Esaminare un avviso

Supportato in:

Google SecOps SIEM

Gli avvisi sono collegati ai dati identificati come una minaccia dai tuoi sistemi di sicurezza. L'indagine sugli avvisi fornisce il contesto relativo all'avviso e alle entità correlate.

Quando fai clic su un avviso, viene visualizzata una pagina contenente i dettagli dell'avviso organizzati nelle seguenti tre schede:

• Panoramica: fornisce un riepilogo dei dettagli importanti sull'avviso, tra cui lo stato dell'avviso e la finestra di rilevamento.
• Grafico: visualizza gli avvisi generati da una regola YARA-L. Fornisce un grafico della relazione dell'avviso con altre entità. Quando viene attivato un avviso, le entità associate vengono visualizzate sul grafico e sul lato sinistro dello schermo, ciascuna con la propria scheda. Il grafico di avviso utilizza le seguenti entità in un evento UDM: principal, target, src, observer, intermediary e about.
• Cronologia avvisi: elenca tutte le modifiche apportate a questo avviso, incluso quando lo stato di un avviso è cambiato o è stata aggiunta una nota.

Sotto il grafico che visualizza le relazioni tra le entità e l'alert sono presenti le tre sottoschede seguenti che forniscono ulteriori informazioni sull'avviso:

• Eventi: contiene i dettagli sugli eventi correlati all'avviso.
• Entità: contiene i dettagli di ogni entità associata all'avviso.
• Contesto dell'avviso: fornisce contesto aggiuntivo sull'avviso.

Nota: la ricerca UDM offre funzionalità avanzate che ti consentono di eseguire indagini più approfondite sugli eventi e sugli avvisi all'interno della tua istanza Google Security Operations rispetto a quanto sia possibile utilizzando solo la pagina Avvisi e indicatori di compromissione. Per saperne di più, consulta la ricerca UDM.

Prima di iniziare

Per compilare il grafico degli avvisi, devi creare una regola YARA-L che generi avvisi. La qualità del grafico di avviso è legata al contesto integrato nella regola YARA-L. La sezione relativa al risultato di una regola fornisce il contesto per i rilevamenti attivati dalla regola.

Ti consigliamo di aggiungere i seguenti nomi UDM alla sezione degli scopi, perché vengono utilizzati nel grafico degli avvisi: principal, target, src, observer, intermediary e about. Per questi verbi UDM, nel grafico degli avvisi vengono utilizzati i seguenti campi:

• artifact.ip
• asset.asset_id
• asset.hostname
• asset.ip
• asset.mac
• asset.product_object_id
• asset_id
• domain.name
• file.md5
• file.sha1
• file.sha256
• hostname
• ip
• mac
• process.file.md5
• process.file.sha1
• process.file.sha256
• resource.name
• url
• user.email_addresses
• user.employee_id
• user.product_object_id
• user.userid
• user.windows_sid

I valori nell'elenco precedente dei campi UDM rimandano anche alla ricerca UDM dalla sottoscheda Contesto avviso. Per ulteriori informazioni, vedi Visualizzare il contesto relativo all'avviso.

Nella seguente regola YARA-L, viene generato un avviso quando un numero significativo di Google Cloud API di servizio è stato disattivato in un breve periodo di tempo (1 ora).

rule gcp_multiple_service_apis_disabled {

  meta:
    author = "Google Cloud Security"
    description = "Detect when multiple Google Cloud Service APIs are disabled in a short period of time."
    severity = "High"
    priority = "High"

  events:
    $gcp.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
    $gcp.metadata.log_type = "GCP_CLOUDAUDIT"
    $gcp.metadata.product_event_type = "google.api.serviceusage.v1.ServiceUsage.DisableService"
    $gcp.security_result.action = "ALLOW"
    $gcp.target.application = "serviceusage.googleapis.com"
    $gcp.principal.user.userid = $userid

  match:
    $userid over 1h

  outcome:
    $risk_score = max(75)
    $network_http_user_agent = array_distinct($gcp.network.http.user_agent)
    $principal_ip = array_distinct($gcp.principal.ip)
    $principal_user_id = array_distinct($gcp.principal.user.userid)
    $principal_user_display_name = array_distinct($gcp.principal.user.user_display_name)
    $target_resource_name = array_distinct($gcp.target.resource.name)
    $dc_target_resource_name = count_distinct($gcp.target.resource.name)

  condition:
    $gcp and $dc_target_resource_name > 5
}

Dopo aver generato un avviso, puoi andare alla pagina Grafico di avviso per ottenere ulteriori informazioni sull'avviso e per esaminarlo ulteriormente.

Vai al grafico degli avvisi

Puoi accedere al Grafico dalla pagina Avvisi e indicatori di compromissione o dalla pagina Ricerca UDM.

Accedere al grafico degli avvisi da Avvisi e IOC

La pagina Avvisi e indicatori di compromissione (IOC) ti consente di filtrare e visualizzare tutti gli avvisi e gli indicatori di compromissione che interessano attualmente la tua azienda. Per approfondire questa pagina e scoprire come visualizzare le corrispondenze degli indicatori di compromissione, consulta Visualizzare avvisi e indicatori di compromissione.

