Risiken mithilfe des Dashboards analysieren

Unterstützt in:

Im Dashboard Risikoanalyse können Sie Ihre Umgebung aus einer risikobasierten Perspektive betrachten. Durch die Visualisierung von Trends bei Entitätsrisiken können Sie ungewöhnliches Verhalten erkennen und das potenzielle Risiko verstehen, das Entitäten für Ihr Unternehmen darstellen.

Im Dashboard Risikoanalyse werden gefährdete Entitäten und Details zu Risikofaktoren aufgeführt. Auf Systemen, die Daten-RBAC verwenden, können nur Nutzer mit globalem Bereich auf Risikoanalysen zugreifen. Weitere Informationen finden Sie unter Auswirkungen der rollenbasierten Zugriffssteuerung für Daten auf die Risikoanalyse.

So rufen Sie das Dashboard Risikoanalyse auf:

  1. Klicken Sie in der Navigationsleiste auf Erkennung.
  2. Klicken Sie unter Erkennung auf Risikoanalyse.

Anzahl der Entitäten, Risikobewertung und Entitätentabelle

Basierend auf den von Ihnen ausgewählten Filtern werden im Dashboard Risikoanalyse nur die 10.000 Entitäten mit dem höchsten Risiko im Unternehmen angezeigt. Alle Diagramme und Tabellen im Dashboard stellen nur diese Gruppe von Entitäten dar.

In der Grafik Gesamtzahl der Entitäten oben links wird die Anzahl der Entitäten in Ihrem Unternehmen angezeigt, die mit einem Risiko von mehr als 0 verfolgt werden. Entitäten mit einer Risikobewertung von 0 werden weiterhin erfasst, aber nicht in diesem Diagramm dargestellt. Die Gesamtzahl wird in Assets und Nutzer aufgeteilt.

Weitere Informationen zu Entitäten finden Sie unter Logische Objekte: Ereignis und Entität. Weitere Informationen zur Berechnung von Risikobewertungen finden Sie unter Berechnung der Risikobewertung.

In der Tabelle Entitäten gibt es mehrere Spalten, die sich auf die Risikobewertung der Entität beziehen:

Spalte Wert
Entitätsname Name der Entität.
Entitätstyp Typ der Entität (Asset oder Nutzer).
Normalized Normalisierte Werte werden für alle Entitäten berechnet, wobei eine Skala von 0 bis 1.000 unter Verwendung der Min-Max-Normalisierung verwendet wird.
Änderung von „Normalisiert“ Änderung der normalisierten Risikobewertung für die Entität seit dem vorherigen Risikoberechnungsfenster.
Trend von „Normalisiert“ Erhöhung oder Verringerung der prozentualen Änderung der normalisierten Risikobewertung im Vergleich zum vorherigen Risikofenster.
Basis Der Risikowert für die Basisentität entspricht dem maximalen Risikowert für Ergebnisse plus der Gewichtung multipliziert mit der Summe der verbleibenden Risikowerte für Ergebnisse.

Die Standardgewichtung ist 0,2 und kann in den Einstellungen geändert werden.
Änderung von „Basis“ Änderung der Basisrisikobewertung für die Entität seit dem vorherigen Risikoberechnungsfenster.
Trend von „Basis“ Erhöhung oder Verringerung der prozentualen Änderung der Basisrisikobewertung im Vergleich zum vorherigen Risikofenster.
Anzahl der Ergebnisse Die Anzahl der Ergebnisse (Benachrichtigungen und Erkennungen), in denen diese Entität während des Risikoberechnungsfensters vorkommt.
Zuerst im Fenster gefunden Zeitstempel, der angibt, wann die Entität zuerst in einem Ergebnis (Benachrichtigung oder Erkennung) während des Risikoberechnungsfensters gefunden wurde.
Zuletzt im Fenster gefunden Zeitstempel, der angibt, wann die Entität zuletzt in einem Ergebnis (Benachrichtigung oder Erkennung) während des Risikoberechnungsfensters gefunden wurde.

