Cara Google Security Operations memperkaya data peristiwa dan entitas

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara Google Security Operations memperkaya data dan kolom Unified Data Model (UDM) tempat data disimpan.

Untuk memungkinkan investigasi keamanan, Google Security Operations menyerap data kontekstual dari berbagai sumber, melakukan analisis pada data, dan memberikan konteks tambahan tentang artefak di lingkungan pelanggan. Analis dapat menggunakan data yang diperkaya secara kontekstual dalam aturan Detection Engine, penelusuran investigasi, atau laporan.

Google Security Operations melakukan jenis pengayaan berikut:

• Memperkaya entitas menggunakan grafik entitas dan penggabungan.
• Menghitung dan memperkaya setiap entity dengan statistik prevalensi yang menunjukkan popularitasnya di lingkungan.
• Menghitung pertama kalinya jenis entitas tertentu terlihat di lingkungan atau waktu terbaru.
• Memperkaya entitas dengan informasi dari daftar ancaman Safe Browsing.
• Memperkaya peristiwa dengan data geolokasi.
• Memperkaya entitas dengan data WHOIS.
• Memperkaya peristiwa dengan metadata file VirusTotal.
• Memperkaya entitas dengan data hubungan VirusTotal.
• Menyerap dan menyimpan data Google Cloud Threat Intelligence.

Data yang diperkaya dari WHOIS, Safe Browsing, GCTI Threat Intelligence, metadata VirusTotal, dan hubungan VirusTotal diidentifikasi oleh entity_type, product_name, dan vendor_name. Saat membuat aturan yang menggunakan data yang diperkaya ini, sebaiknya sertakan filter dalam aturan yang mengidentifikasi jenis pengayaan tertentu yang akan disertakan. Filter ini membantu meningkatkan performa aturan. Misalnya, sertakan kolom filter berikut di bagian events dari aturan yang menggabungkan data WHOIS.

$enrichment.graph.metadata.entity_type = "DOMAIN_NAME"
$enrichment.graph.metadata.product_name = "WHOISXMLAPI Simple Whois"
$enrichment.graph.metadata.vendor_name = "WHOIS"

Memperkaya entitas menggunakan grafik entitas dan penggabungan

Grafik entity mengidentifikasi hubungan antara entity dan resource di lingkungan Anda. Saat entitas dari berbagai sumber diserap ke dalam Google Security Operations, grafik entitas akan mempertahankan daftar adjacensi berdasarkan hubungan antar-entitas. Grafik entity melakukan pengayaan konteks dengan melakukan penghapusan duplikat dan penggabungan.

Selama penghapusan duplikat, data yang redundan akan dihapus dan interval akan dibentuk untuk membuat entitas umum. Misalnya, pertimbangkan dua entity e1 dan e2 dengan stempel waktu t1 dan t2. Entitas e1 dan e2 dihapus duplikatnya dan stempel waktu yang berbeda tidak digunakan selama penghapusan duplikat. Kolom berikut tidak digunakan selama penghapusan duplikat:

• collected_timestamp
• creation_timestamp
• interval

Selama penggabungan, hubungan antar-entitas terbentuk untuk interval waktu satu hari. Misalnya, pertimbangkan data entity user A yang memiliki akses ke bucket Cloud Storage. Ada data entitas lain dari user A yang memiliki perangkat. Setelah penggabungan, kedua entity ini menghasilkan satu entity user A yang memiliki dua relasi. Satu hubungan adalah user A memiliki akses ke bucket Cloud Storage dan hubungan lainnya adalah user A memiliki perangkat. Google Security Operations melakukan lihat balik lima hari saat membuat data konteks entity. Hal ini menangani data yang terlambat datang dan membuat waktu aktif implisit pada data konteks entity.

Google Security Operations menggunakan alias untuk memperkaya data telemetri dan menggunakan grafik entity untuk memperkaya entity. Aturan mesin deteksi menggabungkan entitas yang digabungkan dengan data telemetri yang diperkaya untuk memberikan analisis kontekstual.

Peristiwa yang berisi kata benda entitas dianggap sebagai entitas. Berikut adalah beberapa jenis peristiwa dan jenis entity yang sesuai:

• ASSET_CONTEXT sesuai dengan ASSET.
• RESOURCE_CONTEXT sesuai dengan RESOURCE.
• USER_CONTEXT sesuai dengan USER.
• GROUP_CONTEXT sesuai dengan GROUP.

Grafik entitas membedakan antara data kontekstual dan indikator kompromi (IOC) menggunakan informasi ancaman.

Saat Anda menggunakan data yang diperkaya secara kontekstual, pertimbangkan perilaku grafik entity berikut:

• Jangan tambahkan interval dalam entitas, dan biarkan grafik entitas membuat interval. Hal ini karena interval dibuat selama penghapusan duplikat, kecuali jika ditentukan lainnya.
• Jika interval ditentukan, hanya peristiwa yang sama yang akan dihapus duplikatnya, dan entity terbaru akan dipertahankan.
• Untuk memastikan bahwa aturan aktif dan retrohunt berfungsi seperti yang diharapkan, entitas harus diserap setidaknya sekali sehari.
• Jika entitas tidak diserap setiap hari dan hanya diserap sekali dalam dua hari atau lebih, aturan aktif mungkin berfungsi seperti yang diharapkan, tetapi retrohunt mungkin kehilangan konteks peristiwa.
• Jika entitas diserap lebih dari sekali sehari, entitas akan dihapus duplikatnya menjadi satu entitas.
• Jika data peristiwa tidak ada selama sehari, data hari sebelumnya akan digunakan sementara untuk memastikan bahwa aturan live berfungsi dengan baik.

