In che modo Google Security Operations arricchisce i dati di eventi ed entità

Supportato in:

Questo documento descrive in che modo Google Security Operations arricchisce i dati e i campi del modello di dati unificato (UDM) in cui sono archiviati.

Per consentire un'indagine sulla sicurezza, le operazioni di sicurezza di Google importano dati contestuali da diverse origini, eseguono analisi sui dati e forniscono un contesto aggiuntivo sui componenti in un ambiente del cliente. Gli analisti possono utilizzare i dati arricchiti contestualmente nelle regole del Detection Engine, nelle ricerche di indagine o nei report.

Google Security Operations esegue i seguenti tipi di arricchimento:

  • Arricchisce le entità utilizzando il grafo delle entità e l'unione.
  • Calcola e arricchisce ogni entità con una statistica di prevalenza che indica la sua popolarità nell'ambiente.
  • Calcola la prima volta che determinati tipi di entità sono stati rilevati nell'ambiente o la volta più recente.
  • Arricchisce le entità con le informazioni degli elenchi di minacce di Navigazione sicura.
  • Arricchisce gli eventi con dati di geolocalizzazione.
  • Arricchisce le entità con i dati WHOIS.
  • Arricchisce gli eventi con i metadati dei file di VirusTotal.
  • Arricchisce le entità con i dati sulle relazioni di VirusTotal.
  • Importa e archivia i dati di Google Cloud Threat Intelligence.

I dati arricchiti di WHOIS, Navigazione sicura, GCTI Threat Intelligence, i metadati di VirusTotal e la relazione con VirusTotal sono identificati da entity_type, product_name e vendor_name. Quando crei una regola che utilizza questi dati arricchiti, ti consigliamo di includere nella regola un filtro che identifichi il tipo di arricchimento specifico da includere. Questo filtro contribuisce a migliorare il rendimento della regola. Ad esempio, includi i seguenti campi di filtro nella sezione events della regola che unisce i dati WHOIS.

$enrichment.graph.metadata.entity_type = "DOMAIN_NAME"
$enrichment.graph.metadata.product_name = "WHOISXMLAPI Simple Whois"
$enrichment.graph.metadata.vendor_name = "WHOIS"

Arricchisci le entità utilizzando il grafo delle entità e l'unione

Il grafico delle entità identifica le relazioni tra le entità e le risorse nel tuo ambiente. Quando le entità di origini diverse vengono importate in Google Security Operations, il grafo delle entità gestisce un elenco di adiacenze in base alla relazione tra le entità. Il grafo delle entità esegue un arricchimento del contesto mediante deduplica e unione.

Durante la deduplica, i dati ridondanti vengono eliminati e vengono formati intervalli per creare un'entità comune. Ad esempio, considera due entità e1 e e2 con timestamp t1 e t2 rispettivamente. Le entità e1 e e2 vengono deduplicate e i timestamp differenti non vengono utilizzati durante la deduplica. I seguenti campi non vengono utilizzati durante la deduplica:

  • collected_timestamp
  • creation_timestamp
  • interval

Durante l'unione, le relazioni tra le entità vengono formate per un intervallo di tempo di un giorno. Ad esempio, prendi in considerazione un record dell'entità user A che ha accesso a un bucket Cloud Storage. Esiste un altro record dell'entità user A che possiede un dispositivo. Dopo l'unione, queste due entità generano un'unica entità user A con due relazioni. Una relazione è che user A ha accesso al bucket Cloud Storage e l'altra è che user A è il proprietario del dispositivo. Google Security Operations esegue un'analisi retrospettiva di cinque giorni quando crea i dati di contesto delle entità. Gestisce i dati in ritardo e crea un valore TTL implicito per i dati del contesto dell'entità.

Google Security Operations utilizza l'aliasing per arricchire i dati di telemetria e i grafici delle entità per arricchire le entità. Le regole del motore di rilevamento uniscono le entità unite ai dati di telemetria arricchiti per fornire analisi contestuali.

Un evento che contiene un nome di entità è considerato un'entità. Di seguito sono riportati alcuni tipi di eventi e i relativi tipi di entità:

  • ASSET_CONTEXT corrisponde a ASSET.
  • RESOURCE_CONTEXT corrisponde a RESOURCE.
  • USER_CONTEXT corrisponde a USER.
  • GROUP_CONTEXT corrisponde a GROUP.

Il grafo delle entità distingue tra dati contestuali e indicatori di compromissione (IOC) utilizzando le informazioni sulle minacce.

Quando utilizzi i dati arricchiti contestualmente, tieni presente il seguente comportamento del grafico delle entità:

  • Non aggiungere intervalli nell'entità, ma lascia che sia il grafico delle entità a creare gli intervalli. Questo accade perché gli intervalli vengono generati durante la deduplica, se non diversamente specificato.
  • Se vengono specificati gli intervalli, vengono deduplicati solo gli stessi eventi e viene conservata l'entità più recente.
  • Per garantire che le regole attive e le ricerche a ritroso funzionino come previsto, le entità devono essere importate almeno una volta al giorno.
  • Se le entità non vengono importate quotidianamente, ma solo una volta ogni due o più giorni, le regole in tempo reale potrebbero funzionare come previsto, ma le ricerche retroattive potrebbero perdere il contesto dell'evento.
  • Se le entità vengono importate più di una volta al giorno, vengono deduplicate in una singola entità.
  • Se i dati sugli eventi mancano per un giorno, vengono utilizzati temporaneamente i dati del giorno precedente per garantire il corretto funzionamento delle regole attive.