Per visualizzare ulteriori informazioni su un avviso dalla pagina Avvisi e indicatori di compromissione, completa i seguenti passaggi:

1. Nella barra di navigazione, fai clic su Rilevamento > Avvisi e indicatori di compromissione.
2. Individua l'avviso che vuoi esaminare nella tabella degli avvisi.
3. Nella riga dell'avviso, fai clic sul testo nella colonna del nome per aprire il Grafico di avviso.

Accedere al grafico degli avvisi dalla ricerca UDM

1. Nella parte superiore della barra di navigazione, seleziona Cerca.
2. Carica una ricerca con Search Manager o creane una nuova. Scopri di più su come eseguire una ricerca in UDM in Ricerca UDM.
   1. Vengono visualizzate tre schede: Panoramica, Entità e Avvisi. Fai clic su Avvisi.
3. Fai clic sull'avviso che vuoi esaminare. Viene visualizzato il visualizzatore di avvisi.
4. Fai clic su Visualizza dettagli per aprire la visualizzazione Avviso.
5. Fai clic sulla scheda Grafico per visualizzare il grafico degli avvisi.

Visualizzare i dettagli di un avviso

Nella visualizzazione Avviso, la scheda Panoramica mostra le seguenti informazioni relative all'avviso:

• Dettagli avviso: stato dell'avviso, data di creazione, gravità, priorità e voto di rischio.
• Riepilogo rilevamento: la regola di rilevamento che ha generato l'avviso. Puoi visualizzare altri avvisi dalla stessa regola di rilevamento.
• Eventi: gli eventi associati a questo avviso.

Oltre a visualizzare informazioni importanti, puoi modificare lo stato dell'avviso.

Modificare lo stato dell'avviso

1. Fai clic su Modifica stato avviso nell'angolo in alto a destra.
2. Nella finestra visualizzata, aggiorna i livelli di gravità e priorità di conseguenza.
3. Fai clic su Salva.

Chiudi l'avviso

1. Fai clic su Chiudi avviso.
2. Nella finestra visualizzata, hai la possibilità di lasciare una nota per aggiungere ulteriore contesto sul motivo per cui hai chiuso l'avviso.
3. Inserisci i dati e premi Salva.

Nota: non puoi modificare lo stato degli avvisi gestiti.

Visualizzare le relazioni tra entità

Il grafico mostra come sono collegate entità e avvisi diversi. Questa funzionalità ti offre un grafico visivo e interattivo che puoi utilizzare per espandere le informazioni sulle relazioni delle entità esistenti in modo da evidenziare le relazioni sconosciute. Puoi anche espandere la ricerca aumentando l'intervallo di tempo e gli avvisi in un determinato momento passati per ottenere percorsi di avviso più completi.

Puoi anche espandere la ricerca facendo clic sull'icona + in alto a destra di qualsiasi nodo. In questo modo vengono visualizzati tutti i nodi relativi a quell'entità.

Icone dei grafici

Le entità diverse sono rappresentate da icone diverse.

Icona	Entità rappresentata dall'icona	Spiegazione
	Utente	Un utente è una persona o un'altra entità che richiede l'accesso alle informazioni della tua rete e le utilizza. Esempi: janedoe, [e-mail]
database	Risorsa	Le risorse sono un termine generico per le entità che hanno un nome univoco. Esempi: tabella, database e progetto BigQuery.
	Indirizzo IP
description	File
	Nome di dominio
	URL
device_unknown	Tipo di entità sconosciuto	Un tipo di entità non riconosciuto dal software di Google Security Operations.
memoria	Asset	Una risorsa è qualsiasi elemento che genera valore per la tua organizzazione. ad esempio nomi host, indirizzi MAC e indirizzi IP interni. Esempi: 10.120.89.92 (indirizzo IP interno), 00:53:00:4a:56:07 (indirizzo MAC)

Se due o più avvisi provengono dalla stessa regola, vengono raggruppati in un'icona di gruppo. Gli indicatori che rappresentano la stessa entità vengono raggruppati in un'unica icona.

Per scoprire di più su ciascuna di queste icone, consulta i seguenti documenti:

• Eseguire un'indagine su un utente
• Progettazione orientata alle risorse
• Esaminare un asset
• Esaminare un dominio
• Eseguire indagini su un file
• Esaminare un indirizzo IP

Esplorare il grafico degli avvisi

Quando fai clic su Grafico di avviso, il grafico mostra tutti i risultati 12 ore prima e dopo l'avviso. Se non sono presenti entità per l'avviso, nel grafico viene visualizzato solo l'avviso originale.

L'avviso principale è evidenziato da un cerchio rosso. Gli avvisi sono collegati alle entità con una linea continua e ad altri avvisi con una linea tratteggiata. Se tieni premuto il cursore sopra un bordo (la linea che collega due nodi), viene visualizzata la variabile di risultato o la variabile di corrispondenza che lo collega a un nodo del grafico.

Sul lato sinistro sono presenti schede per ogni nodo che includono dettagli su regole associate, finestre di rilevamento, gravità e stato della priorità e altro ancora.

Direttamente sopra il grafico è presente un pulsante denominato Opzioni grafico. Quando fai clic su Opzioni grafico, vengono visualizzate due opzioni: Rilevamento senza avviso e Punteggio di rischio. Entrambe sono attivate per impostazione predefinita e possono essere attivate o disattivate in base alle tue preferenze.

Per spostare i nodi, trascinali nel grafico. Quando rilasci il node, questo viene bloccato dove lo hai lasciato finché non fai clic su Aggiorna.

Aggiungere e rimuovere nodi

Se fai clic su un nodo, nella parte inferiore dello schermo viene visualizzata una tabella. Puoi eseguire le seguenti azioni su ogni nodo:

Avviso

• Visualizza entità, avvisi ed eventi correlati
• Visualizza i risultati e le corrispondenze dell'avviso
• Rimuovere qualsiasi sottografo
• Aggiungi o rimuovi entità e avvisi correlati dal grafico selezionando le caselle nella colonna Nel grafico

Entità

• Visualizza tutti gli avvisi correlati
• Rimuovere qualsiasi sottografo
• Aggiungi o rimuovi gli avvisi correlati dal grafico selezionando o deselezionando le caselle nella colonna Nel grafico

Gruppo

• Visualizza tutte le entità o gli avvisi che compongono il gruppo
• Per annullare il raggruppamento dei singoli nodi, fai clic su Nel grafico nella tabella in fondo alla pagina.

Per aggiungere o rimuovere il punteggio di rischio dai nodi, seleziona o deseleziona la casella Punteggio di rischio sopra la tabella.

Espandi il grafico degli avvisi

Per visualizzare altri nodi correlati, fai clic sull'icona + nella parte inferiore dell'avviso. Vengono visualizzate le entità e gli avvisi correlati all'icona selezionata. Ogni nuovo avviso ha una scheda laterale con ulteriori dettagli.

Reimpostare il grafico

Se vuoi cancellare il grafico, puoi modificare l'intervallo di tempo nella finestra a destra. L'intervallo massimo è di 90 giorni. La reimpostazione dell'intervallo di tempo reimposta anche il grafico allo stato originale. L'aggiornamento dell'intervallo di tempo elimina eventuali nodi aggiuntivi dal grafico e reimposta il grafico allo stato originale.

Per riportare i nodi nella posizione predefinita, fai clic su Aggiorna.

Visualizza il contesto relativo all'avviso

La sezione Contesto avviso contiene un elenco di valori che forniscono un contesto aggiuntivo sull'avviso.

Il contesto dell'avviso contiene una colonna Tipo che indica quale parte della regola ha generato l'avviso selezionato: risultato o corrispondenza. La colonna successiva è chiamata Variabile. Questi nomi di variabili si basano sui nomi delle variabili di corrispondenza e di esito definite nella regola. Infine, la colonna all'estrema destra è Campo UDM. Le variabili con un campo UDM elencato sono collegate anche nella colonna Valori.

Oltre ai campi UDM elencati nella sezione Prima di iniziare, i seguenti campi UDM sono collegati anche alla pagina Ricerca UDM:

• file.full_path
• process.command_line
• process.file.full_path
• process.parent_process.product_specific_process_id
• process.pid
• process.product_specific_process_id
• resource.product_object_id

I nomi UDM specifici associati a questi campi sono principal, target, src, observer, intermediary e about. Se fai clic su un valore, viene attivata una ricerca UDM, passando il valore insieme all'intervallo di tempo del giorno precedente.

Nell'esempio di regola YARA-L riportato nella sezione Prima di iniziare, i seguenti campi UDM verranno collegati alla pagina Ricerca UDM:

• principal.ip
• principal.user.userid
• principal.user.user_display_name
• target.resource.name

Visualizzare la cronologia dell'avviso

La scheda Cronologia avvisi ti consente di visualizzare una cronologia completa di tutte le azioni svolte per questo avviso. È incluso quanto segue:

• Quando è stato visualizzato per la prima volta l'avviso
• Eventuali note lasciate dai membri del tuo team su questo avviso
• Se la gravità è cambiata
• Se la priorità è stata modificata
• Se l'avviso è stato chiuso

Avvisi di Google Security Operations SOAR

Gli avvisi di Google Security Operations SOAR includono informazioni aggiuntive sulla richiesta di Google Security Operations SOAR. Questi avvisi forniscono anche un link per aprire la richiesta in Google Security Operations SOAR. Per ulteriori informazioni, consulta la panoramica delle richieste SOAR di Google Security Operations.

Avviso per la richiesta Google Security Operations SOAR

Nota: non puoi aggiornare un avviso SOAR di Google Security Operations dal menu delle opzioni di avviso. Per eseguire questa azione, devi accedere a Google Security Operations SOAR facendo clic sul nome della richiesta nel riquadro Dettagli della richiesta.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.