Cloud-Bedrohungen

Unterstützt in:

In diesem Dokument finden Sie eine Übersicht über die Regelsätze in der Kategorie „Cloud-Bedrohungen“, die erforderlichen Datenquellen und die Konfiguration, mit der Sie die von den einzelnen Regelsätzen generierten Benachrichtigungen optimieren können. Diese Regelsätze helfen, Bedrohungen in Google Cloud-Umgebungen mit Google Cloud -Daten und in AWS-Umgebungen mit AWS-Daten zu erkennen.

Beschreibungen von Regelsätzen

Die folgenden Regelsätze sind in der Kategorie „Cloud-Bedrohungen“ verfügbar.

Die Abkürzung CDIR steht für Cloud Detection, Investigation, and Response.

Ausgewählte Erkennungen für Google Cloud -Daten

Google Cloud -Regelsätze helfen dabei, Bedrohungen in Google Cloud -Umgebungen mithilfe von Ereignis- und Kontextdaten zu identifizieren. Sie umfassen die folgenden Regelsätze:

  • Administratoraktion: Aktivitäten im Zusammenhang mit Administratoraktionen, die als verdächtig eingestuft werden, aber je nach Nutzung in der Organisation legitim sein können.
  • CDIR SCC Enhanced Exfiltration: Enthält kontextsensitive Regeln, die Security Command Center-Exfiltrationsergebnisse mit anderen Logquellen korrelieren, einschließlich Cloud-Audit-Logs, Sensitive Data Protection-Kontext, BigQuery-Kontext und Security Command Center-Fehlkonfigurationslogs.
  • CDIR SCC Enhanced Defense Evasion: Enthält kontextsensitive Regeln, die Ergebnisse von Security Command Center zu Evasion oder Defense Evasion mit Daten aus anderenGoogle Cloud -Datenquellen korrelieren, einschließlich Cloud-Audit-Logs.
  • CDIR SCC Enhanced Malware: Enthält kontextsensitive Regeln, die Malware-Ergebnisse von Security Command Center mit Daten korrelieren, einschließlich des Vorkommens von IP-Adressen und Domains und ihrer Verbreitungswerte, sowie mit anderen Datenquellen, einschließlich Cloud DNS-Logs.
  • CDIR SCC Enhanced Persistence: Enthält kontextsensitive Regeln, die Security Command Center-Persistenz-Ergebnisse mit Daten aus Quellen wie Cloud DNS-Logs und IAM-Analyselogs korrelieren.
  • CDIR SCC Enhanced Privilege Escalation: Enthält kontextsensitive Regeln, die Security Command Center-Ergebnisse zur Rechteausweitung mit Daten aus mehreren anderen Datenquellen korrelieren, einschließlich Cloud-Audit-Logs.
  • CDIR SCC Credential Access: Enthält kontextsensitive Regeln, die Security Command Center-Ergebnisse zum Zugriff auf Anmeldedaten mit Daten aus mehreren anderen Datenquellen korrelieren, einschließlich Cloud-Audit-Logs.
  • CDIR SCC Enhanced Discovery: Enthält kontextsensitive Regeln, die Eskalationsergebnisse von Security Command Center Discovery mit Daten aus Quellen wie Google Cloud -Diensten und Cloud-Audit-Logs korrelieren.
  • CDIR SCC Brute Force: Enthält kontextsensitive Regeln, die Brute-Force-Eskalationsergebnisse des Security Command Center mit Daten korrelieren, einschließlich Cloud DNS-Logs.
  • CDIR SCC Data Destruction: Enthält kontextsensitive Regeln, die Eskalationsergebnisse zur Datenlöschung aus dem Security Command Center mit Daten aus mehreren anderen Datenquellen korrelieren, einschließlich Cloud-Audit-Logs.
  • CDIR SCC Inhibit System Recovery: Enthält kontextsensitive Regeln, die Security Command Center-Ergebnisse vom Typ „Inhibit System Recovery“ mit Daten aus mehreren anderen Datenquellen korrelieren, einschließlich Cloud-Audit-Logs.
  • CDIR SCC Execution: Enthält kontextsensitive Regeln, die Security Command Center Execution-Ergebnisse mit Daten aus mehreren anderen Datenquellen korrelieren, einschließlich Cloud-Audit-Logs.
  • CDIR SCC Initial Access: Enthält kontextsensitive Regeln, die Security Command Center-Ergebnisse zum ersten Zugriff mit Daten aus mehreren anderen Datenquellen korrelieren, einschließlich Cloud-Audit-Logs.
  • CDIR SCC Impair Defenses: Enthält kontextsensitive Regeln, die Security Command Center-Ergebnisse zu „Impair Defenses“ mit Daten aus mehreren anderen Datenquellen korrelieren, einschließlich Cloud-Audit-Logs.
  • CDIR SCC Impact: Enthält Regeln, die Auswirkungen-Ergebnisse aus dem Security Command Center mit den Schweregraden „Kritisch“, „Hoch“, „Mittel“ und „Niedrig“ erkennen.
  • CDIR SCC Cloud IDS: Enthält Regeln, die Cloud Intrusion Detection System-Ergebnisse aus dem Security Command Center mit der Schweregradklassifizierung „Kritisch“, „Hoch“, „Mittel“ und „Niedrig“ erkennen.
  • CDIR SCC Cloud Armor: Enthält Regeln, die Google Cloud Armor-Ergebnisse aus dem Security Command Center erkennen.
  • Benutzerdefiniertes CDIR-SCC-Modul: Enthält Regeln, die Ergebnisse von benutzerdefinierten Event Threat Detection-Modulen aus Security Command Center erkennen.
  • Cloud-Hacktool: Es wurden Aktivitäten von bekannten Plattformen für offensive Sicherheit oder von offensiven Tools oder Software erkannt, die von Bedrohungsakteuren in freier Wildbahn verwendet werden und speziell auf Cloud-Ressourcen abzielen.
  • Cloud SQL Ransom: Erkennt Aktivitäten im Zusammenhang mit der Exfiltration oder Erpressung von Daten in Cloud SQL-Datenbanken.
  • Verdächtige Kubernetes-Tools: Erkennt Ausspäh- und Ausnutzungsverhalten von Open-Source-Kubernetes-Tools.
  • Kubernetes RBAC Abuse: Erkennt Kubernetes-Aktivitäten im Zusammenhang mit dem Missbrauch der rollenbasierten Zugriffssteuerung (RBAC), die versuchen, Berechtigungen zu erweitern oder sich lateral zu bewegen.
  • Sensible Aktionen im Zusammenhang mit Kubernetes-Zertifikaten: Erkennt Aktionen im Zusammenhang mit Kubernetes-Zertifikaten und Zertifikatsignierungsanfragen (Certificate Signing Requests, CSRs), die verwendet werden könnten, um Persistenz zu erreichen oder Berechtigungen auszuweiten.
  • IAM-Missbrauch: Aktivitäten im Zusammenhang mit dem Missbrauch von IAM-Rollen und -Berechtigungen, um möglicherweise Berechtigungen zu erweitern oder sich innerhalb eines bestimmten Cloud-Projekts oder einer Cloud-Organisation lateral zu bewegen.
  • Potenzielle Exfiltrationsaktivität: Erkennt Aktivitäten, die mit einer potenziellen Daten-Exfiltration in Verbindung stehen.
  • Ressourcenmaskierung: Erkennt Google Cloud Ressourcen, die mit Namen oder Merkmalen einer anderen Ressource oder eines anderen Ressourcentyps erstellt wurden. Dies könnte verwendet werden, um böswillige Aktivitäten zu maskieren, die von oder innerhalb der Ressource ausgeführt werden, mit der Absicht, legitim zu erscheinen.
  • Serverlose Bedrohungen: Erkennt Aktivitäten im Zusammenhang mit einer potenziellen Gefährdung oder einem Missbrauch von serverlosen Ressourcen in Google Cloud, einschließlich Cloud Run und Cloud Run Functions.
  • Dienstunterbrechung: Erkennen Sie destruktive oder störende Aktionen, die bei Ausführung in einer funktionierenden Produktionsumgebung zu einem erheblichen Ausfall führen können. Das erkannte Verhalten ist in Test- und Entwicklungsumgebungen üblich und wahrscheinlich unbedenklich.
  • Verdächtiges Verhalten: Aktivitäten, die in den meisten Umgebungen als ungewöhnlich und verdächtig gelten.
  • Verdächtige Infrastrukturänderung: Erkennt Änderungen an der Produktionsinfrastruktur, die mit bekannten Persistenz-Taktiken übereinstimmen.
  • Geschwächte Konfiguration: Aktivitäten im Zusammenhang mit der Schwächung oder Verschlechterung einer Sicherheitskontrolle. Als verdächtig eingestuft, je nach Nutzung in der Organisation potenziell legitim.
  • Potenzielle Daten-Exfiltration durch Insider aus Chrome: Erkennt Aktivitäten, die mit potenziellen Insider-Bedrohungen in Verbindung stehen, einschließlich Daten-Exfiltration oder Verlust potenziell sensibler Daten außerhalb einer Google Workspace-Organisation. Dazu gehören Verhaltensweisen von Chrome, die im Vergleich zu einer 30-tägigen Baseline als ungewöhnlich gelten.
  • Potenzielle Insider-Datenexfiltration aus Drive: Erkennt Aktivitäten, die mit potenziellen Insider-Bedrohungen in Verbindung stehen, einschließlich Datenexfiltration oder Verlust potenziell sensibler Daten außerhalb einer Google Workspace-Organisation. Dazu gehören Verhaltensweisen in Drive, die im Vergleich zu einer 30-tägigen Referenz als ungewöhnlich gelten.
  • Potenzielle Insider-Datenexfiltration aus Gmail: Erkennt Aktivitäten, die mit potenziellen Insider-Bedrohungen in Verbindung stehen, einschließlich Datenexfiltration oder Verlust potenziell sensibler Daten außerhalb einer Google Workspace-Organisation. Dazu gehören Verhaltensweisen von Gmail, die im Vergleich zu einer 30-tägigen Baseline als ungewöhnlich gelten.
  • Potenzielle Kompromittierung des Workspace-Kontos: Erkennt Insider-Bedrohungsverhalten, das darauf hindeutet, dass das Konto möglicherweise kompromittiert wurde und zu Versuchen der Rechteausweitung oder Lateral Movement innerhalb einer Google Workspace-Organisation führen kann. Dazu gehören Verhaltensweisen, die im Vergleich zu einer 30-tägigen Baseline als selten oder ungewöhnlich gelten.
  • Verdächtige Workspace-Administratoraktionen: Erkennen von Verhaltensweisen, die auf potenzielle Umgehung, Herabstufung der Sicherheit oder seltene und anomale Verhaltensweisen hinweisen, die in den letzten 30 Tagen von Nutzern mit höheren Berechtigungen, einschließlich Administratoren, nicht beobachtet wurden.

Unterstützte Geräte und Protokolltypen

In den folgenden Abschnitten werden die erforderlichen Daten beschrieben, die für Regelsätze in der Kategorie „Cloud-Bedrohungen“ benötigt werden.

Informationen zum Aufnehmen von Daten aus Google Cloud -Diensten finden Sie unter Cloud-Logs in Google SecOps aufnehmen. Wenden Sie sich an Ihren Google SecOps-Ansprechpartner, wenn Sie diese Protokolle mit einem anderen Mechanismus erfassen müssen.

Google SecOps bietet Standardparser, die Rohlogs von Google Cloud -Diensten parsen und normalisieren, um UDM-Einträge mit den für diese Regelsätze erforderlichen Daten zu erstellen.

Eine Liste aller von Google SecOps unterstützten Datenquellen finden Sie unter Unterstützte Standardparser.

Alle Regelsätze

Wenn Sie einen Regelsatz verwenden möchten, empfehlen wir, Google CloudCloud-Audit-Logs zu erfassen. Für bestimmte Regeln müssen Kunden das Cloud DNS-Logging aktivieren. Achten Sie darauf, dass die Dienste von Google Cloud so konfiguriert sind, dass Daten in den folgenden Logs aufgezeichnet werden:

Regelsatz für Ransomware-Angriffe auf Cloud SQL

Wenn Sie den Regelsatz Cloud SQL Ransom verwenden möchten, empfehlen wir, die folgenden Google Cloud -Daten zu erfassen:

Erweiterte CDIR-SCC-Regelsätze

Alle Regelsätze, die mit dem Namen CDIR SCC Enhanced beginnen, verwenden Security Command Center Premium-Ergebnisse, die mit mehreren anderen Google Cloud -Logquellen kontextualisiert werden, darunter:

  • Cloud-Audit-Logs
  • Cloud DNS-Logs
  • Identity and Access Management (IAM)-Analyse
  • Sensitive Data Protection-Kontext
  • BigQuery-Kontext
  • Compute Engine-Kontext

Wenn Sie die Regelsätze CDIR SCC Enhanced verwenden möchten, empfehlen wir, die folgenden Google Cloud -Daten zu erfassen:

  • Logdaten, die im Abschnitt Alle Regelsätze aufgeführt sind.

  • Die folgenden Logdaten, aufgeführt nach Produktname und Google SecOps-Aufnahmelabel:

    • BigQuery (GCP_BIGQUERY_CONTEXT)
    • Compute Engine (GCP_COMPUTE_CONTEXT)
    • IAM (GCP_IAM_CONTEXT)
    • Sensitive Data Protection (GCP_DLP_CONTEXT)
    • Cloud-Audit-Logs (GCP_CLOUDAUDIT)
    • Google Workspace-Aktivitäten (WORKSPACE_ACTIVITY)
    • Cloud DNS-Abfragen (GCP_DNS)

  • Die folgenden Security Command Center-Ergebnisklassen, aufgeführt nach findingClass-ID und Google SecOps-Aufnahmelabel:

    • Threat (GCP_SECURITYCENTER_THREAT)
    • Misconfiguration (GCP_SECURITYCENTER_MISCONFIGURATION)
    • Vulnerability (GCP_SECURITYCENTER_VULNERABILITY)
    • SCC Error (GCP_SECURITYCENTER_ERROR)

Die CDIR SCC Enhanced-Regelsätze hängen auch von Daten aus Google Cloud -Diensten ab. Führen Sie die folgenden Schritte aus, um die erforderlichen Daten an Google SecOps zu senden:

Die folgenden Regelsätze erstellen eine Erkennung, wenn Ergebnisse von Security Command Center Event Threat Detection, Google Cloud Armor, Security Command Center Sensitive Actions Service und benutzerdefinierten Modulen für Event Threat Detection identifiziert werden:

  • CDIR SCC Cloud IDS
  • CDIR SCC Cloud Armor
  • CDIR-SCC-Auswirkungen
  • CDIR SCC Enhanced Persistence
  • CDIR SCC Enhanced Defense Evasion
  • Benutzerdefiniertes SCC-Modul für CDIR

Regelsatz für verdächtige Kubernetes-Tools

Wenn Sie den Regelsatz Kubernetes Suspicious Tools verwenden möchten, empfehlen wir, die im Abschnitt Alle Regelsätze aufgeführten Daten zu erfassen. Achten Sie darauf, dass Google Cloud-Dienste so konfiguriert sind, dass Daten in Google Kubernetes Engine (GKE)-Knotenlogs aufgezeichnet werden.

Kubernetes-RBAC-Missbrauchsregelsatz

Wenn Sie den Regelsatz Kubernetes RBAC Abuse verwenden möchten, empfehlen wir, Cloud-Audit-Logs zu erfassen, die im Abschnitt Alle Regelsätze aufgeführt sind.

Regelsatz für vertrauliche Aktionen mit Kubernetes-Zertifikaten

Wenn Sie den Regelsatz Sensible Aktionen für Kubernetes-Zertifikate verwenden möchten, empfehlen wir, Cloud-Audit-Logs zu erfassen, die im Abschnitt Alle Regelsätze aufgeführt sind.

Google Workspace-bezogene Regelsätze

Die folgenden Regelsätze erkennen Muster in Google Workspace-Daten:

  • Potenzielle Daten-Exfiltration durch Insider aus Chrome
  • Potenzielle Daten-Exfiltration durch Insider aus Drive
  • Potenzielle Daten-Exfiltration durch Insider aus Gmail
  • Potenzielle Manipulation von Workspace-Konten
  • Verdächtige administrative Aktionen in Workspace

Für diese Regelsätze sind die folgenden Logtypen erforderlich, die nach Produktname und Google SecOps-Aufnahmelabel aufgeführt sind:

  • Workspace-Aktivitäten (WORKSPACE_ACTIVITY)
  • Workspace-Benachrichtigungen (WORKSPACE_ALERTS)
  • Workspace-ChromeOS-Geräte (WORKSPACE_CHROMEOS)
  • Workspace-Mobilgeräte (WORKSPACE_MOBILE)
  • Workspace-Nutzer (WORKSPACE_USERS)
  • Google Chrome-Verwaltung über die Cloud (CHROME_MANAGEMENT)
  • Gmail-Protokolle (GMAIL_LOGS)

So nehmen Sie die erforderlichen Daten auf:

Regelsatz für serverlose Bedrohungen

Cloud Run-Logs umfassen Anfrage- und Container-Logs, die in Google SecOps als Logtyp GCP_RUN aufgenommen werden. GCP_RUN-Logs können über die direkte Aufnahme oder über Feeds und Cloud Storage aufgenommen werden. Spezifische Logfilter und weitere Informationen zur Aufnahme finden Sie unter Google Cloud -Logs in Google SecOps exportieren. Mit dem folgenden Exportfilter werden zusätzlich zu den Standardlogs auch Google Cloud Cloud Run-Logs (GCP_RUN) sowohl über den Mechanismus zur direkten Aufnahme als auch über Cloud Storage und Senken exportiert:

log_id("run.googleapis.com/stdout") OR
log_id("run.googleapis.com/stderr") OR
log_id("run.googleapis.com/requests") OR
log_id("run.googleapis.com/varlog/system)

Ausgewählte Erkennungen für AWS-Regelsätze

AWS-Regelsätze in dieser Kategorie helfen, Bedrohungen in AWS-Umgebungen mithilfe von Ereignis- und Kontextdaten zu identifizieren. Sie umfassen die folgenden Regelsätze:

  • AWS – Compute: Erkennt anomale Aktivitäten im Zusammenhang mit AWS-Computing-Ressourcen, einschließlich EC2 und Lambda.
  • AWS – Daten: Erkennt AWS-Aktivitäten im Zusammenhang mit Datenressourcen, einschließlich RDS-Snapshots oder S3-Buckets, die öffentlich verfügbar gemacht wurden.
  • AWS – GuardDuty: Kontextsensitive AWS GuardDuty-Benachrichtigungen für Verhalten, Zugriff auf Anmeldedaten, Cryptomining, Erkennung, Umgehung, Ausführung, Exfiltration, Auswirkungen, Erstzugriff, Malware, Penetrationstests, Persistenz, Richtlinie, Rechteausweitung und nicht autorisierter Zugriff.
  • AWS – Hacktools: Erkennt die Verwendung von Hacktools in einer AWS-Umgebung, z. B. Scanner, Toolkits und Frameworks.
  • AWS – Identität: Erkennungen für AWS-Aktivitäten im Zusammenhang mit IAM- und Authentifizierungsaktivitäten, einschließlich ungewöhnlicher Anmeldungen von mehreren geografischen Standorten, Erstellung von Rollen mit zu vielen Berechtigungen oder IAM-Aktivitäten von verdächtigen Tools.
  • AWS – Logging und Monitoring: Erkennt AWS-Aktivitäten im Zusammenhang mit der Deaktivierung von Logging- und Monitoring-Diensten, einschließlich CloudTrail, CloudWatch und GuardDuty.
  • AWS – Netzwerk: Erkennt unsichere Änderungen an AWS-Netzwerkeinstellungen wie Sicherheitsgruppen und Firewalls.
  • AWS – Organisation: Erkennt AWS-Aktivitäten, die mit Ihrer Organisation verknüpft sind, einschließlich des Hinzufügens oder Entfernens von Konten und unerwarteter Ereignisse im Zusammenhang mit der Regionsnutzung.
  • AWS – Secrets: Erkennt AWS-Aktivitäten im Zusammenhang mit Secrets, Tokens und Passwörtern, einschließlich des Löschens von KMS-Secrets oder Secrets Manager-Secrets.

Unterstützte Geräte und Logtypen für AWS

Diese Regelsätze wurden getestet und werden mit den folgenden Google SecOps-Datenquellen unterstützt, die nach Produktname und Aufnahmelabel aufgeführt sind.

Informationen zum Einrichten der Aufnahme von AWS-Daten finden Sie unter Aufnahme von AWS-Daten konfigurieren.

Eine Liste aller unterstützten Datenquellen finden Sie unter Unterstützte Standardparser.

In den folgenden Abschnitten werden die erforderlichen Daten beschrieben, die von Regelsätzen benötigt werden, die Muster in Daten identifizieren.

Sie können AWS-Daten mit einem Amazon Simple Storage Service-Bucket (Amazon S3) als Quelltyp oder optional mit Amazon S3 mit Amazon Simple Queue Service (Amazon SQS) aufnehmen. Auf übergeordneter Ebene müssen Sie Folgendes tun:

  • Konfigurieren Sie Amazon S3 oder Amazon S3 mit Amazon SQS, um Logdaten zu erfassen.
  • Konfigurieren Sie einen Google SecOps-Feed, um Daten aus Amazon S3 oder Amazon SQS aufzunehmen.

Eine ausführliche Anleitung zum Konfigurieren von AWS-Diensten und eines Google SecOps-Feeds zum Erfassen von AWS-Daten finden Sie unter AWS-Logs in Google SecOps aufnehmen.

Mit den Testregeln für AWS Managed Detection Testing können Sie prüfen, ob AWS-Daten in Google SecOps SIEM aufgenommen werden. Mit diesen Testregeln können Sie prüfen, ob AWS-Protokolldaten wie erwartet aufgenommen werden. Nachdem Sie die Aufnahme von AWS-Daten eingerichtet haben, führen Sie in AWS Aktionen aus, die die Testregeln auslösen sollten.

Informationen zum Prüfen der Aufnahme von AWS-Daten mithilfe von AWS Managed Detection Testing-Testregeln finden Sie unter AWS-Datenaufnahme für die Kategorie „Cloud-Bedrohungen“ prüfen.

Ausgewählte Erkennungen für Azure-Daten

Bestimmte Regelsätze in dieser Kategorie sind für die Verwendung mit Azure-Daten konzipiert, um Bedrohungen in Azure-Umgebungen mithilfe von Ereignisdaten, Kontextdaten und Benachrichtigungen zu identifizieren. Dazu gehören:

  • Azure – Compute: Erkennt anomale Aktivitäten im Zusammenhang mit Azure-Compute-Ressourcen, einschließlich Kubernetes und virtuellen Maschinen (VMs).
  • Azure – Daten: Erkennt Aktivitäten im Zusammenhang mit Datenressourcen, einschließlich Azure-Blob-Berechtigungen, Änderungen und Einladungen an externe Nutzer, Azure-Dienste im Mandanten zu verwenden.
  • Azure – Defender for Cloud: Identifiziert Benachrichtigungen, die von kontextsensitiven Microsoft Defender for Cloud-Diensten empfangen wurden, im Zusammenhang mit Nutzerverhalten, Zugriff auf Anmeldedaten, Kryptomining, Erkennung, Umgehung, Ausführung, Exfiltration, Auswirkungen, Erstzugriff, Malware, Penetrationstests, Persistenz, Richtlinien, Rechteausweitung oder unbefugtem Zugriff in allen Azure-Cloud-Diensten.
  • Azure – Hacktools: Erkennt die Verwendung von Hacktools in einer Azure-Umgebung, einschließlich Tor- und VPN-Anonymisierern, Scannern und Red-Teaming-Toolkits.
  • Azure – Identität: Erkennt Aktivitäten im Zusammenhang mit Authentifizierung und Autorisierung, die auf ungewöhnliches Verhalten hinweisen, einschließlich gleichzeitigem Zugriff von mehreren geografischen Standorten, zu freizügigen Zugriffsverwaltungsrichtlinien oder Azure-RBAC-Aktivitäten von verdächtigen Tools.
  • Azure – Logging und Monitoring: Erkennt Aktivitäten im Zusammenhang mit der Deaktivierung von Logging- und Monitoring-Diensten in Azure.
  • Azure – Netzwerk: Erkennt unsichere und auffällige Änderungen an Azure-Netzwerkgeräten oder -Einstellungen, einschließlich Sicherheitsgruppen oder Firewalls, Azure Web Application Firewall und Denial-of-Service-Richtlinien.
  • Azure – Organisation: Erkennt Aktivitäten im Zusammenhang mit Ihrer Organisation, einschließlich des Hinzufügens oder Entfernens von Abos und Konten.
  • Azure – Secrets: Erkennt Aktivitäten im Zusammenhang mit Secrets, Tokens und Passwörtern (z. B. Änderungen an Azure Key Vault oder Zugriffsschlüsseln für Speicherkonten).

Unterstützte Geräte und erforderliche Logtypen für Azure

Diese Regelsätze wurden getestet und werden mit den folgenden Datenquellen unterstützt, die nach Produktname und Google SecOps-Aufnahmelabel aufgeführt sind.

Azure- und Microsoft Entra ID-Daten aufnehmen

Sie müssen Daten aus jeder Datenquelle aufnehmen, um eine maximale Regelabdeckung zu erreichen. In der folgenden Dokumentation finden Sie Informationen zum Aufnehmen von Daten aus den einzelnen Quellen.

Im folgenden Abschnitt wird beschrieben, wie Sie die Aufnahme von Azure-Daten mithilfe vordefinierter Testregeln prüfen.

Aufnahme von Azure-Daten prüfen

Im Google SecOps-Dashboard Datenaufnahme und -zustand finden Sie Informationen zu Typ, Volumen und Zustand aller Daten, die über SIEM-Aufnahmefunktionen in Google SecOps aufgenommen werden.

Sie können auch die Testregeln für Azure Managed Detection Testing verwenden, um die Aufnahme von Azure-Daten zu überprüfen. Nachdem Sie die Aufnahme eingerichtet haben, führen Sie im Azure-Portal Aktionen aus, die die Testregeln auslösen sollen. Sie dienen dazu, zu prüfen, ob Daten aufgenommen werden und im erwarteten Format vorliegen, um die ausgewählten Erkennungen für Azure-Daten zu verwenden.

Testregeln für Azure Managed Detection Testing aktivieren

  1. Klicken Sie in Google Security Operations auf Erkennungen > Regeln und Erkennungen, um die Seite „Ausgewählte Erkennungen“ zu öffnen.
  2. Wählen Sie Managed Detection Testing > Azure Managed Detection Testing aus.
  3. Aktivieren Sie sowohl Status als auch Benachrichtigungen für die Regeln Allgemein und Exakt.