Il grafo delle entità unisce anche gli eventi con identificatori simili per ottenere una panoramica consolidata dei dati. Questa unione avviene in base al seguente elenco di identificatori:

  • Asset
    • entity.asset.product_object_id
    • entity.asset.hostname
    • entity.asset.asset_id
    • entity.asset.mac
  • User
    • entity.user.product_object_id
    • entity.user.userid
    • entity.user.windows_sid
    • entity.user.email_addresses
    • entity.user.employee_id
  • Resource
    • entity.resource.product_object_id
    • entity.resource.name
  • Group
    • entity.group.product_object_id
    • entity.group.email_addresses
    • entity.group.windows_sid

Calcolare le statistiche sulla prevalenza

Google Security Operations esegue analisi statistiche sui dati esistenti e in entrata e arricchisce i record del contesto delle entità con metriche relative alla prevalenza.

La prevalenza è un valore numerico che indica la popolarità di un'entità. La popolarità è definita dal numero di asset che accedono a un artefatto, ad esempio un dominio, l'hash del file o l'indirizzo IP. Maggiore è il numero, più popolare è l'entità. Ad esempio, google.com ha valori di prevalenza elevati perché viene visualizzato spesso. Se un dominio viene consultato di rado, avrà valori di prevalenza inferiori. Le entità più popolari sono in genere meno propense a essere dannose.

Questi valori arricchiti sono supportati per dominio, IP e file (hash). I valori vengono calcolati e memorizzati nei seguenti campi.

Le statistiche sulla prevalenza per ogni entità vengono aggiornate ogni giorno. I valori vengono archiviati in un contesto di entità separato che può essere utilizzato dal Detection Engine, ma non viene mostrato nelle visualizzazioni di indagine di Google Security Operations e nella ricerca UDM.

I seguenti campi possono essere utilizzati per creare regole del motore di rilevamento.

Tipo di entità Campi UDM
Dominio entity.domain.prevalence.day_count
entity.domain.prevalence.day_max
entity.domain.prevalence.day_max_sub_domains
entity.domain.prevalence.rolling_max
entity.domain.prevalence.rolling_max_sub_domains
File (hash) entity.file.prevalence.day_count
entity.file.prevalence.day_max
entity.file.prevalence.rolling_max
Indirizzo IP entity.artifact.prevalence.day_count
entity.artifact.prevalence.day_max
entity.artifact.prevalence.rolling_max

I valori day_max e rolling_max vengono calcolati in modo diverso. I campi vengono calcolati come segue:

  • day_max viene calcolato come il punteggio di prevalenza massimo dell'elemento durante la giornata, dove un giorno è definito come dalle 00:00:00 alle 23:59:59 UTC.
  • rolling_max viene calcolato come il punteggio di prevalenza massimo giornaliero (ovvero day_max) per l'elemento nell'intervallo di 10 giorni precedente.
  • day_count viene utilizzato per calcolare rolling_max ed è sempre il valore 10.

Se calcolata per un dominio, la differenza tra day_max e day_max_sub_domains (e tra rolling_max e rolling_max_sub_domains) è la seguente:

  • rolling_max e day_max rappresentano il numero giornaliero di indirizzi IP interni univoci che accedono a un determinato dominio (esclusi i sottodomini).
  • rolling_max_sub_domains e day_max_sub_domains rappresentano il numero di indirizzi IP interni univoci che accedono a un determinato dominio (inclusi i sottodomini).

Le statistiche sulla prevalenza vengono calcolate sui dati delle entità appena importati. I calcoli non vengono eseguiti in modo retroattivo sui dati importati in precedenza. Sono necessarie circa 36 ore per calcolare e archiviare le statistiche.

Calcola la data e l'ora della prima e dell'ultima apparizione delle entità

Google Security Operations esegue analisi statistiche sui dati in entrata e arricchisce i record del contesto dell'entità con le date e gli orari della prima e dell'ultima apparizione di un'entità. Il campo first_seen_time memorizza la data e l'ora in cui l'entità è stata rilevata per la prima volta nell'ambiente del cliente. Il campo last_seen_time memorizza la data e l'ora dell'osservazione più recente.

Poiché più indicatori (campi UDM) possono identificare un asset o un utente, la data e l'ora della prima apparizione è la prima volta che uno degli indicatori che identificano l'utente o l'asset è stato rilevato nell'ambiente del cliente.

