风险分析概览

支持范围：

风险分析用于识别异常行为，并了解实体对企业构成的潜在风险。在采用数据 RBAC 的系统上，只有具有全局范围的用户才能访问风险分析。风险分析信息中心包含“行为分析”部分和“监视列表”部分，前者根据 Google Security Operations 实体风险评分列出实体，后者根据内部企业风险计算结果列出实体。

风险评分在整个 Google SecOps 中使用。这些分数的定义和功能因您使用的功能而异。

风险分析功能可通过企业版和企业 Plus 版许可提供，也可作为 Google SecOps SIEM 独立版许可的加购项提供。

风险分析中的实体、风险和发现结果

本部分定义了风险分析信息中心上显示的实体、风险和发现结果的概念。

  • 实体：环境中资产或用户的上下文表示。与实体关联的所有事件都提供了有关实体风险程度的背景信息。如需了解详情，请参阅逻辑对象：事件和实体。

  • 风险计算窗口：可让您更改信息中心的时间范围，以便查看不同时间段的数据。例如，您可以通过使用较短的时间窗口来发现暴力破解登录尝试，也可以通过设置较长的时间窗口来检查长期恶意活动。

  • 标准化：标准化得分介于 1-1000 之间，用于区分没有得分的实体与在风险窗口期内确实有检测结果的实体。

  • 标准化趋势：自上一个窗口期以来，标准化实体风险得分的变化情况。

  • 基本：基本得分的计算方法是，将风险窗口期内某个实体的各项发现结果（提醒和检测）的风险评分相加，并应用权重。

    权重定义了提醒和检测风险评分对实体风险评分计算的贡献程度。权重值可以介于 0 到 1 之间。
    如果权重值为 1，则权重不会产生影响。所有其他值均为百分比（例如，.5 等于 50%）。默认加权值为 .2，可在“设置”中进行更改。如需了解详情，请参阅实体风险评分权重。

  • 基本变化：自上一个窗口期以来，基本实体风险得分的变化情况。

  • 在窗口期内首次/最后出现的时间：在风险窗口期指定的时间段内，该实体首次或最后在发现结果（提醒或检测）中出现时的时间戳。

风险分析中的发现结果

“发现结果”页面上使用了以下术语（点击实体表中的实体可在“发现结果”页面中将其打开）。

  • 发现结果：在风险窗口期内，包含此实体的发现结果（提醒和检测）数量。

  • 严重程度：严重程度由来源在发现结果创建时设置。

  • 优先级：优先级由来源在发现结果创建时设置。

  • 风险得分：风险得分由来源在发现结果创建时设置。如果未设置风险评分，则系统会使用提醒和检测的默认风险评分。提醒的默认风险评分为 40。检测的默认风险评分为 15。

风险评分计算

每个实体的风险评分计算基于发现结果的风险评分，并根据您可以指定的一组参数和 Google SecOps 控制的一组参数进行修改。您可以前往导航栏，然后依次点击设置 > 检测 > 实体风险评分，访问您可以控制的参数：

  • 已解决提醒系数：如果安全分析师将提醒标记为“已解决”，则该提醒会乘以这个浮点修饰符。范围为 0-1。默认值为 1。

  • 默认检测风险评分：在规则引擎中指定检测的风险评分。范围为 0-1000。默认值为 15。

以下参数由 Google SecOps 指定：

  • 使用 TTL 修改风险评分：基本实体风险评分会乘以一个放大系数，该系数在指定时间范围内有效。

  • 不带 TTL 的风险评分修改：检测风险评分会乘以一个系数。

以下是用于计算风险评分和标准化风险评分的公式：

  • 风险评分计算：（基本实体风险评分）=（发现结果的最高风险评分）+（权重 *（发现结果的其余风险评分总和））

  • 标准化风险评分：基本实体风险评分在所有实体中进行了标准化。基本实体风险评分使用最小-最大标准化方法，范围为 1-1000。不包括风险为零的实体。

分配风险评分的实体优先级

在分配风险评分时，Google SecOps 会使用顶级名词类型 principal、src、target 和 about 的子集，并根据 user 和 asset 事件子类型的别名字段分配风险评分。风险评分不支持 RESOURCE 或 GROUP 实体类型。

Google SecOps 会在给定的风险计算窗口期内，将风险评分分配给实体最可靠的可用别名（指标）。在分配风险评分时，排名较高的别名字段优先，其中 1 排名最高。如果风险窗口中没有排名最高的别名，Google SecOps 会将分数分配给下一个排名最高的可用别名。

对于 user 别名字段，Google SecOps 在分配风险评分时会使用以下排名：

  1. windows_sid
  2. email_addresses
  3. userid
  4. employee_id
  5. product_object_id

对于 asset 别名字段，Google SecOps 在分配风险评分时会使用以下排名：

  1. hostname
  2. mac
  3. asset_id
  4. ip
  5. product_object_id

风险评分计算示例

下面介绍了如何计算实体的风险检测得分的完整序列：

  1. 输入：规则生成的检测结果会根据其底层指标进行分组。
  2. （可选）已解决提醒系数：如果检测风险评分针对的是已解决的提醒，则该评分会乘以已解决提醒系数。
  3. （可选）默认风险评分修改：如果未在规则中明确设置，则会应用默认检测风险评分。您可以在实体风险评分设置中更改默认的提醒或不提醒检测风险评分。
  4. （可选）复合检测修改：默认情况下，Google SecOps 会为采样事件中的所有实体分配风险评分。它还会将该得分分配给规则的 match 和 outcome 部分中捕获的所有实体。如需改为将风险评分分配给特定实体，请在规则中指定 $risk_entity_to_score 结果变量。
  5. 风险评分计算：将权重系数乘以所有检测结果（最大检测风险评分除外）的总和，然后加上最大检测风险评分。此值表示原始实体风险评分。
  6. 修改权重：原始实体风险评分会乘以修改权重。除非设置了 TTL，否则此修改是一次性操作。此值为基本实体风险评分。
  7. 监控列表权重：如果实体属于监控列表，则监控列表权重会添加到检测风险评分中。
  8. 标准化风险评分：基本实体风险评分会使用最小-最大标准化方法在所有实体中进行标准化。

风险评分设置

通过实体风险评分页面，您可以定义如何计算实体、提醒和检测的风险评分。您可以对实体风险评分的计算应用权重，并设置默认的提醒和检测风险评分。更改仅适用于新的提醒和检测，并且最长可能需要 30 分钟才能生效。

  • 实体风险评分权重：权重定义了提醒和检测风险评分在实体风险评分计算中的权重。权重是介于 0 到 1 之间的值。基本实体风险评分的公式定义如下：

    基本实体风险评分 =（发现结果的最高风险得分）+（加权值 *（发现结果的其余风险得分总和））

  • 提醒的默认风险评分：在设置页面中指定默认提醒风险评分。默认值为 40。您可以在规则本身中修改单个提醒风险评分。这些设置会覆盖在设置页面中配置的所有默认设置。

  • 检测的默认风险评分：在设置页面中指定默认检测风险评分。默认值为 15。您可以在规则本身中修改各个检测风险评分。这些设置会覆盖在设置页面中配置的所有默认设置。

为企业客户提供近乎实时的风险分析

通过这种快速重新计算，您可以使用基于风险的提醒 (RBA) 来最大限度地减少识别和响应可能遭入侵的资产的延迟，从而满足企业提醒服务等级目标 (SLO)。

UEBA 中风险评分的 MRI 解析

对于用户和实体行为分析 (UEBA)，当存在多个指标时，最可靠指标 (MRI) 解析逻辑会识别受支持实体（用户或资产）的最权威标识符。此过程对于索引编制和风险评分必不可少。风险评分不支持 RESOURCE 或 GROUP 实体类型。这样可以确保将风险归因于用户在不同数据源中最稳定的可用身份。MRI 解析使用以下流程来确定更可靠的指标：

  • 基于类型的优先级：每个指标类别都有一个内部优先级映射，其中值越高，可靠性越高。例如，WINDOWS_SID（优先级 4）本质上比员工 ID（优先级 1）更可靠。
  • 平局决胜：如果两个指标具有相同的优先级，系统会比较它们的显示名称和命名空间，以确定哪个指标更可靠。

实体类型内的可靠性层次结构

以下层次结构列出了每种实体类型中从最可靠（优先级 4）到最不可靠（优先级 0）的可用指标。

  1. 用户指标
    1. Windows SID：优先级 4
    2. 电子邮件：优先级 3
    3. 用户名：优先级 2
    4. 员工 ID：优先级 1
    5. 商品对象 ID：优先级 0
  2. 素材资源指示器
    1. 主机名：如果已配置，则优先考虑顶级主机名（优先级 4）
    2. MAC 地址：优先级 3
    3. 商品专属 ID 或资产 ID：优先级 2
    4. 资产 IP 地址：优先级 1
    5. 商品对象 ID：优先级 0

MRI 范围解析

MRI 解析的范围仅限于以下实体类型：

  • ASSET_IP_ADDRESS
  • MAC、HOSTNAME
  • PRODUCT_SPECIFIC_ID
  • 电子邮件
  • 用户名
  • WINDOWS_SID
  • EMPLOYEE_ID
  • PRODUCT_OBJECT_ID。

我们不会将 MRI 分辨率与进程和文件指标结合使用。

risk_entity_to_score 结果变量

默认情况下，Google SecOps 会为采样事件中的所有实体分配风险评分。它还会将该分数分配给规则的 match 和 outcome 部分中捕获的所有实体。如需改为将风险评分分配给特定实体，请在规则中指定 risk_entity_to_score 结果变量。

risk_entity_to_score 结果变量指定的是要评分的实体，而不是显示评分的字段。为防止风险分散，Google SecOps 会在给定的风险计算窗口内，将风险整合到所选实体的可用 MRI 下。如果您在 risk_entity_to_score 中指定非 MRI 标识符，Google SecOps 不会直接将分数分配给该标识符。而是会更新该实体在风险窗口中的 MRI。

如需了解详情，请参阅 risk_entity_to_score 结果变量。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。