适用于 UEBA 类别的风险分析概览

支持的平台：

本文档概要介绍了“适用于 UEBA 的风险分析”类别中的规则集、所需数据，以及您可以用来调整每个规则集生成的提醒的配置。这些规则集可帮助您使用 Google Cloud 数据识别 Google Cloud 环境中的威胁。

规则集说明

“适用于 UEBA 的风险分析”类别中提供了以下规则集，这些规则集按检测到的模式类型分组：

身份验证

  • 用户首次登录设备：用户登录了新设备。
  • 按用户显示异常身份验证事件：与历史使用情况相比，单个用户实体最近出现了异常身份验证事件。
  • 按设备划分的身份验证失败次数：与历史使用情况相比，单个设备实体最近有许多登录尝试失败。
  • 用户身份验证失败次数：与历史使用情况相比，单个用户实体最近尝试登录失败了很多次。

网络流量分析

  • 按设备划分的异常入站字节数：与历史用量相比，最近有大量数据上传到单个设备实体。
  • 按设备划分的异常出站字节数：与历史使用情况相比，最近从单个设备实体下载了大量数据。
  • 按设备划分的异常总字节数：与历史使用情况相比，某个设备实体最近上传和下载了大量数据。
  • 按用户显示异常的入站字节数：与历史使用情况相比，单个用户实体最近下载了大量数据。
  • 用户的总字节数异常：与历史用量相比，用户实体最近上传和下载了大量数据。
  • 用户先尝试暴力破解，然后成功登录：来自某个 IP 地址的单个用户实体在成功登录某个应用之前，曾对该应用尝试过多次身份验证失败。

基于同类群组的检测

  • 用户群组首次从某个国家/地区登录：用户群组首次从某个国家/地区成功进行身份验证。此维度使用 AD 上下文数据中的群组显示名称、用户部门和用户经理信息。

  • 用户群组首次登录从未见过的应用：用户群组首次成功对应用进行身份验证。此方法使用 AD 上下文数据中的用户标题、用户经理和群组显示名称信息。

  • 新创建的用户的登录行为异常或过多：新创建的用户的身份验证活动异常或过多。此维度使用的是 Google Ads 情境数据中的创建时间。

  • 新创建的用户存在异常或过多可疑操作：新创建的用户存在异常或过多活动（包括但不限于 HTTP 遥测、进程执行和群组修改）。此维度使用 AD 情境数据中的创建时间。

可疑操作

  • 设备创建账号过多：设备实体创建了多个新用户账号。
  • 用户收到过多提醒：针对某个用户实体，杀毒软件或端点设备报告了大量安全提醒（例如连接被屏蔽、检测到恶意软件），远远超出历史模式。这些事件的 security_result.action UDM 字段设置为 BLOCK。

基于数据泄露防护的检测

  • 具有数据渗漏功能的异常或过多进程：与数据渗漏功能（例如键盘记录器、屏幕截图和远程访问）相关联的进程的异常或过多活动。这会使用 VirusTotal 提供的文件元数据丰富功能。

风险分析针对 UEBA 类别所需的数据

以下部分介绍了各类规则集为了发挥最大效用而需要的数据。如需查看所有支持的默认解析器的列表，请参阅支持的日志类型和默认解析器。

身份验证

如需使用其中任何规则集，请从 Azure AD 目录审核 (AZURE_AD_AUDIT) 或 Windows 事件 (WINEVTLOG) 收集日志数据。

网络流量分析

如需使用任何这些规则集，请收集用于捕获网络活动的日志数据。例如，从 FortiGate (FORTINET_FIREWALL)、Check Point (CHECKPOINT_FIREWALL)、Zscaler (ZSCALER_WEBPROXY)、CrowdStrike Falcon (CS_EDR) 或 Carbon Black (CB_EDR) 等设备中导入。

基于同类群组的检测

如需使用其中任何规则集，请从 Azure AD 目录审核 (AZURE_AD_AUDIT) 或 Windows 事件 (WINEVTLOG) 收集日志数据。

可疑操作

此组中的规则集各自使用不同的数据类型。

“设备创建账号过多”规则集

如需使用此规则集，请从 Azure AD 目录审核 (AZURE_AD_AUDIT) 或 Windows 事件 (WINEVTLOG) 收集日志数据。

“按用户发送过多提醒”规则集

如需使用此规则集，请收集用于捕获端点活动或审核数据的日志数据，例如 CrowdStrike Falcon (CS_EDR)、Carbon Black (CB_EDR) 或 Azure AD 目录审核 (AZURE_AD_AUDIT) 记录的数据。

基于数据泄露防护的检测

如需使用上述任一规则集，请收集捕获进程和文件活动的日志数据，例如 CrowdStrike Falcon (CS_EDR)、Carbon Black (CB_EDR) 或 SentinelOne EDR (SENTINEL_EDR) 记录的数据。

此类别中的规则集取决于具有以下 metadata.event_type 值的事件：PROCESS_LAUNCH、PROCESS_OPEN、PROCESS_MODULE_LOAD。

规则返回的调整提醒属于此类别

您可以使用规则排除对象来减少规则或规则集生成的检测数量。

规则排除项用于定义排除某个事件的条件，以免该事件被规则集或规则集中的特定规则评估。创建一条或多条规则排除项，以帮助减少检测量。如需了解具体操作方法，请参阅配置规则排除项。

后续步骤