Nutzeraktionsdaten senden, um die Testregeln auszulösen

Wenn Sie prüfen möchten, ob Daten wie erwartet aufgenommen werden, erstellen Sie einen Nutzer und melden Sie sich an, um zu prüfen, ob diese Aktionen die Testregeln auslösen. Informationen zum Erstellen von Nutzern in Microsoft Entra ID finden Sie unter Nutzer erstellen, einladen und löschen.

  1. Erstellen Sie in Azure einen neuen Microsoft Entra ID-Nutzer.

    1. Rufen Sie das Azure-Portal auf.
    2. Öffnen Sie Microsoft Entra ID.
    3. Klicken Sie auf Hinzufügen und dann auf Neuen Nutzer erstellen. So definieren Sie den Nutzer:
      1. Geben Sie die folgenden Informationen ein:
        • User Principal Name: GCTI_ALERT_VALIDATION
        • User Principal Name: GCTI_ALERT_VALIDATION
        • Anzeigename: GCTI_ALERT_VALIDATION
      2. Wählen Sie Passwort automatisch generieren aus, um automatisch ein Passwort für diesen Nutzer zu generieren.
      3. Klicken Sie das Kästchen Konto aktiviert an.
      4. Öffnen Sie den Tab Überprüfen und erstellen.
      5. Merken Sie sich das automatisch generierte Passwort. Sie benötigen diese in den nächsten Schritten.
      6. Klicken Sie auf Erstellen.
    4. Öffnen Sie ein Browserfenster im Inkognitomodus und rufen Sie das Azure-Portal auf.
    5. Melden Sie sich mit dem neu erstellten Nutzer und Passwort an.
    6. Ändern Sie das Nutzerpasswort.
    7. Richten Sie die Multi-Faktor-Authentifizierung (MFA) ein, wie es von Ihrer Organisation gefordert wird.
    8. Melden Sie sich vom Azure-Portal ab und bestätigen Sie die Abmeldung.

  2. So prüfen Sie, ob Benachrichtigungen in Google Security Operations erstellt werden:

    1. Klicken Sie in Google Security Operations auf Erkennungen > Regeln und Erkennungen, um die Seite Ausgewählte Erkennungen zu öffnen.

    2. Klicken Sie auf Dashboard.

    3. Prüfen Sie in der Liste der Erkennungen, ob die folgenden Regeln ausgelöst wurden:

      • tst_azure_ad_user_creation
      • tst_azure_ad_user_login

  3. Nachdem Sie bestätigt haben, dass Daten gesendet und diese Regeln ausgelöst werden, deaktivieren Sie das Nutzerkonto oder heben Sie die Bereitstellung auf.

Beispielwarnungen senden, um die Testregeln auszulösen

Führen Sie die folgenden Schritte aus, um zu prüfen, ob das Generieren von Beispielsicherheitswarnungen in Azure die Testregeln auslöst. Weitere Informationen zum Generieren von Beispielsicherheitswarnungen in Microsoft Defender for Cloud finden Sie unter Warnungsvalidierung in Microsoft Defender for Cloud.

  1. Rufen Sie im Azure-Portal Alle Dienste auf.
  2. Öffnen Sie unter Sicherheit die Option Microsoft Defender for Cloud.
  3. Rufen Sie Sicherheitswarnungen auf.
  4. Klicken Sie auf Beispielbenachrichtigungen und gehen Sie dann so vor:
    1. Wählen Sie Ihr Abo aus.
    2. Wählen Sie Alle für Defender for Cloud-Pläne aus.
    3. Klicken Sie auf Beispielbenachrichtigungen erstellen.
  5. Prüfen Sie, ob Testbenachrichtigungen ausgelöst werden.
  6. Klicken Sie in Google Security Operations auf Erkennungen > Regeln und Erkennungen, um die Seite Ausgewählte Erkennungen zu öffnen.
  7. Klicken Sie auf Dashboard.
  8. Prüfen Sie in der Liste der Erkennungen, ob die folgenden Regeln ausgelöst wurden:
    • tst_azure_activity
    • tst_azure_defender_for_cloud_alerts

Führen Sie im Microsoft Graph Explorer eine GET-API-Anfrage aus, um die Testregeln auszulösen.

Führen Sie die folgenden Schritte aus, um zu prüfen, ob das Generieren von Beispielsicherheitswarnungen in Azure die Testregeln auslöst.

  1. Rufen Sie den Microsoft Graph Explorer auf.
  2. Prüfen Sie, ob der richtige Mandant ausgewählt ist.
  3. Klicken Sie auf Abfrage ausführen.
  4. Prüfen Sie, ob Testbenachrichtigungen ausgelöst werden.
  5. Klicken Sie in Google Security Operations auf Erkennungen > Regeln und Erkennungen, um die Seite Ausgewählte Erkennungen zu öffnen.
  6. Klicken Sie auf Dashboard.
  7. Prüfen Sie in der Liste der Erkennungen, ob die Regel tst_microsoft_graph_api_get_activity ausgelöst wurde.