Grafik entity juga menggabungkan peristiwa yang memiliki ID serupa untuk mendapatkan tampilan data yang digabungkan. Penggabungan ini terjadi berdasarkan daftar ID berikut:

• Asset
  • entity.asset.product_object_id
  • entity.asset.hostname
  • entity.asset.asset_id
  • entity.asset.mac
• User
  • entity.user.product_object_id
  • entity.user.userid
  • entity.user.windows_sid
  • entity.user.email_addresses
  • entity.user.employee_id
• Resource
  • entity.resource.product_object_id
  • entity.resource.name
• Group
  • entity.group.product_object_id
  • entity.group.email_addresses
  • entity.group.windows_sid

Catatan: Google Security Operations melakukan lihat balik lima hari saat membuat data konteks entitas. Hal ini menangani data yang terlambat tiba dan membuat time-to-live implisit pada data konteks entity jika end_time dari entity.metatdata.interval dihilangkan. Misalnya, jika Anda menyimpan data konteks entity dengan interval.start_time pada 1 Mei dan dengan interval.end_time dihilangkan, data akan disimpan dari 1 Mei hingga 5 Mei, inklusif. Data tidak akan terlihat pada 6 Mei atau setelahnya.

Menghitung statistik prevalensi

Google Security Operations melakukan analisis statistik pada data yang ada dan masuk serta memperkaya data konteks entitas dengan metrik terkait prevalensi.

Prevalensi adalah nilai numerik yang menunjukkan seberapa populer suatu entitas. Popularitas ditentukan oleh jumlah aset yang mengakses artefak, seperti domain, hash file, atau alamat IP. Makin besar angkanya, makin populer entitas tersebut. Misalnya, google.com memiliki nilai prevalensi yang tinggi karena sering diakses. Jika jarang diakses, domain akan memiliki nilai prevalensi yang lebih rendah. Entitas yang lebih populer biasanya cenderung tidak berbahaya.

Nilai yang diperkaya ini didukung untuk domain, IP, dan file (hash). Nilai dihitung dan disimpan di kolom berikut.

Statistik prevalensi untuk setiap entitas diperbarui setiap hari. Nilai disimpan dalam konteks entitas terpisah yang dapat digunakan oleh Detection Engine, tetapi tidak ditampilkan di tampilan investigasi Google Security Operations dan penelusuran UDM.

Kolom berikut dapat digunakan saat membuat aturan Detection Engine.

Jenis entitas	Kolom UDM
Domain	entity.domain.prevalence.day_count entity.domain.prevalence.day_max entity.domain.prevalence.day_max_sub_domains entity.domain.prevalence.rolling_max entity.domain.prevalence.rolling_max_sub_domains
File (Hash)	entity.file.prevalence.day_count entity.file.prevalence.day_max entity.file.prevalence.rolling_max
Alamat IP	entity.artifact.prevalence.day_count entity.artifact.prevalence.day_max entity.artifact.prevalence.rolling_max

Nilai day_max dan rolling_max dihitung secara berbeda. Kolom tersebut dihitung sebagai berikut:

• day_max dihitung sebagai skor prevalensi maksimum untuk artefak selama hari, dengan hari didefinisikan sebagai 00.00.00 - 23.59.59 UTC.
• rolling_max dihitung sebagai skor prevalensi maksimum per hari (yaitu day_max) untuk artefak selama periode 10 hari sebelumnya.
• day_count digunakan untuk menghitung rolling_max dan selalu memiliki nilai 10.

Saat dihitung untuk domain, perbedaan antara day_max versus day_max_sub_domains (dan rolling_max versus rolling_max_sub_domains) adalah sebagai berikut:

• rolling_max dan day_max mewakili jumlah alamat IP internal unik harian yang mengakses domain tertentu (tidak termasuk subdomain).
• rolling_max_sub_domains dan day_max_sub_domains mewakili jumlah alamat IP internal unik yang mengakses domain tertentu (termasuk subdomain).

Statistik prevalensi dihitung berdasarkan data entity yang baru ditransfer. Penghitungan tidak dilakukan secara surut pada data yang sebelumnya diserap. Perlu waktu sekitar 36 jam untuk menghitung dan menyimpan statistik.

Menghitung waktu pertama kali dilihat dan terakhir dilihat entitas

Google Security Operations melakukan analisis statistik pada data yang masuk dan memperkaya data konteks entity dengan waktu pertama kali dilihat dan terakhir kali dilihat entity. Kolom first_seen_time menyimpan tanggal dan waktu saat entity pertama kali terlihat di lingkungan pelanggan. Kolom last_seen_time menyimpan tanggal dan waktu pengamatan terbaru.