Tutti i campi UDM che descrivono un asset sono i seguenti:

  • entity.asset.hostname
  • entity.asset.ip
  • entity.asset.mac
  • entity.asset.asset_id
  • entity.asset.product_object_id

Tutti i campi UDM che descrivono un utente sono i seguenti:

  • entity.user.windows_sid
  • entity.user.product_object_id
  • entity.user.userid
  • entity.user.employee_id
  • entity.user.email_addresses

L'ora di primo rilevamento e l'ora di ultimo rilevamento consentono a un analista di correlare determinate attività che si sono verificate dopo la prima apparizione di un dominio, un file (hash), una risorsa, un utente o un indirizzo IP o che non si sono più verificate dopo l'ultima apparizione di un dominio, un file (hash) o un indirizzo IP.

I campi first_seen_time e last_seen_time vengono compilati con entità che descrivono un dominio, un indirizzo IP e un file (hash). Per le entità che descrivono un utente o un asset, viene compilato solo il campo first_seen_time. Questi valori non vengono calcolati per le entità che descrivono altri tipi, ad esempio un gruppo o una risorsa.

Le statistiche vengono calcolate per ogni entità in tutti gli spazi dei nomi. Google Security Operations non calcola le statistiche per ogni entità all'interno dei singoli spazi dei nomi. Al momento queste statistiche non vengono esportate nello schema events di Google Security Operations in BigQuery.

I valori arricchiti vengono calcolati e archiviati nei seguenti campi UDM:

Tipo di entità Campi UDM
Dominio entity.domain.first_seen_time
entity.domain.last_seen_time
File (hash) entity.file.first_seen_time
entity.file.last_seen_time
Indirizzo IP entity.artifact.first_seen_time
entity.artifact.last_seen_time
Asset entity.asset.first_seen_time
Utente entity.user.first_seen_time

Arricchire gli eventi con i dati di geolocalizzazione

I dati dei log in arrivo possono includere indirizzi IP esterni senza informazioni sulla posizione corrispondenti. Questo accade spesso quando un evento registra informazioni sull'attività del dispositivo che non si trova in una rete aziendale. Ad esempio, un evento di accesso a un servizio cloud conterrà un indirizzo IP di origine o client in base all'indirizzo IP esterno di un dispositivo restituito dal NAT dell'operatore.

Google Security Operations fornisce dati arricchiti con geolocalizzazione per gli indirizzi IP esterni per consentire rilevamenti delle regole più efficaci e un contesto più ampio per le indagini. Ad esempio, Google Security Operations potrebbe utilizzare un indirizzo IP esterno per arricchire l'evento con informazioni sul paese (ad esempio gli Stati Uniti), su uno stato specifico (ad esempio l'Alaska) e sulla rete in cui si trova l'indirizzo IP (ad esempio l'ASN e il nome dell'operatore).

Google Security Operations utilizza i dati sulla posizione forniti da Google per fornire informazioni sulla rete e sulla posizione geografica approssimativa di un indirizzo IP. Puoi scrivere regole del motore di rilevamento in base a questi campi negli eventi. I dati sugli eventi arricchiti vengono esportati anche in BigQuery, dove possono essere utilizzati nelle dashboard e nei report di Google Security Operations.

I seguenti indirizzi IP non sono arricchiti:

  • Spazi di indirizzi IP privati RFC 1918 perché sono interni alla rete aziendale.
  • Spazio degli indirizzi IP multicast RFC 5771 perché gli indirizzi multicast non appartengono a una singola località.
  • Indirizzi locali univoci IPv6.
  • Google Cloud Indirizzi IP di servizio. Le eccezioni sono Google Cloud gli indirizzi IP esterni di Compute Engine, che vengono arricchiti.

Google Security Operations arricchisce i seguenti campi UDM con dati sulla geolocalizzazione:

  • principal
  • target
  • src
  • observer
Tipo di dati Campo UDM
Posizione (ad es. Stati Uniti) ( principal | target | src | observer ).ip_geo_artifact.location.country_or_region
Stato (ad es. New York) ( principal | target | src | observer ).ip_geo_artifact.location.state
Longitudine ( principal | target | src | observer ).ip_geo_artifact.location.region_coordinates.longitude
Latitudine ( principal | target | src | observer ).ip_geo_artifact.location.region_coordinates.latitude
ASN (Autonomous System Number) ( principal | target | src | observer ).ip_geo_artifact.network.asn
Nome dell'operatore ( principal | target | src | observer ).ip_geo_artifact.network.carrier_name
Dominio DNS ( principal | target | src | observer ).ip_geo_artifact.network.dns_domain
Nome dell'organizzazione ( principal | target | src | observer ).ip_geo_artifact.network.organization_name

L'esempio seguente mostra il tipo di informazioni geografiche che verrebbero aggiunte a un evento UDM con un indirizzo IP taggato per i Paesi Bassi:

Campo UDM Valore
principal.ip_geo_artifact.location.country_or_region Netherlands
principal.ip_geo_artifact.location.region_coordinates.latitude 52.132633
principal.ip_geo_artifact.location.region_coordinates.longitude 5.291266
principal.ip_geo_artifact.network.asn 8455
principal.ip_geo_artifact.network.carrier_name schuberg philis

Incongruenze

La tecnologia di geolocalizzazione IP proprietaria di Google utilizza una combinazione di dati di rete e altri input e metodi per fornire la posizione dell'indirizzo IP e la risoluzione della rete per i nostri utenti. Altre organizzazioni potrebbero utilizzare indicatori o metodi diversi, il che potrebbe occasionalmente portare a risultati diversi.

