使用 Google Security Operations 查看潜在安全问题

本文档介绍了如何在调查提醒和 使用 Google Security Operations 发现潜在的安全问题。

准备工作

Google Security Operations 专门用于 Google Chrome 或 Mozilla Firefox 浏览器。

Google 建议您将浏览器升级到最新版本。您可以从 https://www.google.com/chrome/ 下载最新版本的 Chrome。

Google Security Operations 已集成到您的单点登录解决方案 (SSO) 中。 您可以使用贵企业提供的凭据登录 Google Security Operations。

1. 启动 Chrome 或 Firefox。

2. 确保您有权访问公司账号。

3. 访问 Google Security Operations 应用，其中 customer_subdomain 是客户专有的标识符，请导航到： https://customer_subdomain.backstory.chronicle.security.

查看提醒和 IOC 匹配

1. 在导航栏中，依次选择检测 >提醒和 IOC。

2. 点击广告订单匹配标签页。

在网域视图中搜索 IOC 匹配项

IOC 网域匹配项标签页中的网域列包含可疑网域列表。点击此列中的某个网域会打开网域视图，如下图所示，提供有关该网域的详细信息。

网域视图

使用用户视图进行搜索

如需前往用户视图，请完成以下步骤：

1. 在企业数据洞察视图中，“近期提醒”部分包含一列，其中列出了在企业数据洞察标题中显示的时间范围内触发了提醒的用户。可以使用时间滑块栏调整此时间范围。您可能需要使用滑块来匹配时间范围，以显示匹配项和提醒。
2. 点击此列中的用户名后，系统会显示有关用户活动的详细信息，用户通过这些信息就可以进一步调查威胁。

使用素材资源视图进行搜索

如需进入素材资源视图，请完成以下步骤：

1. 在企业数据洞察视图中，“近期提醒”部分包含在企业数据洞察标题显示的时间范围内触发了提醒的资产列表。可以使用时间滑块栏调整此时间范围。您可能需要使用滑块来匹配时间范围，以显示匹配项和提醒。

2. 点击您要进一步探索的资产。Google Security Operations 切换到资产视图，如下图所示。

   

3. 主窗口中的气泡表示资产的普及率。图表会采用一定的排列方式，使得发生频率较低的事件位于顶部。这些低普及率事件更可能被视为可疑。如需放大需要进一步调查的事件，请使用右上角的时间范围滑块。

4. 可以使用过程过滤进一步缩小搜索范围。如果过程过滤下拉菜单尚未打开，请点击 图标 。在下拉菜单的顶部，使用普及率滑块过滤掉正常事件并定位更多可疑事件。

使用 Google Security Operations 搜索字段

直接从 Google Security Operations 首页发起搜索，如下图所示。

Google Security Operations 搜索字段

在此页面上，您可以输入以下搜索字词：

主机名会显示 Domain（网域）视图	（例如 Plato.example.com）
网域显示网域视图	（例如：altostrat.com）
IP 地址显示 IP 地址视图	（例如：192.168.254.15）
网址显示网域视图	（例如：https://new.altostrat.com）
用户名会显示素材资源视图	（例如：betty-dearo-pc）
文件哈希显示哈希视图	（例如：e0d123e5f316bef78bfdf5a888837577）

你不必指定要输入哪种类型的搜索字词 Google Security Operations 会为您确定。相应结果会显示在相应的调查视图中。例如，在搜索字段中输入用户名会显示资产视图。

搜索原始日志

您可以选择搜索已编入索引的数据库或搜索原始日志。搜索原始日志是一种更全面的搜索，但它比编入索引的搜索花费的时间更长。

如需进一步确定搜索，您可以使用正则表达式，使搜索条目区分大小写，或选择日志源。您还可以使用开始和结束时间字段选择所需的时间轴。

如需执行原始日志搜索，请完成以下步骤：

1. 输入搜索字词，然后在下拉菜单中选择原始日志扫描，如下图所示。

   显示原始日志扫描选项的下拉菜单

2. 设置原始搜索条件后，点击搜索按钮。

3. 在原始日志扫描视图中，您可以进一步分析日志数据。