Karena beberapa indikator (kolom UDM) dapat mengidentifikasi aset atau pengguna, waktu pertama kali dilihat adalah saat pertama kali indikator yang mengidentifikasi pengguna atau aset terlihat di lingkungan pelanggan.

Semua kolom UDM yang menjelaskan aset adalah sebagai berikut:

• entity.asset.hostname
• entity.asset.ip
• entity.asset.mac
• entity.asset.asset_id
• entity.asset.product_object_id

Semua kolom UDM yang menjelaskan pengguna adalah sebagai berikut:

• entity.user.windows_sid
• entity.user.product_object_id
• entity.user.userid
• entity.user.employee_id
• entity.user.email_addresses

Waktu pertama kali terlihat dan waktu terakhir terlihat memungkinkan analis untuk mengaitkan aktivitas tertentu yang terjadi setelah domain, file (hash), aset, pengguna, atau alamat IP pertama kali terlihat atau yang berhenti terjadi setelah domain, file (hash), atau alamat IP terakhir terlihat.

Kolom first_seen_time dan last_seen_time diisi dengan entitas yang menjelaskan domain, alamat IP, dan file (hash). Untuk entity yang menjelaskan pengguna atau aset, hanya kolom first_seen_time yang diisi. Nilai ini tidak dihitung untuk entity yang mendeskripsikan jenis lain, seperti grup atau resource.

Statistik dihitung untuk setiap entitas di semua namespace. Google Security Operations tidak menghitung statistik untuk setiap entitas dalam setiap namespace. Statistik ini saat ini tidak diekspor keskema events Google Security Operations di BigQuery.

Penting: Google Security Operations melakukan pengayaan pada data entitas yang baru ditransfer. Proses ini tidak memperkaya data yang diserap sebelumnya.

Nilai yang diperkaya dihitung dan disimpan di kolom UDM berikut:

Jenis entitas	Kolom UDM
Domain	entity.domain.first_seen_time entity.domain.last_seen_time
File (hash)	entity.file.first_seen_time entity.file.last_seen_time
Alamat IP	entity.artifact.first_seen_time entity.artifact.last_seen_time
Aset	entity.asset.first_seen_time
Pengguna	entity.user.first_seen_time

Memperkaya peristiwa dengan data geolokasi

Data log masuk dapat menyertakan alamat IP eksternal tanpa informasi lokasi yang sesuai. Hal ini umum terjadi saat peristiwa mencatat informasi tentang aktivitas perangkat yang tidak berada di jaringan perusahaan. Misalnya, peristiwa login ke layanan cloud akan berisi alamat IP sumber atau klien berdasarkan alamat IP eksternal perangkat yang ditampilkan oleh NAT operator.

Google Security Operations menyediakan data yang diperkaya geolokasi untuk alamat IP eksternal guna memungkinkan deteksi aturan yang lebih canggih dan konteks yang lebih baik untuk investigasi. Misalnya, Google Security Operations mungkin menggunakan alamat IP eksternal untuk memperkaya peristiwa dengan informasi tentang negara (seperti Amerika Serikat), negara bagian tertentu (seperti Alaska), dan jaringan tempat alamat IP berada (seperti ASN dan nama operator).

Google Security Operations menggunakan data lokasi yang disediakan oleh Google untuk memberikan perkiraan lokasi geografis dan informasi jaringan untuk alamat IP. Anda dapat menulis aturan Mesin Deteksi terhadap kolom ini dalam peristiwa. Data peristiwa yang diperkaya juga diekspor ke BigQuery, tempat data tersebut dapat digunakan di dasbor dan pelaporan Google Security Operations.

Alamat IP berikut tidak diperkaya:

• Ruang alamat IP pribadi RFC 1918 karena bersifat internal untuk jaringan perusahaan.
• Ruang alamat IP multicast RFC 5771 karena alamat multicast tidak termasuk dalam satu lokasi.
• Alamat Lokal Unik IPv6.
• Google Cloud alamat IP layanan. Pengecualian adalah alamat IP eksternal Compute Engine, yang diperkaya. Google Cloud

Google Security Operations memperkaya kolom UDM berikut dengan data geolokasi:

• principal
• target
• src
• observer

Jenis data	Kolom UDM
Lokasi (misalnya, Amerika Serikat)	( principal | target | src | observer ).ip_geo_artifact.location.country_or_region
Negara bagian (misalnya, New York)	( principal | target | src | observer ).ip_geo_artifact.location.state
Bujur	( principal | target | src | observer ).ip_geo_artifact.location.region_coordinates.longitude
Lintang	( principal | target | src | observer ).ip_geo_artifact.location.region_coordinates.latitude
ASN (nomor sistem otonom)	( principal | target | src | observer ).ip_geo_artifact.network.asn
Nama operator	( principal | target | src | observer ).ip_geo_artifact.network.carrier_name
Domain DNS	( principal | target | src | observer ).ip_geo_artifact.network.dns_domain
Nama organisasi	( principal | target | src | observer ).ip_geo_artifact.network.organization_name

Contoh berikut menunjukkan jenis informasi geografis yang akan ditambahkan ke peristiwa UDM dengan alamat IP yang diberi tag ke Belanda:

Kolom UDM	Nilai
principal.ip_geo_artifact.location.country_or_region	Netherlands
principal.ip_geo_artifact.location.region_coordinates.latitude	52.132633
principal.ip_geo_artifact.location.region_coordinates.longitude	5.291266
principal.ip_geo_artifact.network.asn	8455
principal.ip_geo_artifact.network.carrier_name	schuberg philis

Inkonsistensi

Teknologi geolokasi IP eksklusif Google menggunakan kombinasi data jaringan serta input dan metode lainnya untuk memberikan lokasi alamat IP dan resolusi jaringan bagi pengguna kami. Organisasi lain mungkin menggunakan sinyal atau metode yang berbeda, yang terkadang dapat menghasilkan hasil yang berbeda.

Jika terjadi kasus saat Anda mengalami inkonsistensi dalam hasil geolokasi IP yang diberikan Google, buka kasus dukungan pelanggan, agar kami dapat menyelidikinya dan, jika sesuai, memperbaiki data kami ke depannya.

Memperkaya entitas dengan informasi dari daftar ancaman Safe Browsing

Google Security Operations menyerap data dari Safe Browsing yang terkait dengan hash file. Data untuk setiap file disimpan sebagai entity dan memberikan konteks tambahan tentang file tersebut. Analis dapat membuat aturan Mesin Deteksi yang membuat kueri terhadap data konteks entity ini untuk membuat analisis berbasis konteks.

Informasi berikut disimpan dengan data konteks entity.

Kolom UDM	Deskripsi
entity.metadata.product_entity_id	ID unik untuk entitas.
entity.metadata.entity_type	Nilai ini adalah FILE, yang menunjukkan bahwa entity mendeskripsikan file.
entity.metadata.collected_timestamp	Tanggal dan waktu entitas diamati atau peristiwa terjadi.
entity.metadata.interval	Menyimpan waktu mulai dan waktu berakhir saat data ini valid. Karena konten daftar ancaman berubah dari waktu ke waktu, start_time dan end_time mencerminkan interval waktu selama data tentang entitas valid. Misalnya, hash file diamati sebagai berbahaya atau mencurigakan antara start_time and end_time.
entity.metadata.threat.category	Ini adalah SecurityCategory Google Security Operations. Ini ditetapkan ke satu atau beberapa nilai berikut: SOFTWARE_MALICIOUS: menunjukkan bahwa ancaman terkait dengan malware. SOFTWARE_PUA: menunjukkan bahwa ancaman terkait dengan software yang tidak diinginkan.
entity.metadata.threat.severity	Ini adalah ProductSeverity Google Security Operations. Jika nilainya CRITICAL, ini menunjukkan bahwa artefak tersebut tampak berbahaya. Jika nilai tidak ditentukan, tidak ada keyakinan yang cukup untuk menunjukkan bahwa artefak bersifat berbahaya.
entity.metadata.product_name	Menyimpan nilai Google Safe Browsing.
entity.file.sha256	Nilai hash SHA256 untuk file.

Memperkaya entity dengan data WHOIS

Google Security Operations menyerap data WHOIS setiap hari. Selama penyerapan data perangkat pelanggan yang masuk, Google Security Operations mengevaluasi domain dalam data pelanggan berdasarkan data WHOIS. Jika ada kecocokan, Google Security Operations akan menyimpan data WHOIS terkait dengan data entitas untuk domain. Untuk setiap entitas, dengan entity.metadata.entity_type = DOMAIN_NAME, Google Security Operations memperkaya entitas dengan informasi dari WHOIS.

Google Security Operations mengisi data WHOIS yang diperkaya ke kolom berikut dalam data entitas:

• entity.domain.admin.attribute.labels
• entity.domain.audit_update_time
• entity.domain.billing.attribute.labels
• entity.domain.billing.office_address.country_or_region
• entity.domain.contact_email
• entity.domain.creation_time
• entity.domain.expiration_time
• entity.domain.iana_registrar_id
• entity.domain.name_server
• entity.domain.private_registration
• entity.domain.registrant.company_name
• entity.domain.registrant.office_address.state
• entity.domain.registrant.office_address.country_or_region
• entity.domain.registrant.email_addresses
• entity.domain.registrant.user_display_name
• entity.domain.registrar
• entity.domain.registry_data_raw_text
• entity.domain.status
• entity.domain.tech.attribute.labels
• entity.domain.update_time
• entity.domain.whois_record_raw_text
• entity.domain.whois_server
• entity.domain.zone

Untuk deskripsi kolom ini, lihat dokumen daftar kolom Unified Data Model.

Penting: Google Security Operations melakukan pengayaan pada data entitas yang baru ditransfer. Proses ini tidak memperkaya data yang diserap sebelumnya.

Menyerap dan menyimpan Google Cloud data Threat Intelligence

Google Security Operations menyerap data dari sumber data Google Cloud Threat Intelligence (GCTI) yang memberikan informasi kontekstual yang dapat Anda gunakan saat menyelidiki aktivitas di lingkungan Anda. Anda dapat membuat kueri sumber data berikut:

• Node Keluar Tor GCTI: Alamat IP yang diketahui sebagai node keluar Tor.
• Biner Benigna GCTI: file yang merupakan bagian dari distribusi asli sistem operasi atau diupdate oleh patch sistem operasi resmi. Beberapa biner sistem operasi resmi yang telah disalahgunakan oleh penyerang melalui aktivitas yang umum terjadi dalam serangan living-off-the-land dikecualikan dari sumber data ini, seperti yang berfokus pada vektor entri awal.

• Alat Akses Jarak Jauh GCTI: file yang sering digunakan oleh pelaku kejahatan. Alat ini umumnya merupakan aplikasi yang sah yang terkadang disalahgunakan untuk terhubung secara jarak jauh ke sistem yang disusupi.

  Data kontekstual ini disimpan secara global sebagai entitas. Anda dapat mengkueri data menggunakan aturan mesin deteksi. Sertakan kolom dan nilai UDM berikut dalam aturan untuk membuat kueri entitas global ini:

• graph.metadata.vendor_name = Google Cloud Threat Intelligence

• graph.metadata.product_name = GCTI Feed

Dalam dokumen ini, placeholder <variable_name> mewakili nama variabel unik yang digunakan dalam aturan untuk mengidentifikasi data UDM.

Sumber data Threat Intelligence yang memiliki waktu berlaku versus yang tidak memiliki waktu berlaku Google Cloud

Google Cloud Sumber data Intelijen Ancaman bersifat berbatas waktu atau tidak terbatas waktu.

Sumber data berjangka waktu memiliki rentang waktu yang terkait dengan setiap entri. Artinya, jika deteksi dibuat pada hari ke-1, pada hari apa pun di masa mendatang, deteksi yang sama diharapkan akan dibuat untuk hari ke-1 selama retro-hunt.

Sumber data yang tidak memiliki batas waktu tidak memiliki rentang waktu yang terkait. Hal ini karena hanya kumpulan data terbaru yang harus dipertimbangkan. Sumber data yang tidak berubah sering digunakan untuk data seperti hash file yang tidak diharapkan berubah. Jika tidak ada deteksi yang dihasilkan pada hari ke-1, pada hari ke-2 deteksi mungkin dihasilkan untuk hari ke-1 selama retro-hunt karena entri baru telah ditambahkan.

Data tentang alamat IP node keluar Tor

Google Security Operations menyerap dan menyimpan alamat IP yang diketahui sebagai node keluar Tor. Node keluar Tor adalah titik tempat traffic keluar dari jaringan Tor. Informasi yang diserap dari sumber data ini disimpan di kolom UDM berikut. Data dalam sumber ini diberi waktu.

Kolom UDM	Deskripsi
<variable_name>.graph.metadata.vendor_name	Menyimpan nilai Google Cloud Threat Intelligence.
<variable_name>.graph.metadata.product_name	Menyimpan nilai GCTI Feed.
<variable_name>.graph.metadata.threat.threat_feed_name	Menyimpan nilai Tor Exit Nodes.
<variable_name>.graph.entity.artifact.ip	Menyimpan alamat IP yang diserap dari sumber data GCTI.

Data tentang file sistem operasi yang tidak berbahaya

Google Security Operations menyerap dan menyimpan hash file dari sumber data Biner Benigna GCTI. Informasi yang diserap dari sumber data ini disimpan di kolom UDM berikut. Data dalam sumber ini tidak terbatas waktu.

Kolom UDM	Deskripsi
<variable_name>.graph.metadata.vendor_name	Menyimpan nilai Google Cloud Threat Intelligence.
<variable_name>.graph.metadata.product_name	Menyimpan nilai GCTI Feed.
<variable_name>.graph.metadata.threat.threat_feed_name	Menyimpan nilai Benign Binaries.
<variable_name>.graph.entity.file.sha256	Menyimpan nilai hash SHA256 file.
<variable_name>.graph.entity.file.sha1	Menyimpan nilai hash SHA1 file.
<variable_name>.graph.entity.file.md5	Menyimpan nilai hash MD5 file.

Data tentang alat akses jarak jauh

Alat akses jarak jauh mencakup hash file untuk alat akses jarak jauh yang diketahui seperti klien VNC yang sering digunakan oleh pelaku kejahatan. Alat ini umumnya merupakan aplikasi yang sah yang terkadang disalahgunakan untuk terhubung dari jarak jauh ke sistem yang disusupi. Informasi yang diserap dari sumber data ini disimpan di kolom UDM berikut. Data dalam sumber ini tidak terbatas waktu.

Kolom UDM	Deskripsi
.graph.metadata.vendor_name	Menyimpan nilai Google Cloud Threat Intelligence.
.graph.metadata.product_name	Menyimpan nilai GCTI Feed.
.graph.metadata.threat.threat_feed_name	Menyimpan nilai Remote Access Tools.
.graph.entity.file.sha256	Menyimpan nilai hash SHA256 file.
.graph.entity.file.sha1	Menyimpan nilai hash SHA1 file.
.graph.entity.file.md5	Menyimpan nilai hash MD5 file.

