Bedrohungen untersuchen und darauf reagieren

In diesem Dokument wird beschrieben, wie Sie Bedrohungsergebnisse in Security Command Center untersuchen und darauf reagieren. So gehen Sie in der Regel vor, um eine Bedrohung zu beheben:

  1. Sehen Sie sich die Details zum Ergebnis an.
  2. Sehen Sie sich die verfügbaren Anleitungen an.
  3. Ermitteln Sie die entsprechenden Risiken in Ihrer Umgebung.
  4. Ergreifen Sie Maßnahmen, um die Bedrohung zu beheben und Ihre Ressourcen zu schützen.

Hinweis

Sie benötigen die erforderlichen IAM-Rollen (Identity and Access Management), um Ergebnisse und Logs aufzurufen oder zu bearbeiten und Google Cloud -Ressourcen zu ändern. Wenn in Security Command Center Zugriffsfehler auftreten, wenden Sie sich an Ihren Administrator und lesen Sie die Informationen zur Zugriffssteuerung, um mehr über Rollen zu erfahren. Informationen zum Beheben von Ressourcenfehlern finden Sie in der Dokumentation zu den betroffenen Produkten.

Ergebnis prüfen

Wenn Sie eine Bedrohung untersuchen möchten, sehen Sie sich die Details an, die Security Command Center im Ergebnis bereitstellt.

So prüfen Sie ein Ergebnis zu einer Bedrohung:

  1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse des Security Command Center auf.

    Zu Ergebnissen

  2. Wählen Sie bei Bedarf Ihr Google Cloud Projekt, Ihren Ordner oder Ihre Organisation aus.

  3. Klicken Sie im Abschnitt Schnellfilter auf einen geeigneten Filter, um das benötigte Ergebnis in der Tabelle Ergebnisse der Abfrage zu Ergebnissen anzeigen zu lassen. Wenn Sie beispielsweise im Unterabschnitt Anzeigename der Quelle die Option Event Threat Detection oder Container Threat Detection auswählen, werden in den Ergebnissen nur Ergebnisse des ausgewählten Dienstes angezeigt.

    Die Tabelle enthält die Ergebnisse für die ausgewählte Quelle.

  4. Klicken Sie auf den Namen des Ergebnisses unter Category, um Details zu einem bestimmten Ergebnis aufzurufen. Der Bereich mit den Ergebnisdetails wird maximiert und zeigt eine Zusammenfassung der Ergebnisdetails an.

  5. Klicken Sie auf den Tab JSON, um die JSON-Definition des Ergebnisses aufzurufen.

Die Ergebnisse liefern die Namen und numerischen Kennzeichnungen der an einem Vorfall beteiligten Ressourcen sowie Umgebungsvariablen und Asset-Attribute. Mit diesen Informationen können Sie betroffene Ressourcen isolieren und den potenziellen Umfang eines Ereignisses feststellen.

Bedrohungsergebnissen enthalten auch Links zu den folgenden externen Ressourcen, um Sie bei der Untersuchung zu unterstützen:

  • MITRE-ATT&CK-Framework-Einträge Das Framework erklärt Techniken für Angriffe auf Cloud-Ressourcen und bietet Anleitungen zur Problembehebung.

  • VirusTotal, ein Alphabet-eigener Dienst, der Kontext zu potenziell schädlichen Dateien, URLs, Domains und IP-Adressen bereitstellt. Falls verfügbar, enthält das Feld VirusTotal-Indikator einen Link zu VirusTotal, mit dem Sie potenzielle Sicherheitsprobleme weiter untersuchen können.

    VirusTotal ist ein separat berechnetes Angebot mit eigenen Nutzungslimits und Funktionen. Sie sind dafür verantwortlich, die Richtlinien zur API-Nutzung von VirusTotal und alle damit verbundenen Kosten zu verstehen und einzuhalten. Weitere Informationen finden Sie in der VirusTotal-Dokumentation.

Leitfaden für Untersuchungen

Nachdem Sie die Ergebnisdetails geprüft haben, sehen Sie sich die Empfehlungen für die Untersuchung und Reaktion an, die Security Command Center bereitstellt.

Security Command Center bietet informelle Anleitungen, die Ihnen bei der Untersuchung von Ergebnissen helfen. Diese Ergebnisse identifizieren verdächtige Aktivitäten in Ihrer Google Cloud -Umgebung, die möglicherweise von böswilligen Akteuren stammen. Mithilfe der Anleitung können Sie nachvollziehen, was bei einem potenziellen Angriff passiert ist, und mögliche Reaktionen für betroffene Ressourcen entwickeln.

Wenn Sie die Empfehlungen für die Untersuchung und Reaktion für ein Ergebnis aufrufen möchten, suchen Sie im Index der Bedrohungsergebnisse nach dem Ergebnis.

Sie können auch allgemeine Empfehlungen für die Reaktion auf die folgenden Arten von Bedrohungsbefunden aufrufen:

Bedrohungen über das Dashboard „Bedrohungen“ prüfen

Mit dem Dashboard Bedrohungen auf der Seite Risikoübersicht können Sie potenziell schädliche Ereignisse in Ihrer Google Cloud-Umgebung überwachen, priorisieren und untersuchen.

So greifen Sie auf das Dashboard Bedrohungen zu:

  1. Rufen Sie in der Google Cloud Console die Seite Bedrohungen von Security Command Center auf.

    Zu Bedrohungen

  2. Wählen Sie bei Bedarf Ihr Google Cloud Projekt, Ihren Ordner oder Ihre Organisation aus.

In den folgenden Abschnitten erfahren Sie, wie Sie Ihre Untersuchungen von Bedrohungen identifizieren und priorisieren können:

  • Neue Bedrohungen im Zeitverlauf: Hier werden potenziell schädliche Ereignisse in Ihren Ressourcen über einen von Ihnen angegebenen Zeitraum hinweg angezeigt. Der Standardzeitraum beträgt sieben Tage. Wenn Sie den angegebenen Zeitraum ändern möchten, verwenden Sie das Feld Zeitraum. In diesem Bereich können Sie plötzliche Spitzen bei Bedrohungsaktivitäten erkennen.
  • Top-Bedrohungen: Hier werden die folgenden Informationen angezeigt, damit Sie kritische Probleme erkennen können:
    • Bedrohungen nach Schweregrad: Hier wird die Anzahl der Bedrohungen in den einzelnen Schweregraden (z. B. CRITICAL, HIGH, MEDIUM oder LOW) angezeigt. Wenn Sie einen Schweregrad auswählen, werden die Ergebnisse gefiltert, sodass Sie sich zuerst auf die Risiken mit der höchsten Priorität konzentrieren können.
    • Bedrohungen nach Kategorie: Hier sehen Sie die Anzahl der Ergebnisse, die nach bestimmten Bedrohungstypen für alle Projekte klassifiziert sind.
    • Bedrohungen nach Projekt: Hier sehen Sie die Anzahl der Ergebnisse für die einzelnen Projekte Ihrer Organisation. So können Sie die Projekte mit der höchsten Bedrohungsaktivität ermitteln.

Wenn Sie in diesen Bereichen auf Datenelemente klicken, werden die entsprechenden Filter angewendet und Sie werden zur Seite Ergebnisse weitergeleitet. Dort können Sie bestimmte Bedrohungsergebnisse genauer untersuchen.

Zugehörige Risiken identifizieren

Um den Kontext einer Bedrohung besser zu verstehen und wiederkehrende Bedrohungen zu vermeiden, sollten Sie die zugehörigen Ergebnisse zu Sicherheitslücken und Fehlkonfigurationen prüfen und darauf reagieren. Diese Ergebnisse können auf Sicherheitsschwachstellen hinweisen, die die Bedrohung ermöglicht haben oder in Zukunft ausgenutzt werden könnten.

So finden Sie zugehörige Ergebnisse zu Sicherheitslücken und Fehlkonfigurationen:

Ergebnisattribut suchen

  1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse des Security Command Center auf.

    Zu Ergebnissen

  2. Sehen Sie sich das Ergebnis zur Bedrohung an und kopieren Sie den Wert eines Attributs, das wahrscheinlich in allen zugehörigen Ergebnissen zu Sicherheitslücken oder Fehlkonfigurationen enthalten ist, z. B. die E-Mail-Adresse des Prinzipal oder den Namen der betroffenen Ressource.

Ergebnisfilter erstellen

  1. Öffnen Sie auf der Seite Ergebnisse den Abfrageeditor, indem Sie auf Abfrage bearbeiten klicken.
  2. Klicken Sie auf Filter hinzufügen. Das Menü Filter auswählen wird geöffnet.

  3. Wählen Sie in der Liste der Filterkategorien auf der linken Seite des Menüs die Kategorie aus, die das Attribut enthält, das Sie im Threat-Ergebnis angegeben haben.

    Wenn Sie beispielsweise den vollständigen Namen der betroffenen Ressource notiert haben, wählen Sie Ressource aus. Die Attributtypen der Kategorie Ressource werden in der Spalte rechts angezeigt, einschließlich des Attributs Vollständiger Name.

  4. Wählen Sie aus den angezeigten Attributen den Attributtyp aus, den Sie im Threat-Ergebnis gefunden haben. Rechts wird ein Suchbereich für Attributwerte geöffnet, in dem alle gefundenen Werte des ausgewählten Attributtyps angezeigt werden.

  5. Fügen Sie in das Feld Filter den Attributwert ein, den Sie aus dem Threat-Ergebnis kopiert haben. Die angezeigte Liste der Werte wird aktualisiert und enthält nur noch die Werte, die mit dem eingefügten Wert übereinstimmen.

  6. Wählen Sie in der Liste der angezeigten Werte einen oder mehrere Werte aus und klicken Sie auf Übernehmen. Im Bereich Ergebnisse der Ergebnisabfrage werden nur die übereinstimmenden Ergebnisse angezeigt.

Ergebnisse nach Ergebnisklasse eingrenzen

Wenn eine große Anzahl von Ergebnissen angezeigt wird, können Sie sie filtern, indem Sie im Bereich Schnellfilter zusätzliche Filter auswählen.

Wenn Sie beispielsweise nur die Ergebnisse der Klassen Vulnerability und Misconfiguration anzeigen möchten, die die ausgewählten Attributwerte enthalten, gehen Sie im Bereich Schnellfilter zum Abschnitt Ergebnisklasse und wählen Sie Sicherheitslücke und Fehlkonfiguration aus.

Auf die Bedrohung reagieren

Nachdem Sie das Ergebnis geprüft, die Anleitung zur Untersuchung gelesen und die zugehörigen Risiken ermittelt haben, müssen Sie auf die Bedrohung reagieren und den Lebenszyklus des Ergebnisses in Security Command Center verwalten.

Vorgehensweise bei der Behebung von gefundenen Bedrohungen

Im Gegensatz zu Ergebnissen zu Sicherheitslücken und Fehlkonfigurationen bietet Security Command Center keine offiziellen Korrekturmaßnahmen für Bedrohungsergebnisse. Die informellen Empfehlungen von Security Command Center sind nicht zwangsläufig gegen frühere, aktuelle oder zukünftige Bedrohungen wirksam.

Konfigurationsfehler und Compliance-Verstöße identifizieren Schwachstellen in Ressourcen, die ausgenutzt werden könnten. Normalerweise haben Fehlkonfigurationen bekannte Fehlerbehebungen, wie das Aktivieren einer Firewall oder das Rotieren eines Verschlüsselungsschlüssels.

Bedrohungen unterscheiden sich von Sicherheitslücken dadurch, dass sie dynamisch sind und darauf hindeuten, dass eine oder mehrere Ressourcen aktiv genutzt werden können. Eine Korrekturempfehlung ist möglicherweise nicht effektiv beim Sichern Ihrer Ressourcen, da die genauen Methoden, mit denen der Exploit erreicht wurde, möglicherweise nicht bekannt sind.

Beispiel: Ein Added Binary Executed-Ergebnis gibt an, dass eine nicht autorisierte Binärdatei in einem Container gestartet wurde. Eine grundlegende Korrekturempfehlung bietet möglicherweise an, den Container unter Quarantäne zu stellen und die Binärdatei zu löschen, ohne die zugrunde liegende Ursache zu beheben, die dem Angreifer Zugriff auf die Binärdatei ermöglicht. Sie müssen herausfinden, wie das Container-Image beschädigt wurde, um den Exploit zu beheben. Um festzustellen, ob die Datei über einen falsch konfigurierten Port oder auf andere Weise hinzugefügt wurde, ist eine gründliche Untersuchung erforderlich. Ein Analyst mit entsprechenden Kenntnissen über Ihr System muss Ihr System unter Umständen auf Schwachstellen prüfen.

Böswillige Akteure greifen Ressourcen mithilfe verschiedener Techniken an. Deshalb ist die Anwendung einer Korrektur für einen bestimmten Exploit möglicherweise nicht auf Varianten dieses Angriffs wirksam. Als Reaktion auf ein Brute Force: SSH-Ergebnis können Sie beispielsweise die Berechtigungsstufen einiger Nutzerkonten verringern, um den Zugriff auf Ressourcen einzuschränken. Schwache Passwörter können jedoch immer noch einen Angriffspfad darstellen.

Die Breite der Angriffsvektoren erschwert die Behebung von Maßnahmen, die in allen Situationen funktionieren. Die Rolle von Security Command Center in Ihrem Cloud-Sicherheitsplan besteht darin, betroffene Ressourcen nahezu in Echtzeit zu identifizieren, Ihnen mitteilen, welche Bedrohungen Sie haben, und Nachweise und Kontext für Ihre Untersuchungen bereitzustellen. Das Sicherheitspersonal muss jedoch die umfassenden Informationen in den Ergebnissen von Security Command Center verwenden, um die besten Möglichkeiten zur Behebung von Problemen und zum Schutz von Ressourcen vor zukünftigen Angriffen zu ermitteln.

Ergebnis deaktivieren oder ausblenden

Wenn Sie ein Problem beheben, das ein Ergebnis für eine Bedrohung ausgelöst hat, wird der Status des Ergebnisses in Security Command Center nicht automatisch auf INACTIVE gesetzt. Der Status eines Ergebnisses zu einer Bedrohung bleibt ACTIVE, sofern Sie den Status des Ergebnisses nicht manuell in INACTIVE ändern.

Bei einem falsch positiven Ergebnis sollten Sie den Status des Ergebnisses auf ACTIVE belassen und das Ergebnis stattdessen ausblenden.

Bei persistenten oder wiederkehrenden falsch positiven Ergebnissen erstellen Sie eine Stummschaltungsregel. Durch das Festlegen einer Stummschaltungsregel können Sie die Anzahl der zu verwaltenden Ergebnissen reduzieren und so leichter eine tatsächliche Bedrohung erkennen, wenn sie auftritt.

Wenn es sich um eine echte Bedrohung handelt, müssen Sie die Bedrohung beseitigen und die erkannte Bedrohung, das Ausmaß des Eindringens sowie alle anderen zugehörigen Ergebnisse und Probleme gründlich untersuchen, bevor Sie den Status des Ergebnisses auf INACTIVE setzen.

Nächste Schritte