本页介绍了如何使用案例和发现结果来识别和响应有毒组合。
准备工作
为确保准确检测有害组合，请确保 Security Operations 组件软件是最新版本，高价值资源集已准确指定，并且您拥有适当的 IAM 权限。
获取所需权限
如需在 Google Cloud 控制台和安全运营控制台中处理有害组合发现结果和支持请求，您需要在两个控制台中获得相应权限。
Google Cloud 控制台 IAM 角色
Make sure that you have the following role or roles on the organization:
- Security Center Admin Viewer (
roles/securitycenter.adminViewer), to view assets, findings, and attack paths in Security Command Center. - Security Center Assets Viewer (
roles/securitycenter.assetsViewer), to view only resources. - Security Center Attack Paths Reader
(
roles/securitycenter.attackPathsViewer), to view only attack paths. - Security Center Findings Editor
(
roles/securitycenter.findingsEditor), to view, mute, and edit findings. - Security Center Findings Mute Setter
(
roles/securitycenter.findingsMuteSetter), to mute findings only. - Security Center Findings Viewer (
roles/securitycenter.findingsViewer), to view only findings.
Check for the roles
-
In the Google Cloud console, go to the IAM page.
Go to IAM - Select the organization.
-
In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.
- For all rows that specify or include you, check the Role colunn to see whether the list of roles includes the required roles.
Grant the roles
-
In the Google Cloud console, go to the IAM page.
前往 IAM - 选择组织。
- 点击 授予访问权限。
-
在新的主账号字段中，输入您的用户标识符。 这通常是 Google 账号的电子邮件地址。
- 在选择角色列表中，选择一个角色。
- 如需授予其他角色，请点击 添加其他角色，然后添加其他各个角色。
- 点击保存。
- Chronicle SOAR Vulnerability Manager
- Chronicle SOAR Threat Manager
- Chronicle SOAR Admin
所有未解决的安全状况案例或未解决的危险组合案例：如需查看未解决的危险组合案例，请从选择器中选择危险组合。该微件会显示每个优先级级别的未解决危险组合案例数。点击给定优先级对应的条状标签，即可打开支持请求的列表视图。
危险组合案例的 TTR 和趋势：特定时间范围内未解决和已解决的危险组合案例的趋势。将指针悬停在趋势线上，即可查看时间范围内给定数据点的未结和已结支持请求的具体数量。此微件还会提供修复时间 (TTR) 值，该值表示根据给定时间范围解决有毒组合案例的平均时间。
热门恶意组合支持请求：按攻击暴露得分排序的热门恶意组合支持请求。点击支持请求 ID 以打开支持请求。
超出服务等级协议 (SLA) 范围的恶意组合支持请求：按服务等级协议 (SLA) 剩余时间对恶意组合支持请求进行排序。点击支持请求 ID 以打开支持请求。
在安全运营控制台中，前往支持请求。
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/cases
将
CUSTOMER_SUBDOMAIN替换为您的客户专用标识符。系统随即会打开支持请求页面，其中并排视图处于选中状态。
在支持请求列表顶部，点击过滤器图标