Se si verificano casi in cui riscontri un'incongruenza nei risultati di geolocalizzazione IP forniti da Google, apri una richiesta all'assistenza clienti per consentirci di effettuare accertamenti e, se opportuno, correggere i nostri dati in futuro.

Arricchire le entità con le informazioni degli elenchi di minacce di Navigazione sicura

Google Security Operations importa i dati di Navigazione sicura relativi agli hash dei file. I dati di ogni file vengono archiviati come entità e forniscono un contesto aggiuntivo sul file. Gli analisti possono creare regole del motore di rilevamento che eseguono query su questi dati di contesto dell'entità per creare analisi basate sul contesto.

Le seguenti informazioni vengono archiviate con il record del contesto dell'entità.

Campo UDM Descrizione
entity.metadata.product_entity_id Un identificatore univoco per l'entità.
entity.metadata.entity_type Questo valore è FILE, che indica che l'entità descrive un file.
entity.metadata.collected_timestamp La data e l'ora in cui l'entità è stata osservata o si è verificato l'evento.
entity.metadata.interval Memorizza l'ora di inizio e l'ora di fine in cui questi dati sono validi. Poiché i contenuti dell'elenco delle minacce cambiano nel tempo, start_time e end_time riflettono l'intervallo di tempo durante il quale i dati sull'entità sono validi. Ad esempio, è stato osservato che un hash del file è stato dannoso o sospetto tra start_time and end_time.
entity.metadata.threat.category Questa è la pagina SecurityCategory di Google Security Operations. Deve essere impostato su uno o più dei seguenti valori:
  • SOFTWARE_MALICIOUS: indica che la minaccia è correlata a malware.
  • SOFTWARE_PUA: indica che la minaccia è correlata a software indesiderato.
entity.metadata.threat.severity Questa è la pagina ProductSeverity di Google Security Operations. Se il valore è CRITICAL, indica che l'elemento sembra dannoso. Se il valore non è specificato, l'affidabilità non è sufficiente per indicare che l'elemento è dannoso.
entity.metadata.product_name Memorizza il valore Google Safe Browsing.
entity.file.sha256 Il valore hash SHA256 del file.

Arricchire le entità con i dati WHOIS

Google Security Operations importa i dati WHOIS ogni giorno. Durante l'importazione dei dati dei dispositivi dei clienti in entrata, Google Security Operations valuta i domini nei dati dei clienti in base ai dati WHOIS. In caso di corrispondenza, Google Security Operations memorizza i dati WHOIS correlati nel record dell'entità per il dominio. Per ogni entità, dove entity.metadata.entity_type = DOMAIN_NAME, Google Security Operations arricchisce l'entità con le informazioni di WHOIS.

Google Security Operations compila i dati WHOIS arricchiti nei seguenti campi del record dell'entità:

  • entity.domain.admin.attribute.labels
  • entity.domain.audit_update_time
  • entity.domain.billing.attribute.labels
  • entity.domain.billing.office_address.country_or_region
  • entity.domain.contact_email
  • entity.domain.creation_time
  • entity.domain.expiration_time
  • entity.domain.iana_registrar_id
  • entity.domain.name_server
  • entity.domain.private_registration
  • entity.domain.registrant.company_name
  • entity.domain.registrant.office_address.state
  • entity.domain.registrant.office_address.country_or_region
  • entity.domain.registrant.email_addresses
  • entity.domain.registrant.user_display_name
  • entity.domain.registrar
  • entity.domain.registry_data_raw_text
  • entity.domain.status
  • entity.domain.tech.attribute.labels
  • entity.domain.update_time
  • entity.domain.whois_record_raw_text
  • entity.domain.whois_server
  • entity.domain.zone

Per una descrizione di questi campi, consulta il documento Elenco dei campi del modello di dati unificato.

Importa e archivia Google Cloud dati di Threat Intelligence

Google Security Operations importa i dati dalle origini Google Cloud dati di intelligence sulle minacce (GCTI) Google Cloud che forniscono informazioni contestuali che puoi utilizzare per esaminare le attività nel tuo ambiente. Puoi eseguire query sulle seguenti origini dati:

  • Nodi di uscita Tor del GCTI: indirizzi IP noti come nodi di uscita Tor.
  • Binari benigni GCTI: file che fanno parte della distribuzione originale del sistema operativo o che sono stati aggiornati da una patch ufficiale del sistema operativo. Alcuni file binari ufficiali del sistema operativo che sono stati utilizzati in modo improprio da un avversario tramite attività comuni negli attacchi living-off-the-land sono esclusi da questa origine dati, ad esempio quelli incentrati su vettori di accesso iniziali.

  • Strumenti di accesso remoto GCTI: file che sono stati spesso utilizzati da attori malintenzionati. Questi strumenti sono in genere applicazioni legittime che a volte vengono usate in modo improprio per collegarsi da remoto a sistemi compromessi.

    Questi dati contestuali vengono archiviati a livello globale come entità. Puoi eseguire query sui dati utilizzando le regole del motore di rilevamento. Includi i seguenti campi e valori UDM nella regola per eseguire query su queste entità globali:

  • graph.metadata.vendor_name = Google Cloud Threat Intelligence

  • graph.metadata.product_name = GCTI Feed

In questo documento, il segnaposto <variable_name> rappresenta il nome della variabile univoca utilizzata in una regola per identificare un record UDM.

Origini dati di Google Cloud threat intelligence basate su tempo e non basate su tempo

Google Cloud Le origini dati di intelligence sulle minacce sono con scadenza o senza scadenza.

Le origini dati con temporizzazione hanno un intervallo di tempo associato a ogni voce. Ciò significa che se viene generato un rilevamento il giorno 1, in qualsiasi giorno futuro si prevede che lo stesso rilevamento venga generato per il giorno 1 durante una ricerca retroattiva.

Le origini dati senza tempo non hanno un intervallo di tempo associato. Questo accade perché deve essere preso in considerazione solo l'ultimo set di dati. Le origini dati immutabili vengono spesso utilizzate per dati come gli hash dei file che non dovrebbero essere modificati. Se il primo giorno non viene generato alcun rilevamento, il secondo giorno potrebbe essere generato un rilevamento per il primo giorno durante una ricerca a ritroso perché è stata aggiunta una nuova voce.

Dati sugli indirizzi IP dei nodi di uscita Tor

Google Security Operations acquisisce e memorizza gli indirizzi IP noti come nodi di uscita Tor. I nodi di uscita Tor sono i punti in cui il traffico esce dalla rete Tor. Le informazioni importate da questa origine dati vengono memorizzate nei seguenti campi UDM. I dati in questa origine sono temporizzati.

Campo UDM Descrizione
<variable_name>.graph.metadata.vendor_name Memorizza il valore Google Cloud Threat Intelligence.
<variable_name>.graph.metadata.product_name Memorizza il valore GCTI Feed.
<variable_name>.graph.metadata.threat.threat_feed_name Memorizza il valore Tor Exit Nodes.
<variable_name>.graph.entity.artifact.ip Memorizza l'indirizzo IP importato dall'origine dati GCTI.

Dati sui file del sistema operativo benigni

Google Security Operations importa e archivia gli hash dei file dall'origine dati Binari benigni GCTI. Le informazioni importate da questa origine dati vengono memorizzate nei seguenti campi UDM. I dati in questa origine sono atemporali.

Campo UDM Descrizione
<variable_name>.graph.metadata.vendor_name Memorizza il valore Google Cloud Threat Intelligence.
<variable_name>.graph.metadata.product_name Memorizza il valore GCTI Feed.
<variable_name>.graph.metadata.threat.threat_feed_name Memorizza il valore Benign Binaries.
<variable_name>.graph.entity.file.sha256 Memorizza il valore hash SHA256 del file.
<variable_name>.graph.entity.file.sha1 Memorizza il valore hash SHA1 del file.
<variable_name>.graph.entity.file.md5 Memorizza il valore hash MD5 del file.

Dati sugli strumenti di accesso remoto

Gli strumenti di accesso remoto includono hash dei file per strumenti di accesso remoto noti come i client VNC, che sono stati spesso utilizzati da malintenzionati. Questi strumenti sono generalmente applicazioni legittime che a volte vengono utilizzate in modo improprio per connettersi da remoto a sistemi compromessi. Le informazioni importate da questa origine dati vengono archiviate nei seguenti campi UDM. I dati in questa origine sono atemporali.

Campo UDM Descrizione
.graph.metadata.vendor_name Memorizza il valore Google Cloud Threat Intelligence.
.graph.metadata.product_name Memorizza il valore GCTI Feed.
.graph.metadata.threat.threat_feed_name Memorizza il valore Remote Access Tools.
.graph.entity.file.sha256 Memorizza il valore dell'hash SHA256 del file.
.graph.entity.file.sha1 Memorizza il valore hash SHA1 del file.
.graph.entity.file.md5 Memorizza il valore hash MD5 del file.

Arricchire gli eventi con i metadati dei file di VirusTotal

Google Security Operations arricchisce gli hash dei file negli eventi UDM e fornisce un contesto aggiuntivo durante un'indagine. Gli eventi UDM vengono arricchiti tramite l'alias dell'hash in un ambiente del cliente. L'alias dell'hash combina tutti i tipi di hash dei file e fornisce informazioni sull'hash di un file durante una ricerca.

L'integrazione dei metadati dei file di VirusTotal e l'arricchimento delle relazioni con Google SecOps possono essere utilizzati per identificare schemi di attività dannose e per monitorare i movimenti dei malware in una rete.

Un log non elaborato fornisce informazioni limitate sul file. VirusTotal arricchisce l'evento con i metadati del file per fornire un dump degli hash non validi insieme ai metadati relativi al file non valido. I metadati includono informazioni quali nomi file, tipi, funzioni importate e tag. Puoi utilizzare queste informazioni nel motore di ricerca e rilevamento UDM con YARA-L per comprendere gli eventi relativi ai file danneggiati e in generale durante la ricerca di minacce. Un caso d'uso di esempio è il rilevamento di eventuali modifiche al file originale, che a sua volta importerebbe i metadati del file per il rilevamento delle minacce.

Le seguenti informazioni vengono archiviate con il record. Per un elenco di tutti i campi UDM, consulta l'elenco dei campi del modello di dati unificato.

Tipo di dati Campo UDM
SHA-256 ( principal | target | src | observer ).file.sha256
MD5 ( principal | target | src | observer ).file.md5
SHA-1 ( principal | target | src | observer ).file.sha1
Dimensioni ( principal | target | src | observer ).file.size
ssdeep ( principal | target | src | observer ).file.ssdeep
vhash ( principal | target | src | observer ).file.vhash
authentihash ( principal | target | src | observer ).file.authentihash
Tipo di file ( principal | target | src | observer ).file.file_type
Tag ( principal | target | src | observer ).file.tags
Tag delle funzionalità ( principal | target | src | observer ).file.capabilities_tags
Nomi ( principal | target | src | observer ).file.names
Ora della prima visualizzazione ( principal | target | src | observer ).file.first_seen_time
Ora dell'ultimo accesso ( principal | target | src | observer ).file.last_seen_time
Data/ora ultima modifica ( principal | target | src | observer ).file.last_modification_time
Data/ora dell'ultima analisi ( principal | target | src | observer ).file.last_analysis_time
URL incorporati ( principal | target | src | observer ).file.embedded_urls
IP incorporati ( principal | target | src | observer ).file.embedded_ips
Domini incorporati ( principal | target | src | observer ).file.embedded_domains
Informazioni sulla firma ( principal | target | src | observer ).file.signature_info
Informazioni sulla firma
  • Sigcheck
 ( principal | target | src | observer).file.signature_info.sigcheck
Informazioni sulla firma
  • Sigcheck
    • Messaggio di verifica
 ( principal | target | src | observer ).file.signature_info.sigcheck.verification_message
Informazioni sulla firma
  • Sigcheck
    • Verificato
 ( principal | target | src | observer ).file.signature_info.sigcheck.verified
Informazioni sulla firma
  • Sigcheck
    • Firmatari
 ( principal | target | src | observer ).file.signature_info.sigcheck.signers
Informazioni sulla firma
  • Sigcheck
    • Firmatari
      • Nome
 ( principal | target | src | observer ).file.signature_info.sigcheck.signers.name
Informazioni sulla firma
  • Sigcheck
    • Firmatari
      • Stato
 ( principal | target | src | observer ).file.signature_info.sigcheck.signers.status
Informazioni sulla firma
  • Sigcheck
    • Firmatari
      • Utilizzo valido per il certificato
 ( principal | target | src | observer ).file.signature_info.sigcheck.signers.valid_usage
Informazioni sulla firma
  • Sigcheck
    • Firmatari
      • Autorità di certificazione
 ( principal | target | src | observer ).file.signature_info.sigcheck.signers.cert_issuer
Informazioni sulla firma
  • Sigcheck
    • X509
 ( principal | target | src | observer ).file.signature_info.sigcheck.x509
Informazioni sulla firma
  • Sigcheck
    • X509
      • Nome
 ( principal | target | src | observer ).file.signature_info.sigcheck.x509.name
Informazioni sulla firma
  • Sigcheck
    • X509
      • Algoritmo
 ( principal | target | src | observer ).file.signature_info.sigcheck.x509.algorithm
Informazioni sulla firma
  • Sigcheck
    • X509
      • Identificazione personale
 ( principal | target | src | observer ).file.signature_info.sigcheck.x509.thumprint
Informazioni sulla firma
  • Sigcheck
    • X509
      • Autorità di certificazione
 ( principal | target | src | observer ).file.signature_info.sigcheck.x509.cert_issuer
Informazioni sulla firma
  • Sigcheck
    • X509
      • Numero di serie
 ( principal | target | src | observer ).file.signature_info.sigcheck.x509.serial_number
Informazioni sulla firma
  • Codesign
 ( principal | target | src | observer ).file.signature_info.codesign
Informazioni sulla firma
  • Codesign
    • ID
 ( principal | target | src | observer ).file.signature_info.codesign.id
Informazioni sulla firma
  • Codesign
    • Formato
 ( principal | target | src | observer ).file.signature_info.codesign.format
Informazioni sulla firma
  • Codesign
    • Tempo di compilazione
 ( principal | target | src | observer ).file.signature_info.codesign.compilation_time
Informazioni su Exiftool ( principal | target | src | observer ).file.exif_info
Informazioni su Exiftool
  • Nome file originale
 ( principal | target | src | observer ).file.exif_info.original_file
Informazioni su Exiftool
  • Nome del prodotto
 ( principal | target | src | observer ).file.exif_info.product
Informazioni su Exiftool
  • Nome azienda
 ( principal | target | src | observer ).file.exif_info.company
Informazioni su Exiftool
  • Descrizione file
 ( principal | target | src | observer ).file.exif_info.file_description
Informazioni su Exiftool
  • Punto di ingresso
 ( principal | target | src | observer ).file.exif_info.entry_point
Informazioni su Exiftool
  • Tempo di compilazione
 ( principal | target | src | observer ).file.exif_info.compilation_time
Informazioni sul PDF ( principal | target | src | observer ).file.pdf_info
Informazioni sul PDF
  • Numero di tag /JS
 ( principal | target | src | observer ).file.pdf_info.js
Informazioni sul PDF
  • Numero di tag JavaScript
 ( principal | target | src | observer ).file.pdf_info.javascript
Informazioni sul PDF
  • Numero di tag /Launch
 ( principal | target | src | observer ).file.pdf_info.launch_action_count
Informazioni sul PDF
  • Numero di stream di oggetti
 ( principal | target | src | observer ).file.pdf_info.object_stream_count
Informazioni sul PDF
  • Numero di definizioni di oggetti (parola chiave endobj)
 ( principal | target | src | observer ).file.pdf_info.endobj_count
Informazioni sul PDF
  • Versione PDF
 ( principal | target | src | observer ).file.pdf_info.header
Informazioni sul PDF
  • Numero di tag /AcroForm
 ( principal | target | src | observer ).file.pdf_info.acroform
Informazioni sul PDF
  • Numero di tag /AA
 ( principal | target | src | observer ).file.pdf_info.autoaction
Informazioni sul PDF
  • Numero di tag /EmbeddedFile
 ( principal | target | src | observer ).file.pdf_info.embedded_file
Informazioni sul PDF
  • Tag /Encrypt
 ( principal | target | src | observer ).file.pdf_info.encrypted
Informazioni sul PDF
  • Numero di tag /RichMedia
 ( principal | target | src | observer ).file.pdf_info.flash
Informazioni sul PDF
  • Numero di tag /JBIG2Decode
 ( principal | target | src | observer ).file.pdf_info.jbig2_compression
Informazioni sul PDF
  • Numero di definizioni di oggetti (parola chiave obj)
 ( principal | target | src | observer ).file.pdf_info.obj_count
Informazioni sul PDF
  • Numero di oggetti stream definiti (parola chiave stream)
 ( principal | target | src | observer ).file.pdf_info.endstream_count
Informazioni sul PDF
  • Numero di pagine del PDF
 ( principal | target | src | observer ).file.pdf_info.page_count
Informazioni sul PDF
  • Numero di oggetti stream definiti (parola chiave stream)
 ( principal | target | src | observer ).file.pdf_info.stream_count
Informazioni sul PDF
  • Numero di tag /OpenAction
 ( principal | target | src | observer ).file.pdf_info.openaction
Informazioni sul PDF
  • Numero di parole chiave startxref
 ( principal | target | src | observer ).file.pdf_info.startxref
Informazioni sul PDF
  • Numero di colori espressi con più di 3 byte (CVE-2009-3459)
 ( principal | target | src | observer ).file.pdf_info.suspicious_colors
Informazioni sul PDF
  • Numero di parole chiave del trailer
 ( principal | target | src | observer ).file.pdf_info.trailer
Informazioni sul PDF
  • Numero di tag /XFA trovati
 ( principal | target | src | observer ).file.pdf_info.xfa
Informazioni sul PDF
  • Numero di parole chiave xref
 ( principal | target | src | observer ).file.pdf_info.xref
Metadati dei file PE ( principal | target | src | observer ).file.pe_file
Metadati del file PE
  • Imphash
 ( principal | target | src | observer ).file.pe_file.imphash
Metadati del file PE
  • Punto di ingresso
 ( principal | target | src | observer ).file.pe_file.entry_point
Metadati del file PE
  • Punto di contatto exiftool
 ( principal | target | src | observer ).file.pe_file.entry_point_exiftool
Metadati del file PE
  • Tempo di compilazione
 ( principal | target | src | observer ).file.pe_file.compilation_time
Metadati del file PE
  • Tempo di compilazione di exiftool
 ( principal | target | src | observer ).file.pe_file.compilation_exiftool_time
Metadati del file PE
  • Sezioni
 ( principal | target | src | observer ).file.pe_file.section
Metadati del file PE
  • Sezioni
    • Nome
 ( principal | target | src | observer ).file.pe_file.section.name
Metadati del file PE
  • Sezioni
    • Entropia
 ( principal | target | src | observer ).file.pe_file.section.entropy
Metadati del file PE
  • Sezioni
    • Dimensioni non elaborate in byte
 ( principal | target | src | observer ).file.pe_file.section.raw_size_bytes
Metadati del file PE
  • Sezioni
    • Dimensioni virtuali in byte
 ( principal | target | src | observer ).file.pe_file.section.virtual_size_bytes
Metadati del file PE
  • Sezioni
    • MD5 esadecimale
 ( principal | target | src | observer ).file.pe_file.section.md5_hex
Metadati del file PE
  • Importazioni
 ( principal | target | src | observer ).file.pe_file.imports
Metadati del file PE
  • Importazioni
    • Raccolta
 ( principal | target | src | observer ).file.pe_file.imports.library
Metadati del file PE
  • Importazioni
    • Funzioni
 ( principal | target | src | observer ).file.pe_file.imports.functions
Metadati del file PE
  • Informazioni sulle risorse
 ( principal | target | src | observer ).file.pe_file.resource
Metadati del file PE
  • Informazioni sulle risorse
    • SHA-256 esadecimale
 ( principal | target | src | observer ).file.pe_file.resource.sha256_hex
Metadati del file PE
  • Informazioni sulle risorse
    • Tipo di risorsa identificato dal modulo magico Python
 ( principal | target | src | observer ).file.pe_file.resource.filetype_magic
Metadati del file PE
  • Informazioni sulle risorse
    • Versione leggibile degli identificatori di lingua e sottolingua, come definito nella specifica di Windows PE
 ( principal | target | src | observer ).file.pe_file.resource_language_code
Metadati del file PE
  • Informazioni sulle risorse
    • Entropia
 ( principal | target | src | observer ).file.pe_file.resource.entropy
Metadati del file PE
  • Informazioni sulle risorse
    • Tipo di file
 ( principal | target | src | observer ).file.pe_file.resource.file_type
Metadati del file PE
  • Numero di risorse per tipo di risorsa
 ( principal | target | src | observer ).file.pe_file.resources_type_count_str
Metadati del file PE
  • Numero di risorse per lingua
 ( principal | target | src | observer ).file.pe_file.resources_language_count_str

Arricchire le entità con i dati sulle relazioni di VirusTotal

VirusTotal aiuta ad analizzare file, domini, indirizzi IP e URL sospetti per rilevare malware e altre violazioni e condividere i risultati con la community per la sicurezza. Google Security Operations importa i dati dalle connessioni correlate a VirusTotal. Questi dati vengono memorizzati come entità e forniscono informazioni sulla relazione tra gli hash dei file e i file, i domini, gli indirizzi IP e gli URL.

Gli analisti possono utilizzare questi dati per determinare se l'hash di un file è errato in base alle informazioni sull'URL o sul dominio provenienti da altre fonti. Queste informazioni possono essere utilizzate per creare regole del Detection Engine che eseguono query sui dati contestuali delle entità per creare analisi sensibili al contesto.

Questi dati sono disponibili solo per determinate licenze VirusTotal e Google Security Operations. Verifica i tuoi diritti con il tuo account manager.

Le seguenti informazioni vengono archiviate con il record del contesto dell'entità:

Campo UDM Descrizione
entity.metadata.product_entity_id Un identificatore univoco per l'entità
entity.metadata.entity_type Memorizza il valore FILE, che indica che l'entità descrive un file
entity.metadata.interval start_time si riferisce all'inizio del tempo e end_time è la fine del tempo per cui questi dati sono validi
entity.metadata.source_labels Questo campo memorizza un elenco di coppie chiave-valore di source_id e target_id per questa entità. source_id è l'hash del file e target_id può essere l'hash o il valore dell'URL, del nome di dominio o dell'indirizzo IP a cui si riferisce questo file. Puoi cercare l'URL, il nome di dominio, l'indirizzo IP o il file all'indirizzo virustotal.com.
entity.metadata.product_name Memorizza il valore "Relazioni VirusTotal"
entity.metadata.vendor_name Memorizza il valore "VirusTotal"
entity.file.sha256 Memorizza il valore hash SHA-256 del file
entity.file.relations Un elenco di entità secondarie a cui è correlata l'entità file principale
entity.relations.relationship Questo campo spiega il tipo di relazione tra le entità principali e secondarie. Il valore può essere EXECUTES, DOWNLOADED_FROM o CONTACTS.
entity.relations.direction Memorizza il valore "UNIDIRECTIONAL" e indica la direzione della relazione con l'entità secondaria
entity.relations.entity.url L'URL contattato dal file nell'entità principale (se la relazione tra l'entità principale e l'URL è CONTACTS) o l'URL da cui è stato scaricato il file nell'entità principale (se la relazione tra l'entità principale e l'URL è CONTACTS).DOWNLOADED_FROM
entity.relations.entity.ip Un elenco di indirizzi IP con cui il file nell'entità principale è in contatto o da cui è stato scaricato Contiene un solo indirizzo IP.
entity.relations.entity.domain.name Il nome di dominio con cui il file nell'entità principale contatta o da cui è stato scaricato
entity.relations.entity.file.sha256 Memorizza il valore dell'hash SHA-256 del file nella relazione
entity.relations.entity_type Questo campo contiene il tipo di entità nella relazione. Il valore può essere URL, DOMAIN_NAME, IP_ADDRESS o FILE. Questi campi vengono compilati in conformità con le linee guida entity_type. Ad esempio, se entity_type è URL, entity.relations.entity.url viene compilato.

Passaggi successivi

Per informazioni su come utilizzare i dati arricchiti con altre funzionalità di Google Security Operations, consulta quanto segue:

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.