Diese Seite enthält Anleitungen zum Erkennen und Reagieren auf toxische Inhalte anhand von Fällen und Ergebnissen.
Hinweise
Damit unangemessene Kombinationen akkurat erkannt werden können, dass die Software der Security Operations-Komponente auf dem neuesten Stand ist, genau bezeichnet sind und über die richtigen IAM-Berechtigungen
Erforderliche Berechtigungen einholen
Um mit unangemessenen Kombinationen und Fällen sowohl im Für die Google Cloud Console und die Security Operations Console benötigen Sie Berechtigungen die Sie in beiden Konsolen erhalten.
IAM-Rollen der Google Cloud Console
Make sure that you have the following role or roles on the organization:
- Security Center Admin Viewer (
roles/securitycenter.adminViewer
), to view assets, findings, and attack paths in Security Command Center. - Security Center Assets Viewer (
roles/securitycenter.assetsViewer
), to view only resources. - Security Center Attack Paths Reader
(
roles/securitycenter.attackPathsViewer
), to view only attack paths. - Security Center Findings Editor
(
roles/securitycenter.findingsEditor
), to view, mute, and edit findings. - Security Center Findings Mute Setter
(
roles/securitycenter.findingsMuteSetter
), to mute findings only. - Security Center Findings Viewer (
roles/securitycenter.findingsViewer
), to view only findings.
Check for the roles
-
In the Google Cloud console, go to the IAM page.
Go to IAM - Select the organization.
-
In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.
- For all rows that specify or include you, check the Role colunn to see whether the list of roles includes the required roles.
Grant the roles
-
In the Google Cloud console, go to the IAM page.
Zu IAM - Wählen Sie die Organisation aus.
- Klicken Sie auf Zugriff erlauben.
-
Geben Sie im Feld Neue Hauptkonten Ihre Nutzer-ID ein. Dies ist in der Regel die E-Mail-Adresse eines Google-Kontos.
- Wählen Sie in der Liste Rolle auswählen eine Rolle aus.
- Wenn Sie weitere Rollen hinzufügen möchten, klicken Sie auf Weitere Rolle hinzufügen und fügen Sie weitere Rollen hinzu.
- Klicken Sie auf Speichern.
- Chronicle SOAR Vulnerability Manager
- Chronicle SOAR Threat Manager
- Chronicle SOAR-Administrator
- Offene Fälle zu schädlichen Kombinationen: Die Anzahl der offenen toxischen Kombinationen. in jeder Prioritätsstufe. Klicken Sie auf die Leiste für eine bestimmte Priorität, um sie zu öffnen. eine Listenansicht der Fälle.
- Häufigste Fälle von unangemessenen Kombinationen: Die häufigsten Fälle von schädlichen Kombinationen: nach einer Angriffsbewertung. Klicken Sie auf die Fall-ID, um eine Anfrage zu öffnen.
- Fälle unangemessener Kombinationen, die das SLA überschreiten: Fälle von unangemessenen Kombinationen nach der im Service Level Agreement (SLA) verbleibenden Zeit sortiert. Klicken Sie auf die Fall-ID, um eine Anfrage zu öffnen.
Gehen Sie in der Security Operations-Konsole zu Fälle.
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/cases
Ersetzen Sie
CUSTOMER_SUBDOMAIN
durch Ihren kundenspezifische Kennung.Die Seite Fälle wird geöffnet und die Ansicht Side-by-Side ist ausgewählt.
Klicken Sie oben in der Liste der Fälle auf das Filtersymbol
. um den Filterbereich zu öffnen. Der Bereich Filter für die Anfragewarteschlange wird geöffnet.
Geben Sie im Filter für die Fallwarteschlange Folgendes an:
- Geben Sie im Feld Zeitraum den Zeitraum an, in dem der Fall ist aktiv.
- Setzen Sie Logischer Operator auf AND.
- Wählen Sie für den ersten Wert unter Logischer Operator die Option Tags aus Menü.
- Wählen Sie als zweiten Wert Unerwünschte Kombinationen aus.
- Geben Sie nach Bedarf weitere Wertepaare an, um den speziellen Fall zu finden, den Sie die Sie sich ansehen müssen.
- Klicken Sie auf Anwenden. Die Fälle in der Fallwarteschlange werden so aktualisiert, dass nur noch die Fälle, die dem angegebenen Filter entsprechen.