Memperkaya peristiwa dengan metadata file VirusTotal

Google Security Operations memperkaya hash file ke dalam peristiwa UDM dan memberikan konteks tambahan selama investigasi. Peristiwa UDM diperkaya melalui alias hash di lingkungan pelanggan. Alias hash menggabungkan semua jenis hash file dan memberikan informasi tentang hash file selama penelusuran.

Integrasi metadata file VirusTotal dan pengayaan hubungan dengan Google SecOps dapat digunakan untuk mengidentifikasi pola aktivitas berbahaya dan melacak pergerakan malware di seluruh jaringan.

Log mentah memberikan informasi terbatas tentang file. VirusTotal memperkaya peristiwa dengan metadata file untuk memberikan dump hash yang buruk beserta metadata tentang file yang buruk. Metadata tersebut mencakup informasi seperti nama file, jenis, fungsi yang diimpor, dan tag. Anda dapat menggunakan informasi ini di mesin penelusuran dan deteksi UDM dengan YARA-L untuk memahami peristiwa file yang buruk dan secara umum selama perburuan ancaman. Contoh kasus penggunaannya adalah mendeteksi modifikasi pada file asli yang pada akhirnya akan mengimpor metadata file untuk deteksi ancaman.

Catatan: Proses pengayaan tidak mengganti nilai di kolom log mentah dengan nilai pengayaan.

Catatan: Data ini hanya tersedia untuk lisensi VirusTotal dan Google Security Operations tertentu. Periksa hak Anda dengan Account Manager Anda.

Informasi berikut disimpan bersama data. Untuk mengetahui daftar semua kolom UDM, lihat Daftar kolom Model Data Terpadu.

Jenis data	Kolom UDM
SHA-256	( principal | target | src | observer ).file.sha256
MD5	( principal | target | src | observer ).file.md5
SHA-1	( principal | target | src | observer ).file.sha1
Ukuran	( principal | target | src | observer ).file.size
ssdeep	( principal | target | src | observer ).file.ssdeep
vhash	( principal | target | src | observer ).file.vhash
authentihash	( principal | target | src | observer ).file.authentihash
Jenis file	( principal | target | src | observer ).file.file_type
Tag	( principal | target | src | observer ).file.tags
Tag kemampuan	( principal | target | src | observer ).file.capabilities_tags
Nama	( principal | target | src | observer ).file.names
Waktu pertama kali dilihat	( principal | target | src | observer ).file.first_seen_time
Waktu terakhir dilihat	( principal | target | src | observer ).file.last_seen_time
Waktu modifikasi terakhir	( principal | target | src | observer ).file.last_modification_time
Waktu analisis terakhir	( principal | target | src | observer ).file.last_analysis_time
URL tersemat	( principal | target | src | observer ).file.embedded_urls
IP Tersemat	( principal | target | src | observer ).file.embedded_ips
Domain tersemat	( principal | target | src | observer ).file.embedded_domains
Informasi tanda tangan	( principal | target | src | observer ).file.signature_info
Informasi tanda tangan Sigcheck	( principal | target | src | observer).file.signature_info.sigcheck
Informasi tanda tangan Sigcheck Pesan verifikasi	( principal | target | src | observer ).file.signature_info.sigcheck.verification_message
Informasi tanda tangan Sigcheck Terverifikasi	( principal | target | src | observer ).file.signature_info.sigcheck.verified
Informasi tanda tangan Sigcheck Penanda Tangan	( principal | target | src | observer ).file.signature_info.sigcheck.signers
Informasi tanda tangan Sigcheck Penanda Tangan Nama	( principal | target | src | observer ).file.signature_info.sigcheck.signers.name
Informasi tanda tangan Sigcheck Penanda Tangan Status	( principal | target | src | observer ).file.signature_info.sigcheck.signers.status
Informasi tanda tangan Sigcheck Penanda Tangan Penggunaan valid untuk sertifikat	( principal | target | src | observer ).file.signature_info.sigcheck.signers.valid_usage
Informasi tanda tangan Sigcheck Penanda Tangan Penerbit sertifikat	( principal | target | src | observer ).file.signature_info.sigcheck.signers.cert_issuer
Informasi tanda tangan Sigcheck X509	( principal | target | src | observer ).file.signature_info.sigcheck.x509
Informasi tanda tangan Sigcheck X509 Nama	( principal | target | src | observer ).file.signature_info.sigcheck.x509.name
Informasi tanda tangan Sigcheck X509 Algoritma	( principal | target | src | observer ).file.signature_info.sigcheck.x509.algorithm
Informasi tanda tangan Sigcheck X509 Sidik jari	( principal | target | src | observer ).file.signature_info.sigcheck.x509.thumprint
Informasi tanda tangan Sigcheck X509 Penerbit sertifikat	( principal | target | src | observer ).file.signature_info.sigcheck.x509.cert_issuer
Informasi tanda tangan Sigcheck X509 Nomor seri	( principal | target | src | observer ).file.signature_info.sigcheck.x509.serial_number
Informasi tanda tangan Kodesain	( principal | target | src | observer ).file.signature_info.codesign
Informasi tanda tangan Kodesain ID	( principal | target | src | observer ).file.signature_info.codesign.id
Informasi tanda tangan Kodesain Format	( principal | target | src | observer ).file.signature_info.codesign.format
Informasi tanda tangan Kodesain Waktu kompilasi	( principal | target | src | observer ).file.signature_info.codesign.compilation_time
Informasi Exiftool	( principal | target | src | observer ).file.exif_info
Informasi Exiftool Nama file asli	( principal | target | src | observer ).file.exif_info.original_file
Informasi Exiftool Nama produk	( principal | target | src | observer ).file.exif_info.product
Informasi Exiftool Nama perusahaan	( principal | target | src | observer ).file.exif_info.company
Informasi Exiftool Deskripsi file	( principal | target | src | observer ).file.exif_info.file_description
Informasi Exiftool Titik entri	( principal | target | src | observer ).file.exif_info.entry_point
Informasi Exiftool Waktu kompilasi	( principal | target | src | observer ).file.exif_info.compilation_time
Informasi PDF	( principal | target | src | observer ).file.pdf_info
Informasi PDF Jumlah tag /JS	( principal | target | src | observer ).file.pdf_info.js
Informasi PDF Jumlah tag /JavaScript	( principal | target | src | observer ).file.pdf_info.javascript
Informasi PDF Jumlah tag /Launch	( principal | target | src | observer ).file.pdf_info.launch_action_count
Informasi PDF Jumlah streaming objek	( principal | target | src | observer ).file.pdf_info.object_stream_count
Informasi PDF Jumlah definisi objek (kata kunci endobj)	( principal | target | src | observer ).file.pdf_info.endobj_count
Informasi PDF Versi PDF	( principal | target | src | observer ).file.pdf_info.header
Informasi PDF Jumlah tag /AcroForm	( principal | target | src | observer ).file.pdf_info.acroform
Informasi PDF Jumlah tag /AA	( principal | target | src | observer ).file.pdf_info.autoaction
Informasi PDF Jumlah tag /EmbeddedFile	( principal | target | src | observer ).file.pdf_info.embedded_file
Informasi PDF Tag /Encrypt	( principal | target | src | observer ).file.pdf_info.encrypted
Informasi PDF Jumlah tag /RichMedia	( principal | target | src | observer ).file.pdf_info.flash
Informasi PDF Jumlah tag /JBIG2Decode	( principal | target | src | observer ).file.pdf_info.jbig2_compression
Informasi PDF Jumlah definisi objek (kata kunci obj)	( principal | target | src | observer ).file.pdf_info.obj_count
Informasi PDF Jumlah objek aliran data yang ditentukan (kata kunci aliran data)	( principal | target | src | observer ).file.pdf_info.endstream_count
Informasi PDF Jumlah halaman dalam PDF	( principal | target | src | observer ).file.pdf_info.page_count
Informasi PDF Jumlah objek aliran data yang ditentukan (kata kunci aliran data)	( principal | target | src | observer ).file.pdf_info.stream_count
Informasi PDF Jumlah tag /OpenAction	( principal | target | src | observer ).file.pdf_info.openaction
Informasi PDF Jumlah kata kunci startxref	( principal | target | src | observer ).file.pdf_info.startxref
Informasi PDF Jumlah warna yang dinyatakan dengan lebih dari 3 byte (CVE-2009-3459)	( principal | target | src | observer ).file.pdf_info.suspicious_colors
Informasi PDF Jumlah kata kunci cuplikan	( principal | target | src | observer ).file.pdf_info.trailer
Informasi PDF Jumlah tag /XFA yang ditemukan	( principal | target | src | observer ).file.pdf_info.xfa
Informasi PDF Jumlah kata kunci xref	( principal | target | src | observer ).file.pdf_info.xref
Metadata file PE	( principal | target | src | observer ).file.pe_file
Metadata file PE Imphash	( principal | target | src | observer ).file.pe_file.imphash
Metadata file PE Titik entri	( principal | target | src | observer ).file.pe_file.entry_point
Metadata file PE Entry point exiftool	( principal | target | src | observer ).file.pe_file.entry_point_exiftool
Metadata file PE Waktu kompilasi	( principal | target | src | observer ).file.pe_file.compilation_time
Metadata file PE Waktu exiftool kompilasi	( principal | target | src | observer ).file.pe_file.compilation_exiftool_time
Metadata file PE Bagian	( principal | target | src | observer ).file.pe_file.section
Metadata file PE Bagian Nama	( principal | target | src | observer ).file.pe_file.section.name
Metadata file PE Bagian Entropi	( principal | target | src | observer ).file.pe_file.section.entropy
Metadata file PE Bagian Ukuran mentah dalam byte	( principal | target | src | observer ).file.pe_file.section.raw_size_bytes
Metadata file PE Bagian Ukuran virtual dalam byte	( principal | target | src | observer ).file.pe_file.section.virtual_size_bytes
Metadata file PE Bagian Hex MD5	( principal | target | src | observer ).file.pe_file.section.md5_hex
Metadata file PE Impor	( principal | target | src | observer ).file.pe_file.imports
Metadata file PE Impor Library	( principal | target | src | observer ).file.pe_file.imports.library
Metadata file PE Impor Functions	( principal | target | src | observer ).file.pe_file.imports.functions
Metadata file PE Informasi resource	( principal | target | src | observer ).file.pe_file.resource
Metadata file PE Informasi resource SHA-256 hex	( principal | target | src | observer ).file.pe_file.resource.sha256_hex
Metadata file PE Informasi resource Jenis resource yang diidentifikasi oleh modul Python ajaib	( principal | target | src | observer ).file.pe_file.resource.filetype_magic
Metadata file PE Informasi resource Versi ID bahasa dan subbahasa yang dapat dibaca manusia, seperti yang ditentukan dalam spesifikasi Windows PE	( principal | target | src | observer ).file.pe_file.resource_language_code
Metadata file PE Informasi resource Entropi	( principal | target | src | observer ).file.pe_file.resource.entropy
Metadata file PE Informasi resource Jenis file	( principal | target | src | observer ).file.pe_file.resource.file_type
Metadata file PE Jumlah resource menurut jenis resource	( principal | target | src | observer ).file.pe_file.resources_type_count_str
Metadata file PE Jumlah referensi berdasarkan bahasa	( principal | target | src | observer ).file.pe_file.resources_language_count_str

Memperkaya entity dengan data hubungan VirusTotal

VirusTotal membantu menganalisis file, domain, alamat IP, dan URL yang mencurigakan untuk mendeteksi malware dan pelanggaran lainnya, serta membagikan temuan tersebut kepada komunitas keamanan. Google Security Operations menyerap data dari koneksi terkait VirusTotal. Data ini disimpan sebagai entitas dan memberikan informasi tentang hubungan antara hash file dan file, domain, alamat IP, dan URL.

Analis dapat menggunakan data ini untuk menentukan apakah hash file buruk berdasarkan informasi tentang URL atau domain dari sumber lain. Informasi ini dapat digunakan untuk membuat aturan Detection Engine yang membuat kueri terhadap data konteks entity untuk membuat analisis berbasis konteks.

Data ini hanya tersedia untuk lisensi VirusTotal dan Google Security Operations tertentu. Tanyakan hak Anda kepada Account Manager Anda.

Informasi berikut disimpan dengan data konteks entitas:

Kolom UDM	Deskripsi
entity.metadata.product_entity_id	ID unik untuk entitas
entity.metadata.entity_type	Menyimpan nilai FILE, yang menunjukkan bahwa entitas menjelaskan file
entity.metadata.interval	start_time mengacu pada awal waktu dan end_time adalah akhir waktu saat data ini valid
entity.metadata.source_labels	Kolom ini menyimpan daftar pasangan nilai kunci source_id dan target_id untuk entity ini. source_id adalah hash file dan target_id dapat berupa hash atau nilai URL, nama domain, atau alamat IP yang terkait dengan file ini. Anda dapat menelusuri URL, nama domain, alamat IP, atau file di virustotal.com.
entity.metadata.product_name	Menyimpan nilai 'VirusTotal Relationships'
entity.metadata.vendor_name	Menyimpan nilai 'VirusTotal'
entity.file.sha256	Menyimpan nilai hash SHA-256 untuk file
entity.file.relations	Daftar entity turunan yang terkait dengan entity file induk
entity.relations.relationship	Kolom ini menjelaskan jenis hubungan antara entity induk dan turunan. Nilainya dapat berupa EXECUTES, DOWNLOADED_FROM, atau CONTACTS.
entity.relations.direction	Menyimpan nilai 'UNIDIRECTIONAL' dan menunjukkan arah hubungan dengan entity turunan
entity.relations.entity.url	URL yang dihubungi file dalam entity induk (jika hubungan antara entity induk dan URL adalah CONTACTS) atau URL tempat file dalam entity induk didownload (jika hubungan antara entity induk dan URL adalah DOWNLOADED_FROM).
entity.relations.entity.ip	Daftar alamat IP yang didownload atau dihubungkan oleh file dalam entitas induk Hanya berisi satu alamat IP.
entity.relations.entity.domain.name	Nama domain yang dihubungi file di entitas induk atau tempat file didownload
entity.relations.entity.file.sha256	Menyimpan nilai hash SHA-256 untuk file dalam hubungan
entity.relations.entity_type	Kolom ini berisi jenis entitas dalam relasi. Nilainya dapat berupa URL, DOMAIN_NAME, IP_ADDRESS, atau FILE. Kolom ini diisi sesuai dengan entity_type. Misalnya, jika entity_type adalah URL, entity.relations.entity.url akan diisi.

Langkah selanjutnya

Untuk informasi tentang cara menggunakan data yang diperkaya dengan fitur Google Security Operations lainnya, lihat hal berikut:

• Gunakan data yang diperkaya konteks di Penelusuran UDM.
• Gunakan data yang diperkaya konteks dalam aturan.
• Gunakan data yang diperkaya konteks dalam laporan.