以打开过滤器面板。系统随即会打开案例队列过滤条件面板。在支持请求队列过滤条件中，指定以下内容：
- 在时间范围字段中，指定支持请求的有效期。
- 将逻辑运算符设为与。
- 对于逻辑运算符下的第一个值，从菜单中选择代码。
- 对于第二个值，请选择有毒组合。
- 根据需要指定其他值对，以查找您需要查看的特定支持请求。
- 点击应用。支持请求队列中的支持请求会更新，仅显示与您指定的过滤条件匹配的支持请求。
从案例队列中，选择您需要查看的案例。系统会显示支持请求信息，包括以下标签页视图：
- 案例概览标签页 (
)：提供有关有害组合案例的信息，包括简化的攻击路径图、相关发现结果列表、受影响的资源列表、类似案例列表、提醒、实体图表等。 - 支持请求墙标签页 (
)：包含操作、状态更改、任务、评论等记录。 - 相关提醒标签页：提供有关相关各项发现结果的更详细信息，包括：
- 在概览下，对具体发现结果的说明以及您可以采取的后续措施。
- 在事件下，列出了发现结果属性。
- 在 Playbook 下方，列出了关联的 Playbook。
- 案例概览标签页 (
前往安全运营控制台中的支持请求页面。
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/cases
将
CUSTOMER_SUBDOMAIN替换为您的客户专用标识符。打开您需要修复的危险组合对应的支持请求。
点击支持请求标签页或提醒标签页。
查看以下某个微件中的后续步骤部分：
- 如果您点击了支持请求标签页，则会看到支持请求摘要 widget。
- 如果您点击了提醒标签页，则会看到发现结果摘要 widget。
如有必要，请滚动到发现结果说明下方，查看后续步骤。
在安全运营控制台中，依次选择状况 > 发现。
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/posture/findings
将
CUSTOMER_SUBDOMAIN替换为您的客户专用标识符。选择快速过滤条件或修改发现查询，即可查找有毒组合发现。
点击发现结果类别名称以打开发现结果详情。系统随即会打开发现结果详情页面。
在发现结果详情页面的摘要标签页的后续步骤部分中，查看修复指南。
在安全运营控制台中，前往支持请求。
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/cases
将
CUSTOMER_SUBDOMAIN替换为您的客户专用标识符。找到并打开危险组合支持请求。
选择“支持请求概览”标签页 (
)。在“Case Overview”（案例概览）标签页的 Findings（发现结果）部分，查看列出的发现结果。
点击某个发现结果可显示该发现结果的摘要信息，包括支持请求 ID、攻击风险得分，以及该发现结果的任何工单 ID。
- 点击相应问题的支持请求 ID 可打开该支持请求，并查看其状态、指定的所有者和其他支持请求信息。
- 点击攻击风险得分可查看相应发现结果的攻击路径。
- 点击工单 ID 以打开相应发现结果的工单。
在安全运营控制台中，前往支持请求。
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/cases
将
CUSTOMER_SUBDOMAIN替换为您的客户专用标识符。找到并打开危险组合支持请求。
选择“发现提醒”标签页。
点击发现摘要 widget 右下角的探索。系统随即会打开“有毒组合”发现结果。
使用发现详情页面右上角的静音选项来静音发现。
在 Security Operations 控制台中，前往 SOAR Search 页面。
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/sp-search
将
CUSTOMER_SUBDOMAIN替换为您的客户专用标识符。在页面左侧的状态下，指定已关闭。
在标记下，指定危险组合。
点击应用。所有已关闭的危险组合支持请求都会显示在搜索结果中。
在 Google Cloud 控制台中，转到 Security Command Center 发现结果页面。
如有必要，请选择您的 Google Cloud 组织。
在快速过滤条件面板的发现结果类部分中，选择有毒组合。发现结果的查询结果面板会更新，仅显示有毒组合发现结果。
如需确定危险组合发现结果的优先级，请点击危险组合得分列标题，按得分从高到低对发现结果进行排序。
如需详细了解 Security Command Center 角色和权限，请参阅适用于组织级激活的 IAM。
安全运维控制台角色
如需在安全运营控制台中处理有害组合问题和支持请求，您需要拥有以下任一角色：
如需了解如何向用户授予该角色，请参阅使用 IAM 映射和授权用户。