Zeitraum für die Risikoberechnung anpassen

Das berechnete Risiko, das von einer Entität ausgeht, ändert sich je nach dem untersuchten Zeitraum. Wenn Sie die Einstellung Risikoberechnungsfenster oben rechts ändern (wählen Sie entweder 24-Stunden-Fenster oder 7-Tage-Fenster aus), ändert sich die hier angezeigte berechnete Risikobewertung. Je nach Art des Angriffs, nach dem Sie suchen, sollten Sie diese Einstellung ändern. Beispielsweise sind Brute-Force-Angriffe deutlicher zu erkennen, wenn Sie das Fenster für die Risikoberechnung auf 24 Stunden festlegen. In längeren Zeiträumen können Sie langfristige Angriffe erkennen. Risikobewertungen für Entitäten ändern sich je nach ausgewähltem Risikoberechnungsfenster.

Die Risikobewertungen für Entitäten werden mehrmals täglich für Lookback-Windows von 24 Stunden und 7 Tagen neu berechnet. Grundlage dafür sind die Ergebnisse, die innerhalb dieser Lookback-Zeiträume generiert wurden. Das Risiko-Dashboard enthält die zuletzt berechneten Risikobewertungen. Sie können sich auch historische Risikobewertungen ansehen, indem Sie in der Datumsauswahl neben der Einstellung „Risikoberechnungsfenster“ ein bestimmtes Datum und eine bestimmte Uhrzeit auswählen. Daraufhin werden die Entitätsrisiken angezeigt, die für das 24-Stunden- oder 7-Tage-Fenster berechnet wurden, das am ausgewählten Datum und zur ausgewählten Uhrzeit endet.

Suche mit Schnellfiltern eingrenzen

Mit Schnellfiltern können Sie Ihre Suche eingrenzen, sodass nur Ergebnisse angezeigt werden, die für Ihre spezifischen Anforderungen relevant sind.

So verwenden Sie Schnellfilter im Dashboard Risikoanalyse:

  1. Klicken Sie über der Tabelle Entitäten auf filter_alt . Das Fenster Filter wird angezeigt.
  2. Wählen Sie eine der folgenden Spalten aus:
    • Anzahl der Ergebnisse
    • Normalisierte Risikobewertung für Entität
    • Normalisierter Risikotrend für Entität
    • Typ
  3. Wählen Sie Nur anzeigen oder Herausfiltern aus.
  4. Wählen Sie einen Wert aus. Sie können auch mehrere Werte auswählen, um den Bereich zu erweitern:
    • Anzahl der Ergebnisse: Werte von 0 bis über 1.000.
    • Normalisierte Risikobewertung für Entität: Werte von 0 bis 1.000.
    • Normalisierter Risikotrend für Entität: Prozentsätze von weniger als -99 % bis mehr als 199 %.
    • Typ: Wählen Sie Assets oder Nutzer aus.
  5. Optional: Wenn Sie weitere Filter hinzufügen möchten, klicken Sie auf Filter hinzufügen und wiederholen Sie den Vorgang ab Schritt 2.
  6. Klicken Sie nach dem Konfigurieren der Filter auf Übernehmen.

Wenn Sie beispielsweise Normalisierter Risikotrend für Entität auswählen, dann Nur anzeigen und >199%, werden nur die Entitäten mit einer Änderung des normalisierten Risikowerts für Entitäten von mehr als 199% angezeigt.

Entität auf der Entitätsseite untersuchen

So untersuchen Sie eine Entität:

  1. Scrollen Sie durch die Spalte Entitätsname oder verwenden Sie die Suchleiste, um eine Entität zu finden.
  2. Klicken Sie auf die Entität, die Sie prüfen möchten.

Dadurch wird die Entitätsseite geöffnet. Auf dieser Seite können Sie nur die Ergebnisse prüfen, die mit dieser einen Entität verknüpft sind. Das Diagramm Zeitachse der Ergebnisse oben zeigt die Risikowerte und Ergebnisse von Entitäten im Zeitverlauf. Dieses Diagramm besteht aus vorab berechneten Messwerten, die in einem Liniendiagramm dargestellt werden, um Trends im Zeitverlauf zu zeigen. Anomalien werden im Liniendiagramm als Spitzen angezeigt. Unter dem Diagramm befindet sich die Tabelle Ergebnisse, in der die Ereignisse und Aktivitäten aufgeführt sind, mit denen die ausgewählte Entität verknüpft ist.

Rechts unten befindet sich der minimierbare Bereich Entitätsdetails ansehen, der eine Zusammenfassung wichtiger Details zur ausgewählten Entität enthält. Wenn Sie die ausgewählte Entität im Detail prüfen möchten, klicken Sie auf Entitätsdetails ansehen. Die Entität wird dann je nach Typ in der Ansicht Asset oder Nutzer angezeigt. Weitere Informationen finden Sie unter Asset-Entität untersuchen oder Nutzer untersuchen.

Entität mithilfe von Entitätsanalysen untersuchen

Die Entitätsanalyse bietet SOC-Analysten und Threat Huntern eine detaillierte Ansicht des Verhaltens einer Entität, einschließlich des Baseline-Profils, der Anomalien und der kontextbezogenen Anreicherungen der Entität.

Wählen Sie auf der Entitätsseite auf der Zeitachse der Ergebnisse einen Zeitraum von bis zu 90 Tagen aus und klicken Sie auf Analysen für Auswahl ansehen. Daraufhin wird eine Seitenleiste mit den Analysen für dieses Element im ausgewählten Zeitraum geöffnet. Für jede Analyse wird ein Aggregat aller Analysewerte innerhalb des Zeitraums angezeigt. Wenn eine Analyse erkannt wird, enthält sie eine Liste der zugehörigen Benachrichtigungen und Erkennungen, die Sie sich genauer ansehen können, indem Sie auf Mehr anzeigen klicken, um die entsprechende Ansicht Benachrichtigungen oder Erkennung zu öffnen. Weitere Informationen finden Sie unter Meldung untersuchen.

Die folgenden Entitätsanalysen werden bereitgestellt:

  • Anzahl der Ereignisnamen für Benachrichtigungen
  • Erfolgreiche Authentifizierungsversuche
  • Authentifizierungsversuche schlagen fehl
  • Authentifizierungsversuche insgesamt
  • Ausgehende DNS-Byte
  • DNS-Abfragen schlagen fehl
  • Erfolgreiche DNS-Abfragen
  • DNS-Abfragen insgesamt
  • Erfolgreiche Dateiausführungen
  • Dateiausführungen schlagen fehl
  • Dateiausführungen insgesamt
  • Erfolgreiche HTTP-Abfragen
  • HTTP-Abfragen schlagen fehl
  • HTTP-Abfragen insgesamt
  • Eingehende Netzwerkbytes
  • Netzwerk-Byte ausgehend
  • Netzwerkbyte insgesamt
  • Workspace-Authentifizierungsversuche insgesamt
  • Workspace-E‑Mails insgesamt gesendet
  • Workspace-Netzwerkbyte ausgehend
  • Workspace-Netzwerkbyte insgesamt
  • Workspace-Änderungsaktionen insgesamt
  • Workspace-Downloadaktionen insgesamt

Risikobewertung für Entität ändern

Wenn externe Informationen oder Ereignisse das tatsächliche Risiko einer Entität beeinflussen, können Sie die Risikobewertung der Entität aktualisieren.

Sie können beispielsweise den Risikowert eines Mitarbeiters, der gerade eine Red-Team-Übung (z. B. einen Penetrationstest) abgeschlossen hat, vorübergehend senken, damit Analysten nicht unnötig Zeit damit verbringen, herauszufinden, warum sich das Risiko dieses Mitarbeiters erhöht hat. Sie können auch vorübergehend den Risikowert eines Mitarbeiters erhöhen, der in einen Gerichtsfall verwickelt ist.

  1. Halten Sie in der Tabelle Entitäten auf der Seite Risikoanalyse den Mauszeiger auf die Spalte ganz rechts in der Zeile. Möglicherweise müssen Sie auf dem Display nach rechts scrollen. Klicke auf das Dreipunkt-Menü more_vert.

    und wählen Sie Risikobewertung für Entität aktualisieren aus.

  2. Konfigurieren Sie im Dialogfeld Risikobewertung für Entität aktualisieren Werte für Folgendes:

    • Multiplikationsfaktor: Ermöglicht es Ihnen, die Risikobewertung einer Entität mit einem Multiplikationsfaktor von 0,0 bis 100,0 zu erhöhen oder zu verringern. Wenn Sie beispielsweise neue Informationen zu einer Entität gefunden haben, die das Risiko der Entität verdoppeln, aktualisieren Sie den Multiplikationsfaktor auf 50, um den tatsächlichen Risikofaktor der Entität widerzuspiegeln.
    • Zeitraum: Zeitraum, in dem der Multiplikationsfaktor angewendet wird. Sie können Jetzt oder einen Zeitraum zwischen 1 Tag und 14 Tagen auswählen. Wenn Sie Jetzt auswählen, wird der Multiplikationsfaktor auf die Risikobewertung für Entitäten im aktuellen Risikoberechnungsfenster angewendet. Es werden nur vorhandene Benachrichtigungen und Erkennungen in die Berechnung einbezogen. Nach Ablauf des ausgewählten Zeitraums wird die Risikobewertung für Entitäten nicht mehr aktualisiert und der Risikowert kehrt zum Normalwert zurück.
    • Grund: Hier können Sie anderen Nutzern zusätzlichen Kontext dazu geben, warum diese Aktualisierung vorgenommen wurde. Wählen Sie eine der folgenden Optionen aus: Neue Nachweise, Falsche Risikobewertung, Geändertes Risikoprofil, Compliance-Anforderungen oder Sonstiges.

Wenn Sie versuchen, eine Änderung vorzunehmen, die bereits vorgenommen wurde (z. B. wenn Sie den Multiplikationsfaktor einer Entität auf 25 % aktualisieren möchten, ein anderes Teammitglied diese Änderung aber bereits vorgenommen hat), wird ein Dialogfeld angezeigt, in dem Sie darüber informiert werden, dass die Änderung bereits vorgenommen wurde. Außerdem werden Informationen dazu angezeigt, wer die Änderung wann vorgenommen hat.

Aktualisierungen der Risikobewertung in den Entitätsdetails ansehen

Auf der Seite Entitätsprofil können Sie alle Aktualisierungen der Risikobewertung für eine Entität aufrufen.

  1. Klicken Sie auf die Entität, deren Aktualisierungsverlauf für die Risikobewertung Sie aufrufen möchten, um die Seite Entitätsprofil zu öffnen.
  2. Im Zeitachsendiagramm für Ereignisse wird jedes Mal, wenn jemand den Risikowert des Elements geändert hat, das Label Änderung des Risikowerts in weißem Text angezeigt.
  3. Bewegen Sie den Mauszeiger über den Text, um ein Dialogfeld mit dem Datum, dem Nutzer und dem Grund für die Änderung aufzurufen.

Beobachtungslisten

Auf der Seite Beobachtungslisten können Sie bestimmte Entitäten in Ihrem Unternehmen beobachten.

  1. Klicken Sie in der linken Navigationsleiste auf Erkennung.
  2. Klicken Sie unter Erkennung auf Risikoanalyse.
  3. Klicke auf den Tab Watchlists.

Beobachtungsliste hinzufügen

So fügen Sie Ihrem Google Security Operations-Konto eine Beobachtungsliste hinzu: Sie können bis zu 200 Beobachtungslisten konfigurieren.

  1. Klicken Sie auf Watchlist erstellen.
  2. Geben Sie einen Namen für die Beobachtungsliste an.
  3. Optional: Geben Sie eine Beschreibung an.
  4. Optional: Geben Sie einen Multiplikationsfaktor zwischen 0 und 100 an. Der Standardwert ist 1.
  5. (Optional) Geben Sie Entitäten auf der rechten Seite des Fensters an, wie im Abschnitt Entitäten zu einer Beobachtungsliste hinzufügen beschrieben. Sie können hier die folgenden Entitätstypen hinzufügen:
    • ASSET_IP_ADDRESS
    • EMAIL
    • EMPLOYEE_ID
    • HOSTNAME
    • MAC
    • PRODUCT_OBJECT_ID
    • PRODUCT_SPECIFIC_ID
    • USERNAME
    • WINDOWS_SID
  6. Klicken Sie auf Watchlist erstellen.

Beobachtungsliste anpinnen

  1. Klicken Sie auf Anzeige bearbeiten.
  2. Klicken Sie auf das Kästchen neben der Watchlist, die Sie anpinnen möchten.
  3. Klicken Sie auf Speichern.

Beobachtungsliste loslösen

  1. Wählen Sie im Dashboard Beobachtungslisten die Beobachtungsliste aus, die Sie loslösen möchten, und wählen Sie more_vert aus.
  2. Klicken Sie auf Aus Anzeige entfernen.

Beobachtungsliste bearbeiten

  1. Wählen Sie im Dashboard Beobachtungslisten die Beobachtungsliste aus, die Sie bearbeiten möchten, und klicken Sie auf das Symbol more_vert .
  2. Klicken Sie auf Beobachtungsliste bearbeiten.

Beobachtungsliste löschen

  1. Wählen Sie im Dashboard Beobachtungslisten die Beobachtungsliste aus, die Sie löschen möchten, und klicken Sie auf more_vert .
  2. Klicken Sie auf Watchlist löschen.

Entitäten zu einer Beobachtungsliste hinzufügen

Wenn Sie Entitäten zu einer Beobachtungsliste hinzufügen möchten, geben Sie den Entitätsnamen, den Typ und (optional) den Namespace Zeile für Zeile in einem der folgenden Formate an.

  • NAME, TYPE

  • NAME,TYPE,NAMESPACE

    TYPE kann eines der Folgenden sein:

    • ASSET_IP_ADDRESS
    • EMAIL
    • EMPLOYEE_ID
    • HOSTNAME
    • MAC
    • PRODUCT_OBJECT_ID
    • PRODUCT_SPECIFIC_ID
    • USERNAME
    • WINDOWS_SID

    NAMESPACE kann nur für die Asset-Entitätstypen angegeben werden:

    • ASSET_IP_ADDRESS
    • HOSTNAME
    • MAC
    • PRODUCT_OBJECT_ID
    • PRODUCT_SPECIFIC_ID

Beispiel:

205.148.5.0,ASSET_IP_ADDRESS
website.com,HOSTNAME,chronicle

In diesem Beispiel werden zwei Entitäten zur Beobachtungsliste hinzugefügt: eine Asset-IP-Adresse 205.148.5.0 und ein Hostname website.com im Namespace chronicle. Eine Beobachtungsliste kann bis zu 10.000 Entitäten enthalten.

Entitäten aus einer Beobachtungsliste entfernen

Wenn Sie Entitäten aus einer Beobachtungsliste entfernen möchten, löschen Sie die Zeilen, die die zu entfernenden Entitäten darstellen, und klicken Sie auf Speichern.

Einstellungen für Änderungsrisikobewertungen

Auf der Seite Risikobewertung für Entitäten können Sie festlegen, wie Risikobewertungen für Entitäten, Benachrichtigungen und Erkennungen berechnet werden. Auf dieser Seite können Sie die Risikoberechnung an die individuellen Anforderungen Ihrer Suche anpassen.

Auf der Seite Risikobewertung für Entität können Sie drei Felder aktualisieren:

So ändern Sie diese Einstellungen:

  1. Wählen Sie in der Navigationsleiste Einstellungen > Erkennung > Entitätsrisikobewertungen aus.
  2. Aktualisieren Sie die Risikobewertungen entsprechend.
  3. Klicken Sie auf Speichern. Wenn Sie zur Hauptseite Risikoanalyse zurückkehren, wird oben auf dem Bildschirm eine Meldung angezeigt, die bestätigt, dass eine Änderung am Risikobewertung für Entitäten vorgenommen wurde.
  4. Optional: Wenn Sie einen dieser Werte zurücksetzen möchten, klicken Sie rechts neben dem Wert auf Zurücksetzen.

Aktualisierungen werden nur auf neue Benachrichtigungen und Erkennungen angewendet. Es kann bis zu 30 Minuten dauern, bis die Änderungen wirksam werden.

Gewichtung der Risikobewertung für Entitäten

Die Gewichtung definiert, wie Risikobewertungen für Benachrichtigungen und Erkennungen in die Berechnungen von Risikobewertungen für Entitäten einfließen. Die Gewichtung ist ein Wert zwischen 0 und 1.Der Standardwert ist 0,2.

Hier sind einige Beispiele dafür, wie sich unterschiedliche Zahlen auf die Berechnung der Risikobewertung für Entitäten auswirken:

  • Gewichtung der Risikobewertung für Entitäten 0. Der Rohrisikowert ist der maximale Erkennungsrisikowert aller Erkennungen für die Entität.
  • Gewichtung der Risikobewertung für Entitäten 1. Der Rohrisikowert ist die Summe aller Erkennungsrisikowerte für die Entität.
  • Gewichtung der Risikobewertung für Entitäten 0.5. Bei der Risikobewertung wird die Erkennung mit der maximalen Risikobewertung für die Entität vollständig und alle anderen Erkennungen zur Hälfte gewichtet.

Standardrisikobewertung für Erkennungen

Mit der Standardrisikobewertung für Erkennungen können Sie einen Standardwert für Risikobewertungen für Erkennungen zuweisen. Risikobewertungen für Erkennungen werden verwendet, um Risikobewertungen für Entitäten zu berechnen. Risikobewertungen für Erkennungen werden beim Schreiben einer Regel definiert. Wenn in der Regel kein Risikowert definiert ist, wird der Standardwert verwendet. Der Standardwert ist 15 und der Risikobewertungsbereich liegt zwischen 0 und 100.

Standardrisikobewertung für Benachrichtigungen

Ähnlich wie bei Standardrisikobewertung für Erkennungen können Sie in diesem Feld einen Standardwert für die Risikobewertung von Benachrichtigungen zuweisen. Wenn Sie keine Risikobewertung in der Regel definieren, wird der Standardwert 40 verwendet. Der Bereich für die Risikobewertung liegt zwischen 0 und 1.000.

Informationen zum Definieren der Risikobewertung in einer Regel finden Sie unter Syntax des Abschnitts „Outcome“.

Koeffizient für geschlossene Benachrichtigungen

Der Koeffizient für geschlossene Benachrichtigungen ändert die Risikobewertung von Benachrichtigungen, die von Analysten als geschlossen markiert wurden. Er ist ein Gleitkomma-Modifikator zwischen 0 und 1 (einschließlich). Der Standardwert ist 1,0.Das bedeutet, dass alle offenen und geschlossenen Benachrichtigungen ihre ursprünglichen Werte behalten. Wenn der Koeffizient für geschlossene Benachrichtigungen den Wert 0,0 hat, erhalten alle geschlossenen Benachrichtigungen einen Risikowert von 0 und erhöhen den Risikowert der gesamten Entität nicht mehr.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten