Visão geral das ameaças correlacionadas

O recurso de ameaças correlacionadas do Security Command Center ajuda a descobrir ameaças ativas críticas no seu ambiente. As ameaças correlacionadas geram um conjunto de descobertas de ameaças relacionadas e oferecem explicações detalhadas sobre elas, que podem ser usadas para priorizar, entender e responder a essas ameaças.

As equipes de segurança geralmente sofrem com a fadiga de alertas ao gerenciar um número excessivo de descobertas de ameaças. Essa situação pode levar a respostas perdidas ou atrasadas. Essas equipes precisam de informações relevantes e priorizadas rapidamente para identificar atividades pós-exploração.

As ameaças correlacionadas ajudam agregando várias descobertas de ameaças relacionadas em um problema. Essa agregação ajuda a fornecer detecções mais confiáveis para que você possa agir. O Correlated Threats gera um problema, que representa uma série de atividades maliciosas relacionadas.

Esse recurso oferece vários benefícios:

  • Reduz a fadiga de alertas ao consolidar várias descobertas em problemas críticos.
  • Aumenta a fidelidade da detecção combinando vários indicadores, o que ajuda a aumentar a confiança na detecção de atividades maliciosas.
  • Fornece uma visualização da cadeia de ataque, mostrando como os eventos se conectam para ajudar a formar uma história completa de ataque. Essa abordagem ajuda a antecipar os movimentos do adversário e identificar rapidamente os recursos comprometidos.
  • Destaca ameaças críticas e oferece recomendações claras, ajudando você a priorizar e acelerar sua resposta.

Como as ameaças correlacionadas funcionam

O recurso de ameaças correlacionadas usa um mecanismo de regras para identificar e agrupar descobertas de segurança relacionadas.

O mecanismo de regras consulta o grafo de segurança com consultas de ameaças correlacionadas predefinidas. Em seguida, o mecanismo cria problemas quando um padrão é identificado. O Security Command Center gerencia o ciclo de vida desses problemas.

Ciclo de vida do problema

Um problema permanece ativo por 14 dias após a primeira descoberta de ameaça se você não definir o estado como INACTIVE. Não é possível mudar esse período. As ameaças correlacionadas definem automaticamente o estado do problema como INACTIVE se os recursos subjacentes, como VMs ou nós do Google Kubernetes Engine, forem excluídos.

Frequência de análise

O Security Command Center processa as regras de ameaças correlacionadas a cada hora.

Regras de ameaças correlacionadas

As ameaças correlacionadas ajudam a identificar vários padrões de ataque de vários estágios em recursos da nuvem. A tabela a seguir define as regras de ameaças correlacionadas disponíveis.

Regra Descrição
Vários indicadores de ameaças correlacionados de software de mineração de criptomoedas Procure vários indicadores distintos de software malicioso provenientes de máquinas virtuais Google Cloud , incluindo VMs do Compute Engine e nós do Google Kubernetes Engine (GKE) (e os pods deles).

Os exemplos incluem:

  • A VM Threat Detection detecta um programa de criptomoedas, e a Event Threat Detection detecta conexões com endereços IP ou domínios de criptomoedas da mesma VM.
  • A Detecção de Ameaças em Contêiner detecta um programa que está usando o protocolo de camada de mineração de criptomoedas e o Event Threat Detection detecta uma conexão com um endereço IP de mineração de criptomoedas do mesmo nó do Google Kubernetes Engine.
Vários indicadores de ameaças correlacionados de software malicioso Procure vários sinais distintos de software malicioso provenientes de máquinas virtuais do Google Cloud, incluindo VMs do Compute Engine e nós do GKE (e os pods deles) ou o Agent Runtime.

Os exemplos incluem:

  • A Detecção de Ameaças em Contêiner detecta se um binário e um script Python maliciosos estão sendo executados no mesmo pod.
  • A Event Threat Detection detecta uma VM que está se conectando a um endereço IP de malware, e a VM Threat Detection detecta malware no disco na mesma VM.
  • A detecção de ameaças da Agent Platform detecta um URL mal-intencionado e um shell reverso do mesmo agente de IA.
Movimento lateral de uma conta do GCP potencialmente comprometida para um recurso de computação comprometido Procure evidências de chamadas suspeitas para APIs de computação (Compute Engine ou GKE) que modificam uma VM ou um pod. Em seguida, a regra correlaciona essa atividade com atividades maliciosas originadas do recurso de computação em um curto período. Os invasores costumam usar esse padrão de movimento lateral. Essa regra indica que a VM ou o pod provavelmente está comprometido. Essa regra também indica que a conta Google Cloud (de usuário ou de conta de serviço) pode ser a causa da atividade maliciosa.

Exemplos incluem:

  • O Event Threat Detection detecta que um usuário adicionou uma nova chave SSH a uma instância do Compute Engine, e a VM Threat Detection detecta um minerador de criptomoedas em execução na mesma instância.
  • O Event Threat Detection detecta que uma conta de serviço acessou uma instância usando a API Compute Engine na rede Tor, e o Event Threat Detection detecta conexões com um endereço IP malicioso da mesma instância.
  • Event Threat Detection detecta que um usuário criou um contêiner privilegiado e a Detecção de Ameaças em Contêiner detecta que o contêiner acessou arquivos sensíveis no nó do GKE do mesmo pod.

Investigar ameaças correlacionadas

As ameaças correlacionadas orientam você em um processo de investigação estruturado. Esse processo ajuda você a entender e responder a incidentes de segurança de maneira eficaz. Use o Índice de descobertas de ameaças para encontrar mais informações sobre uma descoberta de ameaça específica. Cada página específica de descoberta descreve como investigar e responder à ameaça.

Recepção

Você recebe um problema de ameaças correlacionadas pelo Security Command Center. Esse problema indica que o sistema detectou e agrupou várias descobertas suspeitas. Você reconhece esse problema como de alta prioridade porque ele está marcado como uma ameaça ativa. A correlação de vários indicadores indica um verdadeiro positivo que exige atenção imediata. Para mais informações, consulte Gerenciar e corrigir problemas.

Desconstrução

Abra a edição para ver as partes dela. Na visualização de detalhes do problema, é possível abrir uma seção para conferir as descobertas individuais. Por exemplo, se um script malicioso for executado em um nó do GKE e se conectar a um endereço IP malicioso, os dois eventos vão aparecer juntos. Verifique os detalhes de cada descoberta, como quando ela ocorreu, quais processos estavam envolvidos, os endereços IP mal-intencionados e de onde veio a detecção. Essas informações indicam que os eventos estão potencialmente relacionados e explicam os detalhes técnicos do ataque. Uma visualização cronológica mostra a sequência de eventos. O sistema mapeia esses detalhes para os estágios da cadeia de ataque do MITRE ATT&CK e os apresenta em uma visualização da cadeia de ataque. Esse recurso oferece contexto imediato sobre a fase do ataque.

Identificação do escopo

Determine a extensão da ameaça. Verifique informações contextuais sobre os eventos correlacionados, como o recurso afetado e o contexto do projeto ou cluster. A plataforma correlaciona problemas por recurso, usando identificadores exclusivos para vincular eventos ao mesmo nó. Isso mostra o recurso afetado. Verifique se outros recursos mostram sinais semelhantes. Observe as identidades envolvidas, como a conta de serviço ou o usuário que executou o script malicioso. Essa visualização com escopo ajuda você a se concentrar nos sistemas afetados e confirma se o incidente é localizado ou generalizado.

Próximas ações

O sistema marca problemas de ameaça correlacionada com uma gravidade crítica. Você encontra as ações recomendadas nas visualizações Como corrigir. Contenha o recurso afetado, por exemplo, isolando ou desligando o nó do GKE afetado. Siga as recomendações, como bloquear o IP malicioso conhecido no firewall ou no nível da VPC da nuvem. As ações recomendadas ajudam você a responder mais rápido, conter o incidente e iniciar uma investigação focada. Para mais informações sobre como investigar ameaças, consulte Como investigar ameaças.

A seguir