安装最新的安全运营用例
如需使用有毒组合功能，您需要使用 2024 年 6 月 25 日或之后发布的 SCC 企业版 - 云端编排和修复用例。
如需了解如何安装此用例，请参阅2024 年 6 月更新企业用例。
指定高价值资源集
您无需启用有毒组合检测功能，该功能始终处于开启状态。风险引擎会自动检测会导致默认高价值资源集暴露的有害组合。
基于默认的高价值资源集生成的有害组合发现结果不太可能准确反映您的安全优先级。因此，我们建议您在高价值资源集中指定资源。
如需指定哪些资源属于高价值资源集，您可以在 Google Cloud 控制台中创建资源值配置。如需了解相关说明，请参阅定义和管理高价值资源集。
查看危险组合支持请求
您可以在安全运营控制台中查看所有危险组合案例的概览，以及每个案例的详细信息。
查看所有危险组合支持请求的概览
在状况概览页面上，您可以通过多个微件快速了解 Google Cloud 和 Amazon Web Services (AWS)（预览版）云环境中的有害组合情况。您可以找到以下信息：
您可以访问以下网址，找到姿势概览页面：
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/posture/overview
将 CUSTOMER_SUBDOMAIN 替换为您的客户专用标识符。
查看危险组合案例的详细信息
在危险组合案例的任何列表视图中，您都可以点击相应案例的 ID 来打开案例详情。
优先处理危险组合支持请求
默认情况下，危险组合会被归类为严重级别的发现结果和重要优先级的支持请求。因此，应优先解决此类问题，而不是其他类别的姿势问题。有毒组合表示一条完整的路径，如果有决心攻击的攻击者获得了对您云环境的访问权限，则可以合理地沿着此路径从公共互联网到达您高价值资源集中的一个或多个资源。
比较 Google Cloud 控制台中发现结果页面上的有毒组合得分，以便确定有毒组合问题的优先级。在安全运营控制台中，您可以在概览页面上的状况下方，通过热门恶意组合支持请求微件查看攻击暴露得分最高的恶意组合支持请求。
您可以在支持请求页面上按攻击风险得分对所有危险组合支持请求进行排序。如需详细了解如何查看、过滤和排序危险组合案例，请参阅查看危险组合案例。
修复危险组合
您可以在 Security Operations 控制台中为相应发现结果打开的支持请求中，或在相应发现结果记录中，找到有关如何修复有毒组合发现结果的指导。
查看支持请求中的补救指南
如需查看危险组合案例中的修复指南，请按以下步骤操作：
在危险组合发现结果中查看修复指南
如需在发现记录中查看修复指南，请按以下步骤操作：
查看危险组合支持请求中的发现结果
通常，恶意组合包含一个或多个软件漏洞或错误配置发现结果。对于每项发现结果，Security Command Center 都会自动打开一个单独的支持请求并运行关联的 Playbook。您可以查看存在这些问题的工单，并要求工单所有者优先解决这些问题，以解决恶意组合问题。
如需查看有毒组合中的发现结果，请按以下步骤操作：
关闭危险组合支持请求
您可以通过以下方式关闭有毒组合案例：修复潜在的有毒组合，或在 Google Cloud 控制台中关闭有毒组合发现。
通过修复有毒组合来关闭支持请求
在您修复构成有害组合的一个或多个安全问题后，使其不再暴露高价值资源集中的任何资源，风险引擎会在下一次攻击路径模拟（大约每 6 小时运行一次）期间自动关闭有害组合案例。
如需解决有害组合问题，请按照有害组合案例中后续步骤部分提供的指导操作。
如需了解详情，请参阅如何修复有毒组合。
通过忽略发现结果来关闭支持请求
如果您的企业可以接受由危险组合带来的风险，或者您无法修复危险组合，则可以通过忽略危险组合问题来关闭支持请求。
如需忽略有毒组合发现结果，请按以下步骤操作：
您还可以在 Google Cloud 控制台中静音发现结果。如需了解详情，请参阅忽略个别发现。
查看已关闭的危险组合支持请求
当 Security Operations 控制台中的支持请求关闭后，Security Command Center 会将其从支持请求页面中移除。
如需查看已关闭的有毒组合情况，请按以下步骤操作：
查看危险组合发现结果
恶意组合发现结果是风险引擎在云环境中检测到恶意组合时发出的初始记录。Security Command Center 会针对风险引擎发出的每个危险组合发现结果自动打开一个支持请求。
您可以直接在 Google Cloud 控制台的风险概览页面或发现结果页面上查看有毒组合发现结果。
风险概览页面会显示攻击风险得分最高的恶意组合发现结果。在 Security Operations 控制台中，每个发现都会列出指向其相应支持请求的链接。
如需查看有毒组合发现结果，请按以下步骤操作：