Agrupar descobertas em casos

Neste documento, explicamos como agrupar descobertas em casos no nível Enterprise do Security Command Center.

Visão geral

O mecanismo de agrupamento de resultados agrupa automaticamente os resultados ingeridos em casos. Por padrão, esse mecanismo de agrupamento garante que todas as descobertas em um caso pertencem ao mesmo:

  • Proprietário do recurso
  • Projeto do Google Cloud
  • Conta da AWS
  • Tipo de recurso
  • Categoria
  • Nível de gravidade

Configurar as configurações de agrupamento

Para configurar as configurações de agrupamento padrão aplicáveis a todas as descobertas ingeridas, siga estas etapas:

  1. No console de operações de segurança, acesse Configurações > Aquisição > Conectores.

  2. Selecione SCC Enterprise: conector de descobertas de posturas urgentes.

  3. Para personalizar o mecanismo de agrupamento e desativar opções específicas, desmarque as caixas de seleção de um ou mais dos seguintes parâmetros:

    • Group by AWS Account
    • Group by GCP Project
    • Group by Severity
    • Group by Asset Type

Por padrão, as seguintes configurações de agrupamento são aplicadas às descobertas ingeridas:

  • Agrupar por conta da AWS: as descobertas são agrupadas de acordo com as contas da AWS a que pertencem.

  • Agrupar por projeto do GCP: as descobertas são agrupadas de acordo com os projetos do Google Cloud a que pertencem.

  • Agrupar por gravidade: as descobertas são agrupadas de acordo com o nível severity, como HIGH ou MEDIUM.

  • Agrupar por tipo de recurso: as descobertas são agrupadas de acordo com o tipo de recurso (tipo de recurso do Google Cloud), como instância do Compute Engine ou conta de serviço do IAM.

Todas as descobertas agrupadas em um caso pertencem ao mesmo proprietário. Para garantir que as descobertas sejam agrupadas corretamente, incluindo descobertas sem tags ou Contatos essenciais herdados do Google Cloud, sempre configure o parâmetro Fallback Owner do conector.

Exemplo: como o mecanismo de agrupamento funciona

Neste exemplo, só são usadas as descobertas do Google Cloud.

O conector processa quatro descobertas com severidades e valores diferentes herdados dos respectivos recursos do Google Cloud:

Detecção 1: gravidade: Critical, tipo de recurso: Compute, projeto: Project_1

2ª descoberta: gravidade: Critical, tipo de recurso: IAM, projeto: Project_2

3ª descoberta: gravidade: High, tipo de recurso: Compute, projeto: Project_1

Observação 4: gravidade: High, tipo de recurso: Compute, projeto: Project_2

Mecanismo de agrupamento padrão

As configurações padrão significam que as descobertas são agrupadas de acordo com os respectivos projetos, tipos de recursos e propriedade de gravidade.

Neste exemplo, cada achado é incluído em um caso diferente.

  • Caso 1:

    • Detecção 1: gravidade: Critical, tipo de recurso: Compute, projeto: Project_1

  • Caso 2:

    • 2ª descoberta: gravidade: Critical, tipo de recurso: IAM, projeto: Project_2

  • Caso 3:

    • 3: High, Tipo de recurso: Compute, Projeto: Project_1

  • Caso 4:

    • Observação 4: gravidade: High, tipo de recurso: Compute, projeto: Project_2

Mecanismo de agrupamento personalizado

A seleção da caixa de seleção Group by GCP Project agrupa automaticamente as descobertas de acordo com os projetos do Google Cloud para que um caso contenha apenas descobertas pertencentes ao mesmo projeto:

  • Caso 1:

    • Detecção 1: gravidade Critical, tipo de recurso: Compute, projeto: Project_1
    • Observação 3: gravidade High, tipo de recurso Compute, projeto: Project_1

  • Caso 2:

    • 2ª descoberta: gravidade Critical, tipo de recurso: IAM, projeto: Project_2
    • Observação 4: gravidade High, tipo de recurso: Compute, projeto: Project_2

A seleção da caixa de seleção Agrupar por gravidade agrupa automaticamente as descobertas de acordo com a gravidade para que um caso contenha apenas descobertas com o mesmo nível de gravidade:

  • Caso 1:

    • Detecção 1: gravidade: Critical, tipo de recurso: Compute, projeto: Project_1
    • 2ª descoberta: gravidade: Critical, tipo de recurso: IAM, projeto: Project_2

  • Caso 2:

    • 3: Gravidade: High, tipo de recurso: Compute, projeto: Project_1
    • Observação 4: gravidade: High, tipo de recurso: Compute, projeto: Project_2

A seleção da caixa de seleção Agrupar por tipo de recurso agrupa automaticamente as descobertas de acordo com os tipos de recursos (tipos de recursos no Google Cloud) para que um caso contenha apenas descobertas pertencentes ao mesmo recurso:

  • Caso 1:

    • Detecção 1: gravidade: Critical, tipo de recurso: Compute, projeto: Project_1
    • 3ª descoberta: gravidade: High, tipo de recurso: Compute, projeto: Project_1
    • 4: Gravidade: High, tipo de recurso: Compute, projeto: Project_2

  • Caso 2:

    • 2ª descoberta: gravidade: Critical, tipo de recurso: IAM, projeto: Project_2

Selecionar as caixas de seleção Group by GCP Project e Group by Severity agrupa automaticamente as descobertas de acordo com os respectivos projetos e níveis de gravidade, de modo que um caso só contenha descobertas pertencentes ao mesmo projeto e com a mesma gravidade. Neste exemplo, o conector cria os quatro casos a seguir:

  • Caso 1:

    • Detecção 1: gravidade: Critical, tipo de recurso: Compute, projeto: Project_1

  • Caso 2:

    • 2ª descoberta: gravidade: Critical, tipo de recurso: IAM, projeto: Project_2

  • Caso 3:

    • 3ª descoberta: gravidade: High, tipo de recurso: Compute, projeto: Project_1

  • Caso 4:

    • 4: Gravidade: High, tipo de recurso: Compute, projeto: Project_2

A seguir

  • Saiba mais sobre alertas na documentação do Google SecOps.