Regelsätze für Azure Managed Detection Testing deaktivieren

  1. Klicken Sie in Google Security Operations auf Erkennung > Regeln und Erkennungen, um die Seite Ausgewählte Erkennungen zu öffnen.
  2. Wählen Sie die Regeln Managed Detection Testing > Azure Managed Detection Testing aus.
  3. Deaktivieren Sie sowohl Status als auch Benachrichtigungen für die Regeln Allgemein und Exakt.

Ausgewählte Erkennungen für Office 365-Daten

Office 365-Regelsätze in dieser Kategorie helfen, Bedrohungen in Office 365-Umgebungen mithilfe von Ereignis- und Kontextdaten zu identifizieren. Sie umfassen die folgenden Regelsätze:

  • Office 365 – Administrativ: Erkennt schädliche, verdächtige und risikoreiche Aktivitäten in Office 365, einschließlich Änderungen an Sicherungsrichtlinien, Microsoft Purview und ATP-Erkennungen.

  • Office 365 – eDiscovery: Erkennt schädliche, verdächtige und risikoreiche Aktivitäten in Office 365 eDiscovery, einschließlich Versuchen, nach Anmeldedaten oder anderen sensiblen Daten zu suchen.

  • Office 365 – E‑Mail: Erkennt schädliche, verdächtige und risikoreiche Aktivitäten in Office 365-E‑Mails, einschließlich Phishing-Versuchen, riskanter Änderungen an E‑Mail-Einstellungen und verdächtiger E‑Mail-Aktivitäten.

  • Office 365 – Forms: Erkennt schädliche, verdächtige und risikoreiche Aktivitäten in Office 365 Forms, einschließlich Phishing-Versuchen und Statusaktualisierungen für Forms-Konten.

  • Office 365 – Identität: Erkennt bösartige, verdächtige und risikoreiche Aktivitäten in Office 365 im Zusammenhang mit der Identitäts- und Zugriffsverwaltung, einschließlich potenziellem Tokendiebstahl, riskanter Authentifizierungskonfigurationen, MFA-Angriffen, Passwort-Angriffen und bekannter Hacking-Tools.

  • Office 365 – SharePoint und OneDrive: Erkennt schädliche, verdächtige und risikoreiche Aktivitäten in Office 365 SharePoint und OneDrive, einschließlich Malware-Uploads, anonymem Filesharing und Suchen nach Anmeldedaten und Finanzdaten.

  • Office 365 – Teams: Erkennt schädliche, verdächtige und risikoreiche Aktivitäten in Office 365 Teams, einschließlich der Identitätsfälschung von Teams-Konten, des Exports von Aufzeichnungen und Transkripten.

Unterstützte Geräte und erforderliche Protokolltypen für Office 365

Diese Regelsätze wurden getestet und werden mit den folgenden Datenquellen unterstützt, die nach Produktname und Google SecOps-Aufnahmelabel aufgeführt sind:

Ausgewählte Erkennung für Okta-Regelsätze

Okta-Regelsätze in dieser Kategorie helfen, Bedrohungen in Okta-Umgebungen zu erkennen, indem Ereignis- und Kontextdaten analysiert werden. Der Regelsatz umfasst Folgendes:

  • Okta: Identifiziert eine Reihe von schädlichen und verdächtigen Aktivitäten, die auf der Okta-Plattform auftreten, darunter MFA-Angriffe, Brute-Force-Versuche, Password Spraying, Anmeldeanomalien und mehr.

Unterstützte Geräte und erforderliche Protokolltypen für Okta

Diese Regelsätze wurden getestet und werden mit den folgenden Datenquellen unterstützt, die nach Produktname und Google SecOps-Aufnahmelabel aufgeführt sind:

Von Regelsätzen zurückgegebene Benachrichtigungen optimieren

Sie können die Anzahl der Erkennungen, die eine Regel oder ein Regelsatz generiert, mithilfe von Regelausschlüssen reduzieren.

Ein Regelausschluss definiert die Kriterien, nach denen ein Ereignis von der Bewertung durch den Regelsatz oder durch bestimmte Regeln im Regelsatz ausgeschlossen wird. Erstellen Sie einen oder mehrere Regelausschlüsse, um die Anzahl der Erkennungen zu reduzieren. Weitere Informationen finden Sie unter Benachrichtigungsunterdrückung konfigurieren.

Nächste Schritte

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten