Menyelidiki dan merespons ancaman

Tingkat layanan Standard-legacy, Standard, Premium, dan Enterprise (Tidak digunakan lagi)

Tingkat layanan Security Command Center Enterprise akan dihentikan pada 21 Mei 2027. Jika organisasi Anda menggunakan tingkat layanan Enterprise, organisasi tersebut akan otomatis berpindah ke tingkat layanan Premium pada atau setelah 21 Mei 2027. Hubungi Account Rep atau Google Cloud spesialis penjualan jika ada pertanyaan.

Dokumen ini menjelaskan cara menyelidiki dan merespons temuan ancaman di Security Command Center. Untuk menangani ancaman, Anda biasanya melakukan hal berikut:

1. Tinjau detail temuan.
2. Konsultasikan panduan yang tersedia.
3. Identifikasi risiko terkait di lingkungan Anda.
4. Ambil tindakan untuk memulihkan ancaman dan membantu mengamankan resource Anda.

Sebelum memulai

Tingkatan layanan Standard-legacy, Standard, Premium, dan Enterprise (Tidak digunakan lagi)

Anda memerlukan peran Identity and Access Management (IAM) yang diperlukan untuk melihat atau mengedit temuan dan log, serta mengubah resource Google Cloud . Jika Anda mengalami error akses di Security Command Center, minta bantuan administrator Anda dan lihat Kontrol akses untuk mempelajari peran. Untuk mengatasi kesalahan resource, baca dokumentasi untuk produk yang terpengaruh.

Meninjau temuan

Tingkatan layanan Standard-legacy, Standard, Premium, dan Enterprise (Tidak digunakan lagi)

Untuk mulai menyelidiki ancaman, tinjau detail yang diberikan Security Command Center dalam temuan.

Untuk meninjau temuan ancaman, ikuti langkah-langkah berikut:

1. Di konsol Google Cloud , buka halaman Temuan Security Command Center.

   Buka Temuan

   Jika residensi data diaktifkan untuk organisasi Anda, Anda harus mengakses halaman tersebut menggunakan konsol yurisdiksi. Untuk mengetahui informasi selengkapnya, lihat Menggunakan konsol dengan residensi data diaktifkan.

2. Jika perlu, pilih project, folder, atau organisasi Anda Google Cloud .

3. Di bagian Filter cepat, klik filter yang sesuai untuk menampilkan temuan yang Anda butuhkan di tabel Hasil kueri temuan. Misalnya, jika Anda memilih Event Threat Detection atau Container Threat Detection di subbagian Nama tampilan sumber, hanya temuan dari layanan yang dipilih yang muncul di hasil.

   Tabel diisi dengan temuan untuk sumber yang Anda pilih.

4. Untuk melihat detail temuan tertentu, klik nama temuan di bagian Category. Panel detail temuan akan diperluas untuk menampilkan ringkasan detail temuan.

5. Untuk melihat definisi JSON temuan, klik tab JSON.

Temuan memberikan nama dan ID numerik resource yang terlibat dalam insiden, beserta variabel lingkungan dan properti aset. Anda dapat menggunakan informasi tersebut untuk mengisolasi resource yang terpengaruh dan menentukan potensi cakupan peristiwa.

Untuk membantu penyelidikan Anda, temuan ancaman juga berisi link ke sumber eksternal berikut:

• Entri framework MITRE ATT&CK. Framework ini menjelaskan teknik serangan terhadap resource cloud dan memberikan panduan perbaikan.

• VirusTotal, layanan milik Alphabet yang memberikan konteks tentang file, URL, domain, dan alamat IP yang berpotensi berbahaya. Jika tersedia, kolom Indikator VirusTotal akan memberikan link ke VirusTotal untuk membantu Anda menyelidiki lebih lanjut potensi masalah keamanan.

  VirusTotal adalah penawaran dengan harga terpisah yang memiliki batas penggunaan dan fitur tersendiri. Anda bertanggung jawab untuk memahami dan mematuhi kebijakan penggunaan API VirusTotal dan semua biaya terkait. Untuk mengetahui informasi selengkapnya, lihat dokumentasi VirusTotal.

  Catatan: VirusTotal mungkin tidak berisi hash untuk semua varian malware.

Membaca panduan investigasi

Paket layanan Premium dan Enterprise (Tidak digunakan lagi)

Setelah meninjau detail temuan, lihat rekomendasi investigasi dan respons yang diberikan Security Command Center.

Security Command Center menawarkan panduan informal untuk membantu Anda menyelidiki temuan. Temuan ini mengidentifikasi aktivitas mencurigakan di lingkungan Google Cloud Anda dari pelaku yang berpotensi berbahaya. Dengan mengikuti panduan ini, Anda dapat memahami apa yang terjadi selama potensi serangan dan mengembangkan kemungkinan respons untuk resource yang terpengaruh.

Catatan: Teknik yang disediakan Security Command Center tidak dijamin efektif terhadap ancaman sebelumnya, saat ini, atau di masa mendatang yang Anda hadapi. Untuk informasi tentang alasan Security Command Center tidak memberikan panduan perbaikan resmi untuk ancaman, lihat Pendekatan untuk perbaikan temuan ancaman.

Untuk melihat rekomendasi investigasi dan respons untuk temuan, cari temuan di indeks Temuan ancaman.

Anda juga dapat melihat rekomendasi respons tingkat tinggi untuk jenis temuan ancaman berikut:

• Temuan ancaman AI
• Temuan ancaman Cloud Run
• Temuan ancaman Compute Engine
• Temuan ancaman Google Kubernetes Engine
• Temuan ancaman Google Workspace
• Temuan ancaman jaringan

Catatan: Security Command Center tidak memberikan rekomendasi untuk temuan yang dihasilkan oleh modul kustom untuk Event Threat Detection, karena organisasi Anda menentukan tindakan yang direkomendasikan untuk detektor tersebut.

Meninjau ancaman menggunakan dasbor Ancaman

Paket layanan Premium dan Enterprise (Tidak digunakan lagi)

Dasbor Ancaman di halaman Ringkasan Risiko membantu Anda memantau, memprioritaskan, dan menyelidiki peristiwa yang berpotensi berbahaya di lingkungan Google CloudAnda.

Untuk mengakses dasbor Ancaman, ikuti langkah-langkah berikut:

1. Di konsol Google Cloud , buka halaman Ancaman Security Command Center.

   Buka Ancaman

2. Jika perlu, pilih project, folder, atau organisasi Anda Google Cloud .

Anda dapat menggunakan bagian berikut untuk mengidentifikasi dan memprioritaskan penyelidikan ancaman:

• Ancaman baru dari waktu ke waktu: Menampilkan peristiwa yang berpotensi berbahaya di resource Anda selama jangka waktu yang Anda tentukan. Jangka waktu default adalah tujuh hari. Untuk mengubah jangka waktu yang ditentukan, gunakan kolom Rentang waktu. Panel ini membantu Anda mengidentifikasi lonjakan aktivitas ancaman yang tiba-tiba.
• Ancaman Teratas: Menampilkan informasi berikut untuk membantu Anda mengidentifikasi masalah kritis:
  • Ancaman menurut tingkat keparahan: Menampilkan jumlah temuan ancaman di setiap tingkat keparahan (misalnya, CRITICAL, HIGH, MEDIUM, atau LOW). Memilih tingkat keparahan akan memfilter temuan sehingga Anda dapat berfokus pada risiko dengan prioritas tertinggi terlebih dahulu.
  • Ancaman menurut kategori: Menampilkan jumlah temuan yang diklasifikasikan menurut jenis ancaman tertentu di semua project.
  • Ancaman menurut project: Menampilkan jumlah temuan untuk setiap project di organisasi Anda. Hal ini berguna untuk mengidentifikasi project yang mengalami aktivitas ancaman paling banyak.

Dengan mengklik elemen data dalam panel ini, filter yang relevan akan diterapkan dan Anda akan dialihkan ke halaman Temuan tempat Anda dapat melanjutkan penyelidikan yang lebih mendalam terhadap temuan ancaman tertentu.

Mengidentifikasi risiko terkait

Tingkatan layanan Standard-legacy, Standard, Premium, dan Enterprise (Tidak digunakan lagi)

Untuk membantu Anda memahami konteks ancaman dan mencegah ancaman terjadi lagi, tinjau dan tanggapi temuan kerentanan dan kesalahan konfigurasi terkait. Temuan ini dapat menunjukkan kelemahan keamanan yang memungkinkan terjadinya ancaman atau yang dapat dieksploitasi pada masa mendatang.

Untuk menemukan temuan kerentanan dan kesalahan konfigurasi terkait, ikuti langkah-langkah berikut:

Temukan atribut temuan

1. Di konsol Google Cloud , buka halaman Temuan Security Command Center.

   Buka Temuan

2. Tinjau temuan ancaman dan salin nilai atribut yang kemungkinan akan muncul dalam temuan kerentanan atau kesalahan konfigurasi terkait, seperti alamat email utama atau nama resource yang terpengaruh.

Buat filter temuan

1. Di halaman Temuan, buka Editor kueri dengan mengklik Edit kueri.
2. Klik Tambahkan filter. Menu Pilih filter akan terbuka.

3. Dari daftar kategori filter di sisi kiri menu, pilih kategori yang berisi atribut yang Anda catat dalam temuan ancaman.

   Misalnya, jika Anda mencatat nama lengkap resource yang terpengaruh, pilih Resource. Jenis atribut kategori Resource ditampilkan di kolom di sebelah kanan, termasuk atribut Full name.

4. Dari atribut yang ditampilkan, pilih jenis atribut yang Anda catat dalam temuan ancaman. Panel penelusuran untuk nilai atribut akan terbuka di sebelah kanan dan menampilkan semua nilai yang ditemukan dari jenis atribut yang dipilih.

5. Di kolom Filter, tempelkan nilai atribut yang Anda salin dari temuan ancaman. Daftar nilai yang ditampilkan diperbarui untuk menampilkan hanya nilai yang cocok dengan nilai yang ditempel.

6. Dari daftar nilai yang ditampilkan, pilih satu atau beberapa nilai, lalu klik Terapkan. Panel Findings query results diperbarui untuk menampilkan hanya temuan yang cocok.

Mempersempit hasil menurut kelas temuan

Jika sejumlah besar temuan muncul di hasil, filter temuan dengan memilih filter tambahan dari panel Filter cepat.

Misalnya, untuk menampilkan hanya temuan kelas Vulnerability dan Misconfiguration yang berisi nilai atribut yang dipilih, buka bagian Finding class di panel Quick filters, lalu pilih Vulnerability dan Misconfiguration.

Merespons ancaman

Tingkatan layanan Standard-legacy, Standard, Premium, dan Enterprise (Tidak digunakan lagi)

Setelah meninjau temuan, membaca panduan penyelidikan, dan mengidentifikasi risiko terkait, Anda harus merespons ancaman dan mengelola siklus proses temuan di Security Command Center.

Pendekatan untuk perbaikan penemuan ancaman

Tidak seperti temuan kerentanan dan kesalahan konfigurasi, Security Command Center tidak memberikan panduan perbaikan resmi untuk temuan ancaman. Panduan tidak resmi yang diberikan Security Command Center tidak dijamin efektif terhadap ancaman sebelumnya, saat ini, atau di masa mendatang.

Kesalahan konfigurasi dan pelanggaran kepatuhan mengidentifikasi kelemahan dalam resource yang dapat dieksploitasi. Biasanya, kesalahan konfigurasi memiliki perbaikan yang diketahui, seperti mengaktifkan firewall atau merotasi kunci enkripsi.

Ancaman berbeda dari kerentanan karena bersifat dinamis dan menunjukkan kemungkinan eksploitasi aktif terhadap satu atau beberapa resource. Rekomendasi perbaikan mungkin tidak efektif dalam mengamankan resource Anda karena metode persis yang digunakan untuk melakukan eksploitasi mungkin tidak diketahui.

Misalnya, temuan Added Binary Executed menunjukkan bahwa biner yang tidak sah diluncurkan dalam container. Rekomendasi perbaikan dasar mungkin menyarankan Anda untuk mengarantina container dan menghapus program biner, tetapi hal itu mungkin tidak menyelesaikan akar masalah yang mendasarinya yang memungkinkan penyerang mengakses untuk mengeksekusi program biner. Anda perlu mengetahui penyebab kerusakan image container untuk memperbaiki eksploitasi. Menentukan apakah file ditambahkan melalui port yang salah dikonfigurasi atau dengan cara lain memerlukan penyelidikan menyeluruh. Analis dengan pengetahuan tingkat ahli tentang sistem Anda mungkin perlu meninjaunya untuk menemukan kelemahannya.

Pelaku jahat menyerang resource menggunakan berbagai teknik, sehingga menerapkan perbaikan untuk eksploitasi tertentu mungkin tidak efektif terhadap variasi serangan tersebut. Misalnya, sebagai respons terhadap temuan Brute Force: SSH, Anda dapat menurunkan tingkat izin untuk beberapa akun pengguna guna membatasi akses ke resource. Namun, sandi yang lemah masih dapat menyediakan jalur serangan.

Luasnya vektor serangan menyulitkan penyediaan langkah-langkah perbaikan yang berfungsi dalam semua situasi. Peran Security Command Center dalam rencana keamanan cloud Anda adalah mengidentifikasi resource yang terpengaruh hampir secara real-time, memberi tahu Anda ancaman yang Anda hadapi, serta memberikan bukti dan konteks untuk membantu penyelidikan Anda. Namun, personel keamanan Anda harus menggunakan informasi ekstensif dalam temuan Security Command Center untuk menentukan cara terbaik dalam memperbaiki masalah dan mengamankan resource dari serangan di masa mendatang.

Catatan: Di tingkat layanan Enterprise (Tidak Digunakan Lagi), temuan ancaman yang cocok dengan kriteria tertentu muncul sebagai Ancaman yang Berkorelasi (Pratinjau), yang memberikan rekomendasi perbaikan yang dipetakan ke taktik MITRE ATT&CK.

Menonaktifkan atau membisukan temuan

Setelah Anda menyelesaikan masalah yang memicu temuan ancaman, Security Command Center tidak otomatis menyetel status temuan ke INACTIVE. Status temuan ancaman tetap ACTIVE kecuali jika Anda secara manual mengubah status temuan menjadi INACTIVE.

Untuk positif palsu, pertimbangkan untuk membiarkan status temuan sebagai ACTIVE dan sebaliknya nonaktifkan temuan.

Untuk positif palsu yang persisten atau berulang, buat aturan senyapkan. Menetapkan aturan senyap dapat mengurangi jumlah temuan yang perlu Anda kelola, sehingga mempermudah identifikasi ancaman sebenarnya saat terjadi.

Untuk ancaman yang sebenarnya, sebelum Anda menetapkan status temuan ke INACTIVE, hilangkan ancaman dan selesaikan penyelidikan menyeluruh terhadap ancaman yang terdeteksi, tingkat intrusi, dan temuan serta masalah terkait lainnya.

Langkah berikutnya

• Deteksi ancaman di Security Command Center
• Indeks temuan ancaman
• Ancaman yang berkorelasi (Pratinjau)