이 문서에서는 Security Command Center 엔터프라이즈 등급에서 케이스로 발견 항목을 그룹화하는 방법을 설명합니다.
개요
발견 항목 그룹화 메커니즘은 수집된 발견 항목을 케이스로 자동으로 그룹화합니다. 기본적으로 이 그룹화 메커니즘은 한 케이스에 있는 모든 발견 항목이 다음과 같은 동일 항목에 속하도록 보장합니다.
리소스 소유자
Google Cloud 프로젝트
AWS 계정
애셋 유형
카테고리
심각도 수준
그룹화 설정 구성
수집된 모든 발견 항목에 적용 가능한 기본 그룹화 설정을 구성하려면 다음 단계를 수행합니다.
보안 운영 콘솔에서 설정 > 수집 > 커넥터로 이동합니다.
SCC 엔터프라이즈 - 긴급 상황 발견 항목 커넥터를 선택합니다.
그룹화 메커니즘을 맞춤설정하고 특정 그룹화 옵션을 사용 중지하려면 하나 이상의 다음 매개변수에 대해 체크박스를 해제합니다.
Group by AWS Account
Group by GCP Project
Group by Severity
Group by Asset Type
기본적으로 수집된 발견 항목에 다음 그룹화 설정이 적용됩니다.
AWS 계정별 그룹화: 포함된 AWS 계정에 따라 발견 항목이 그룹화됩니다.
GCP 프로젝트별 그룹화: 포함된 Google Cloud 프로젝트에 따라 발견 항목이 그룹화됩니다.
심각도별 그룹화: HIGH 또는 MEDIUM과 같은 severity수준에 따라 발견 항목이 그룹화됩니다.
애셋 유형별 그룹화: Compute Engine 인스턴스 또는 IAM 서비스 계정과 같은 애셋 유형(Google Cloud 리소스 유형)에 따라 발견 항목이 그룹화됩니다.
케이스로 그룹화된 모든 발견 항목은 동일한 소유자에 속합니다. 발견 항목이 올바르게 그룹화되도록 하려면 상속된 Google Cloud 태그 또는 필수 연락처가 없는 발견 항목을 포함하여 항상 커넥터 Fallback Owner 매개변수를 구성합니다.
예: 그룹화 메커니즘 작동 방법
이 예시에서는 Google Cloud의 발견 항목만 사용됩니다.
커넥터는 해당 Google Cloud 리소스에서 상속된 심각도 및 값이 서로 다른 4개의 발견 항목을 수집합니다.
발견 항목 1: 심각도: Critical, 애셋 유형: Compute, 프로젝트: Project_1
발견 항목 2: 심각도: Critical, 애셋 유형: IAM, 프로젝트: Project_2
발견 항목 3: 심각도: High, 애셋 유형: Compute, 프로젝트: Project_1
발견 항목 4: 심각도: High, 애셋 유형: Compute, 프로젝트: Project_2
기본 그룹화 메커니즘
기본 설정에서는 발견 항목이 해당 프로젝트, 애셋 유형, 심각도 속성에 따라 그룹화됩니다.
이 예시에서는 모든 발견 항목이 서로 다른 케이스에 포함됩니다.
케이스 1:
발견 항목 1: 심각도: Critical, 애셋 유형: Compute, 프로젝트: Project_1
케이스 2:
발견 항목 2: 심각도: Critical, 애셋 유형: IAM, 프로젝트: Project_2
케이스 3:
발견 항목 3: 심각도: High, 애셋 유형: Compute, 프로젝트: Project_1
케이스 4:
발견 항목 4: 심각도: High, 애셋 유형: Compute, 프로젝트: Project_2
커스텀 그룹화 메커니즘
GCP 프로젝트별 그룹화 체크박스만 선택하면 해당 Google Cloud 프로젝트에 따라 발견 항목이 자동으로 그룹화되므로 케이스에 동일 프로젝트에 속하는 발견 항목만 포함됩니다.
케이스 1:
발견 항목 1: 심각도 Critical, 애셋 유형: Compute, 프로젝트: Project_1
발견 항목 3: 심각도 High, 애셋 유형: Compute, 프로젝트: Project_1
케이스 2:
발견 항목 2: 심각도 Critical, 애셋 유형: IAM, 프로젝트: Project_2
발견 항목 4: 심각도 High, 애셋 유형: Compute, 프로젝트: Project_2
심각도별 그룹화 체크박스만 선택하면 해당 심각도에 따라 발견 항목이 자동으로 그룹화되므로 케이스에 동일한 심각도 수준의 발견 항목만 포함됩니다.
케이스 1:
발견 항목 1: 심각도: Critical, 애셋 유형: Compute, 프로젝트: Project_1
발견 항목 2: 심각도: Critical, 애셋 유형: IAM, 프로젝트: Project_2
케이스 2:
발견 항목 3: 심각도: High, 애셋 유형: Compute, 프로젝트: Project_1
발견 항목 4: 심각도: High, 애셋 유형: Compute, 프로젝트: Project_2
애셋 유형별 그룹화 체크박스를 선택하면 애셋 유형(Google Cloud의 리소스 유형)에 따라 발견 항목이 자동으로 그룹화되므로 케이스에 동일 리소스에 속하는 발견 항목만 포함됩니다.
케이스 1:
발견 항목 1: 심각도: Critical, 애셋 유형: Compute, 프로젝트: Project_1
발견 항목 3: 심각도: High, 애셋 유형: Compute, 프로젝트: Project_1
발견 항목 4: 심각도: High, 애셋 유형: Compute, 프로젝트: Project_2
케이스 2:
발견 항목 2: 심각도: Critical, 애셋 유형: IAM, 프로젝트: Project_2
GCP 프로젝트별 그룹화 및 심각도별 그룹화 체크박스를 모두 선택하면 해당 프로젝트 및 심각도 수준에 따라 발견 항목이 자동으로 그룹화되므로 케이스에 동일한 프로젝트에 속하고 그리고 동일한 심각도를 갖는 발견 항목만 포함됩니다. 이 예시에서 커넥터는 다음 4개의 케이스를 만듭니다.
케이스 1:
발견 항목 1: 심각도: Critical, 애셋 유형: Compute, 프로젝트: Project_1
케이스 2:
발견 항목 2: 심각도: Critical, 리소스 유형: IAM, 프로젝트: Project_2
케이스 3:
발견 항목 3: 심각도: High, 리소스 유형: Compute, 프로젝트: Project_1
케이스 4:
발견 항목 4: 심각도: High, 리소스 유형: Compute, 프로젝트: Project_2
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2024-12-21(UTC)"],[],[],null,["| Enterprise [service tier](/security-command-center/docs/service-tiers)\n\nThis document explains how you can group findings into cases.\n\nThese steps are performed using Security Operations console pages.\nTo open these pages from the Google Cloud console, go to\n**Settings \\\u003e SOAR settings**.\n\nOverview\n\nThe findings grouping mechanism automatically groups ingested findings into\ncases. By default, this grouping mechanism ensures that all findings in a case\nbelong to the same:\n\n- Resource owner\n- Google Cloud project\n- AWS account\n- Asset type\n- Category\n- Severity level\n\nConfigure grouping settings\n\nTo configure the default grouping settings applicable to all ingested findings,\nfollow these steps:\n\n1. In the Security Operations console, go to **Settings \\\u003e Ingestion\n \\\u003e Connectors**.\n\n2. Select **SCC Enterprise - Urgent Posture Findings Connector**.\n\n3. To customize the grouping mechanism and disable specific grouping options,\n clear the checkboxes for one or more of the following parameters:\n\n - `Group by AWS Account`\n - `Group by GCP Project`\n - `Group by Severity`\n - `Group by Asset Type`\n\n| **Important:** When customizing the grouping mechanism, we recommend to always select the **Group by GCP Project** and **Group by Asset Type** checkboxes and the **Group by AWS Account**, if the latter applies.\n\nBy default, the following grouping settings apply to ingested findings:\n\n- **Group by AWS Account**: Findings are grouped according to the AWS accounts\n they belong to.\n\n- **Group by GCP Project**: Findings are grouped according to the Google Cloud\n projects they belong to.\n\n- **Group by Severity** : Findings are grouped according to their `severity`\n [level](/security-command-center/docs/finding-severity-classifications),\n such as `HIGH` or `MEDIUM`.\n\n- **Group by Asset Type** : Findings are grouped according to their asset\n type (Google Cloud [resource type](/resource-manager/docs/cloud-platform-resource-hierarchy)),\n such as Compute Engine instance or IAM service account.\n\nAll findings that are grouped into a case belong to the same owner. To ensure\nthat findings are grouped correctly, including findings with no inherited\nGoogle Cloud tags or Essential Contacts, always configure the\nconnector `Fallback Owner` parameter.\n\nExample: How the grouping mechanism works\n\nIn this example, only findings from Google Cloud are used.\n\nThe connector ingests four findings with different severities\nand different values inherited from their respective Google Cloud resources:\n\n- Finding 1: Severity: `Critical`, Asset Type: `Compute`, Project: `Project_1`\n\n- Finding 2: Severity: `Critical`, Asset Type: `IAM`, Project: `Project_2`\n\n- Finding 3: Severity: `High`, Asset Type: `Compute`, Project: `Project_1`\n\n- Finding 4: Severity: `High`, Asset Type: `Compute`, Project: `Project_2`\n\nDefault grouping mechanism\n\nDefault settings mean that the findings are grouped according to their respective\nprojects, asset types, and severity property.\n\nIn this example, every finding is included in a different case.\n\n- Case 1:\n\n - Finding 1: Severity: **`Critical`** , Asset Type: **`Compute`** , Project: **`Project_1`**\n- Case 2:\n\n - Finding 2: Severity: **`Critical`** , Asset Type: **`IAM`** , Project: **`Project_2`**\n- Case 3:\n\n - Finding 3: Severity: **`High`** , Asset Type: **`Compute`** , Project: **`Project_1`**\n- Case 4:\n\n - Finding 4: Severity: **`High`** , Asset Type: **`Compute`** , Project: **`Project_2`**\n\nCustom grouping mechanism\n\nSelecting only the **Group by GCP Project** checkbox automatically groups findings\naccording to their Google Cloud projects so that a case only contains findings\nbelonging to the same project:\n\n- Case 1:\n\n - Finding 1: Severity `Critical`, Asset Type: `Compute`, Project: **`Project_1`**\n - Finding 3: Severity `High`, Asset Type: `Compute`, Project: **`Project_1`**\n- Case 2:\n\n - Finding 2: Severity `Critical`, Asset Type: `IAM`, Project: **`Project_2`**\n - Finding 4: Severity `High`, Asset Type: `Compute`, Project: **`Project_2`**\n\nSelecting only the **Group by Severity** checkbox automatically groups findings\naccording to their severities so that a case only contains findings with the same\nseverity level:\n\n- Case 1:\n\n - Finding 1: Severity: **`Critical`** , Asset Type: `Compute`, Project: `Project_1`\n - Finding 2: Severity: **`Critical`** , Asset Type: `IAM`, Project: `Project_2`\n- Case 2:\n\n - Finding 3: Severity: **`High`** , Asset Type: `Compute`, Project: `Project_1`\n - Finding 4: Severity: **`High`** , Asset Type: `Compute`, Project: `Project_2`\n\nSelecting only the **Group by Asset Type** checkbox automatically groups findings\naccording to their asset types (resource types in Google Cloud) so that a case\nonly contains findings belonging to the same resource:\n\n- Case 1:\n\n - Finding 1: Severity: `Critical`, Asset Type: **`Compute`** , Project: `Project_1`\n - Finding 3: Severity: `High`, Asset Type: **`Compute`** , Project: `Project_1`\n - Finding 4: Severity: `High`, Asset Type: **`Compute`** , Project: `Project_2`\n- Case 2:\n\n - Finding 2: Severity: `Critical`, Asset Type: **`IAM`** , Project: `Project_2`\n\nSelecting both **Group by GCP Project** and **Group by Severity** checkboxes\nautomatically groups findings according to their respective projects and severity\nlevels so that a case only contains findings belonging to the same project *and*\npossessing the same severity. In this example, the connector creates four\nfollowing cases:\n\n- Case 1:\n\n - Finding 1: Severity: **`Critical`** , Asset Type: `Compute`, Project: **`Project_1`**\n- Case 2:\n\n - Finding 2: Severity: **`Critical`** , Resource Type: `IAM`, Project: **`Project_2`**\n- Case 3:\n\n - Finding 3: Severity: **`High`** , Resource Type: `Compute`, Project: **`Project_1`**\n- Case 4:\n\n - Finding 4: Severity: **`High`** , Resource Type: `Compute`, Project: **`Project_2`**\n\nWhat's next?\n\n- Learn more about [alerts](/chronicle/docs/soar/investigate/working-with-alerts/whats-on-the-alert-overview-tab) in the Google SecOps documentation."]]