Wählen Sie aus der Fallwarteschlange den Fall aus, den Sie sich ansehen möchten. Die Fallinformationen wird angezeigt, einschließlich der folgenden Registerkartenansichten:
- Der Tab Fallübersicht (
) enthält Informationen zu den schädlichen Inhalten. Kombinationsfall, einschließlich eines vereinfachten Angriffspfaddiagramms, einer Liste ähnliche Ergebnisse, eine Liste ähnlicher Fälle, Benachrichtigungen, ein Diagramm zu Entitäten, und vieles mehr.
- Der Tab Case Wall (
) enthält eine Übersicht über Aktionen, Statusänderungen, Aufgaben Kommentare und mehr.
- Der Tab Benachrichtigungen finden enthält genauere Informationen.
zur unangemessenen Kombination, einschließlich der folgenden:
<ph type="x-smartling-placeholder">
- </ph>
- Unter Übersicht finden Sie eine Beschreibung der giftigen Kombination und die nächsten Schritte, um die giftige Kombination zu beseitigen.
- Unter Ereignisse eine Liste der gefundenen Properties.
- Unter Playbooks eine Liste der zugehörigen Playbooks.
- Der Tab Fallübersicht (
Rufen Sie in der Security Operations-Konsole die Seite Fälle auf.
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/cases
Ersetzen Sie
CUSTOMER_SUBDOMAIN
durch Ihren kundenspezifische Kennung.Öffnen Sie das Case für die giftige Kombination, die Sie beheben müssen.
Klicken Sie entweder auf den Tab Fall oder Benachrichtigung.
Lesen Sie den Abschnitt Nächste Schritte in einem der folgenden Widgets:
- Wenn Sie auf den Tab Fall geklickt haben, dann das Widget Fallzusammenfassung.
- Wenn Sie auf den Tab Warnung geklickt haben, das Widget Zusammenfassung der Ergebnisse.
Scrollen Sie gegebenenfalls an der Ergebnisbeschreibung vorbei, um die Weitere Informationen
Gehen Sie in der Security Operations-Konsole zu Status > Ergebnisse.
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/posture/findings
Ersetzen Sie
CUSTOMER_SUBDOMAIN
durch Ihren kundenspezifische Kennung.Suchen Sie nach dem Ergebnis der unangemessenen Kombination, indem Sie entweder Schnellfilter auswählen oder die Ergebnisabfrage bearbeiten.
Klicken Sie auf den Namen der Ergebniskategorie, um die Ergebnisdetails zu öffnen. Die Erkenntnis wird die Detailseite geöffnet.
Auf der Seite mit den Ergebnisdetails im Abschnitt Nächste Schritte des Zusammenfassung finden Sie die Anleitung zur Abhilfe.
Gehen Sie in der Security Operations-Konsole zu Fälle.
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/cases
Ersetzen Sie
CUSTOMER_SUBDOMAIN
durch Ihren kundenspezifische Kennung.Suche und öffne den Behälter für die giftige Kombination.
Wählen Sie den Tab mit der Fallübersicht (
) aus.
Sehen Sie sich im Abschnitt Ergebnisse des Tabs mit der Fallübersicht die aufgelisteten Ergebnisse.
Klicken Sie auf ein Ergebnis, um eine Zusammenfassung die Fall-ID, die Angriffsrisikobewertung und eine Ticket-ID für für das Ergebnis.
- Klicken Sie auf die Fall-ID des Ergebnisses, um den Fall zu öffnen und seinen Status anzusehen. zugewiesener Inhaber und andere Informationen zur Anfrage.
- Klicken Sie auf die Angriffsrisikobewertung, um den Angriffspfad für das Ergebnis zu überprüfen.
- Klicken Sie auf die Ticket-ID, um das Ticket für das Ergebnis zu öffnen.
Gehen Sie in der Security Operations-Konsole zu Fälle.
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/cases
Ersetzen Sie
CUSTOMER_SUBDOMAIN
durch Ihren kundenspezifische Kennung.Suche und öffne den Behälter für die giftige Kombination.
Wählen Sie den Tab „Ergebnisbenachrichtigung“ aus.
Klicken Sie rechts unten im Widget Zusammenfassung der Ergebnisse auf Entdecken: Das Ergebnis der unangemessenen Kombination wird geöffnet.
Verwenden Sie die Ausblendungsoptionen oben rechts im Ergebnis. Detailseite, um das Ergebnis auszublenden.
Rufen Sie in der Security Operations-Konsole die Seite SOAR-Suche auf.
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/sp-search
Ersetzen Sie
CUSTOMER_SUBDOMAIN
durch Ihren kundenspezifische Kennung.Wählen Sie links auf der Seite unter Status die Option Geschlossen aus.
Geben Sie unter Tags die Option Unangemessene Kombination an.
Klicken Sie auf Anwenden. Geschlossene toxische Kombinationen werden in in den Suchergebnissen.
Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.
Wählen Sie bei Bedarf Ihre Google Cloud-Organisation aus.
Gehen Sie im Bereich Schnellfilter unter Klasse finden so vor: wählen Sie Unangemessene Kombination aus. Der Bereich Ergebnisse der Ergebnisabfrage um nur die Ergebnisse zu unangemessenen Kombinationen anzuzeigen.
Um die Ergebnisse der unangemessenen Kombination zu priorisieren, sortieren Sie die Ergebnisse absteigend nach Bewertung sortieren, indem Sie auf Wert der unangemessenen Kombinationen klicken. Spaltenüberschrift.
Weitere Informationen zu Security Command Center-Rollen und -Berechtigungen finden Sie unter IAM für Aktivierungen auf Organisationsebene
Rollen der Security Operations-Konsole
Um mit unangemessenen Kombinationen und Fällen in der Security Operations Console verwenden, benötigen Sie eine der folgenden Rollen:
Informationen zum Zuweisen der Rolle an einen Nutzer finden Sie unter Nutzer mit IAM zuordnen und autorisieren
Aktuellen Anwendungsfall für Security Operations installieren
Die Funktion zur Verwendung schädlicher Kombinationen erfordert die Veröffentlichung am 25. Juni 2024 oder später. des Anwendungsfalls SCC Enterprise – Cloud Orchestration and Remediation.
Informationen zum Installieren des Anwendungsfalls finden Sie unter Anwendungsfall „Enterprise“ aktualisieren, Juni 2024
Geben Sie an, welche Ihrer Ressourcen umsatzstark sind
Sie müssen die Erkennung unangemessener Kombinationen nicht aktivieren. aber Sie müssen angeben, welche Cloud-Ressourcen Hochwertige Ressourcen.
Solange Sie nicht angeben, welche Ihrer Ressourcen Risk Engine erkennt toxische Kombinationen, die eine Standardsatz hochwertiger Ressourcen.
Ergebnisse zu unangemessenen Kombinationen, die auf Grundlage des Standardwerts generiert wurden ist es unwahrscheinlich, dass der Satz hochwertiger Ressourcen die Sicherheitsprioritäten der Nutzer.
Um anzugeben, welche Ihrer Ressourcen hochwertige Ressourcen sind, erstellen Sie Ressourcenwertkonfigurationen in der Google Cloud Console. Anweisungen finden Sie unter Satz hochwertiger Ressourcen definieren und verwalten
Fälle von unangemessenen Kombinationen ansehen
Sie erhalten eine Übersicht über alle Fälle von unangemessenen Äußerungen sowie die Details zu den einzelnen Fällen in der Security Operations-Konsole.
Übersicht über alle Fälle von unangemessenen Kombinationen ansehen
Auf der Seite Statusübersicht haben Sie mit Widgets einen schnellen Überblick Übersicht über die Fälle von schädlichen Kombinationen in Ihrer Cloud-Umgebung. Sie können finden Sie die folgenden Informationen:
Sie finden die Seite Statusübersicht unter der folgenden URL:
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/posture/overview
Ersetzen Sie CUSTOMER_SUBDOMAIN
durch Ihren
kundenspezifische Kennung.
Details zu einem Fall mit giftigen Kombinationen ansehen
Sie können die Falldetails in jeder Listenansicht mit Fällen von unangemessenen Kombinationen öffnen indem Sie auf die ID der Anfrage klicken.
Fälle von giftigen Kombinationen priorisieren
Um einen Fall mit unangemessenen Kombinationen im Vergleich zu anderen Status und ihre Angriffsrisikobewertungen vergleichen.
Generell sollte die Behebung eines Falles mit giftigen Kombinationen gegenüber den Behebung von Fällen für andere Status-Ergebniskategorien, es sei denn, der Angriff Kontaktwert für den Fall für eine andere Ergebniskategorie ist erheblich höher als der Wert der unangemessenen Kombination.
Fälle von unangemessenen Kombinationen sollten eine höhere Priorität erhalten, da sie als unangemessen eingestuft werden. Kombinationen stellen einen vollständigen Pfad dar, der im Fall eines entschlossenen Angreifers Zugriff auf Ihre Cloud-Umgebung verschafft, könnte der Angreifer vernünftigerweise aus dem öffentlichen Internet auf eine oder mehrere Ihrer hochwertigen Ressourcen zu verfolgen.
In der Security Operations-Konsole sehen Sie die schädlichen Kombinationsfälle mit den höchsten Angriffsrisikowerten in der Widget Die häufigsten Fälle von schädlichen Kombinationen auf der Seite Übersicht unter Status:
Du kannst alle Fälle von unangemessenen Kombinationen nach Angriffsrisiko sortieren auf der Seite Fälle bewerten. Weitere Informationen zum Anzeigen das Filtern und Sortieren von Fällen mit unangemessenen Kombinationen, siehe Fälle schädlicher Kombinationen ansehen
Eine toxische Kombination beseitigen
Eine Anleitung zur Behebung des Ergebnisses einer unangemessenen Kombination finden Sie in der ein Fall, der für das Ergebnis in der Security Operations-Konsole geöffnet wird, oder im Ergebnisdatensatz selbst.
Anleitung zur Abhilfe für einen Fall ansehen
Um Abhilfemaßnahmen für einen Fall mit schädlichen Kombinationen aufzurufen, folge diese Schritte:
Abhilfehinweise für Ergebnis einer toxischen Kombination ansehen
So rufen Sie die Anleitung zur Abhilfe in einem Ergebniseintrag auf:
Die Ergebnisse in einem Fall mit toxischer Kombination prüfen
In der Regel umfasst eine toxische Kombination ein oder mehrere Ergebnisse einer Software. Sicherheitslücken oder Fehlkonfigurationen zu finden. Für jedes dieser Ergebnisse Security Command Center öffnet automatisch einen separaten Fall und führt den zugehörigen Playbooks. Sie können sich die Fälle für diese Ergebnisse ansehen, und die Ticketinhaber bitten, ihre Behebung zu priorisieren die toxische Kombination.
So überprüfen Sie die Ergebnisse in einer unangemessenen Kombination:
Fall mit unangemessenen Kombinationen schließen
Sie können einen Fall für eine toxische Kombination schließen, indem Sie entweder die zugrunde liegende toxische Kombination oder durch Stummschalten des Ergebnisses in der Google Cloud Console.
Einen Fall abschließen, indem eine toxische Kombination beseitigt wird
Nachdem Sie mindestens eines der Sicherheitsprobleme behoben haben, toxische Kombination, sodass sie keine hochwertigen Ressourcen mehr freisetzt, Risk Engine schließt den Fall mit unangemessenen Kombinationen automatisch während der nächsten Angriffspfadsimulation, die alle sechs Stunden ausgeführt wird, ungefähr.
Folgen Sie der Anleitung, um eine giftige Kombination zu beheben. im Fall einer unangemessenen Kombination unter Nächste Schritte angegeben.
Weitere Informationen finden Sie unter So reagierst du auf schädliche Kombinationen
Fall schließen, indem das Ergebnis ausgeblendet wird
Wenn das Risiko, das die giftige Kombination von Ihnen birgt, für Ihr Unternehmen akzeptabel ist, oder die giftige Kombination nicht beseitigen können, den Fall abschließen kann, indem er das Ergebnis der unangemessenen Kombination stummschaltet.
So unterdrücken Sie das Ergebnis einer unangemessenen Kombination:
Sie können Ergebnisse auch in der Google Cloud Console ausblenden. Weitere Informationen finden Sie unter Einzelne Ergebnisse ausblenden:
Geschlossene Fälle von giftigen Kombinationen ansehen
Wenn ein Fall in der Security Operations-Konsole geschlossen wird, wird es von der Seite Fälle entfernt.
So rufen Sie einen geschlossenen Fall auf:
Ergebnisse zu unangemessenen Kombinationen ansehen
Ein Ergebnis einer unangemessenen Kombination ist der erste Datensatz, Risk Engine gibt Probleme, wenn es eine toxische Kombination erkennt in Ihrer Cloud-Umgebung. Security Command Center öffnet automatisch einen Fall für jede toxische Kombination, die von der Risk-Engine herausgegeben wird.
Die Ergebnisse zu unangemessenen Kombinationen können Sie direkt in der in der Google Cloud Console entweder auf der Seite Risikoübersicht oder in der Seite Ergebnisse:
Auf der Seite Risikoübersicht werden die Ergebnisse der unangemessenen Kombinationen, die werden die höchsten Angriffsrisikobewertungen angezeigt. Jedes Ergebnis wird mit einem Link zum entsprechenden Fall in der Security Operations Console.
So rufen Sie die Ergebnisse zu unangemessenen Kombinationen auf: