el pod estén vulnerados. Esta regla también indica que la Google Cloud cuenta (ya sea de usuario o de servicio) puede ser la causa de la actividad maliciosa.

Algunos ejemplos son los siguientes:

  • Event Threat Detection detecta que un usuario agregó una nueva clave SSH a una instancia de Compute Engine, y VM Threat Detection detecta un minero de criptomonedas que se ejecuta en la misma instancia.
  • Event Threat Detection detecta que una cuenta de servicio accedió a una instancia con la API de Compute Engine desde la red Tor, y Event Threat Detection detecta conexiones a una dirección IP maliciosa desde la misma instancia.
  • Event Threat Detection detecta que un usuario creó un contenedor con privilegios y Container Threat Detection detecta que el contenedor accedió a archivos sensibles en el nodo de GKE desde el mismo pod.

Investiga Correlated Threats

Correlated Threats te guía a través de un proceso de investigación estructurado. Este proceso te ayuda a comprender y responder a los incidentes de seguridad de manera eficaz. Puedes usar el índice de hallazgos de amenazas para encontrar más información sobre un hallazgo de amenazas específico. En cada página específica de hallazgos, se describe cómo investigar la amenaza y responder a ella.

Recepción

Recibes un problema de Correlated Threats a través de Security Command Center. Este problema indica que el sistema detectó y agrupó varios hallazgos sospechosos. Reconoces este problema como de alta prioridad, ya que está marcado como una amenaza activa. La correlación de varias señales indica un verdadero positivo que justifica un enfoque inmediato. Para obtener más información, consulta Administra y soluciona problemas.

Deconstrucción

Abre el problema para ver sus partes. En la vista de detalles del problema, puedes expandir una sección para ver los hallazgos individuales. Por ejemplo, si se ejecuta una secuencia de comandos dañina en un nodo de GKE y, luego, se conecta a una dirección IP maliciosa, ambos eventos aparecen juntos. Verifica los detalles de cada hallazgo, como cuándo ocurrió, qué procesos estuvieron involucrados, las direcciones IP maliciosas y de dónde provino la detección. Esta información indica que los eventos están potencialmente relacionados y explica los detalles técnicos del ataque. Una vista cronológica muestra la secuencia de eventos. El sistema asigna estos detalles a las etapas de la cadena de ataque de MITRE ATT&CK y los presenta en una visualización de la cadena de ataque. Esta función te brinda contexto inmediato sobre la etapa del ataque.

Identificación del alcance

Determina el alcance de la amenaza. Verifica la información contextual sobre los eventos correlacionados, como el recurso afectado y su contexto de proyecto o clúster. La plataforma correlaciona los problemas por recurso, con identificadores únicos para vincular eventos al mismo nodo. Esto muestra el recurso afectado. Verifica si otros recursos muestran signos similares. Ten en cuenta las identidades involucradas, como la cuenta de servicio o el usuario que ejecutó la secuencia de comandos maliciosa. Esta vista con alcance te ayuda a enfocarte en los sistemas afectados y confirma si el incidente es localizado o generalizado.

Próximas acciones

El sistema marca los problemas de Correlated Threats con una gravedad crítica. Puedes encontrar las acciones recomendadas en las vistas Cómo solucionar. Contén el recurso afectado, por ejemplo, aísla o cierra el nodo de GKE afectado. Sigue las recomendaciones, como bloquear la IP maliciosa conocida a nivel del firewall o de la VPC de la nube. Las acciones recomendadas te ayudan a responder más rápido, contener el incidente y comenzar una investigación enfocada. Para obtener más información sobre la investigación de amenazas, consulta Cómo investigar amenazas.

¿Qué sigue?