Risikoanalysen – Übersicht

Unterstützt in:

Mit der Risikoanalyse können Sie ungewöhnliches Verhalten erkennen und das potenzielle Risiko verstehen, das Entitäten für Ihr Unternehmen darstellen. Auf Systemen, die Daten-RBAC verwenden, können nur Nutzer mit globalem Bereich auf Risikoanalysen zugreifen. Das Dashboard „Risikoanalyse“ besteht aus dem Bereich „Verhaltensanalyse“, in dem Entitäten nach den Risikobewertungen von Google Security Operations-Entitäten aufgelistet sind, und dem Bereich „Beobachtungsliste“, in dem Entitäten nach internen Risikoberechnungen des Unternehmens aufgelistet sind.

Risikobewertungen werden in Google SecOps verwendet. Die Definition und Funktion dieser Werte variieren je nach verwendeter Funktion.

Risk Analytics ist mit Enterprise- und Enterprise Plus-Lizenzen oder als Add-on zu einer eigenständigen Google SecOps SIEM-Lizenz verfügbar.

Entitäten, Risiken und Ergebnisse in Risk Analytics

In diesem Abschnitt werden die Konzepte von Entitäten, Risiken und Ergebnissen definiert, wie sie im Risk Analytics-Dashboard dargestellt werden.

  • Entitäten: Kontextbezogene Darstellung eines Assets oder Nutzers in Ihrer Umgebung. Alle mit Entitäten verknüpften Ereignisse liefern Kontext dazu, wie riskant die Entität ist. Weitere Informationen finden Sie unter Logische Objekte: Ereignis und Entität.

  • Risikoberechnungsfenster: Hier können Sie den Zeitraum für das Dashboard ändern, um Daten für verschiedene Zeiträume anzusehen. So können Sie beispielsweise Brute-Force-Anmeldeversuche aufdecken, indem Sie das kürzere Zeitfenster verwenden, oder langfristige schädliche Aktivitäten untersuchen, indem Sie das längere Zeitfenster festlegen.

  • Normalisiert: Normalisierte Werte liegen zwischen 1 und 1.000, um Entitäten ohne Werte von Entitäten mit Erkennungen innerhalb des Risikofensters zu unterscheiden.

  • Normalisierter Trend: Änderung der normalisierten Risikobewertung für die Entität seit dem vorherigen Fenster.

  • Basis: Basisbewertungen werden berechnet, indem die Risikobewertungen für die Ergebnisse (Benachrichtigungen und Erkennungen) für eine Entität während des Risikofensters mit Gewichtung addiert werden.

    Die Gewichtung definiert, wie Risikobewertungen für Benachrichtigungen und Erkennungen in die Berechnungen von Risikobewertungen für Entitäten einfließen. Die Gewichtung kann einen Wert zwischen 0 und 1 haben.
    Wenn der Gewichtungswert 1 ist, hat die Gewichtung keine Auswirkungen. Alle anderen Werte sind Prozentsätze (z. B. 0,5 für 50 %). Der Standardgewichtungswert ist 0,2 und kann in den Einstellungen geändert werden. Weitere Informationen finden Sie unter Gewichtung von Risikobewertungen für Entitäten.

  • Basisänderung: Änderung der Basisrisikobewertung für die Entität seit dem vorherigen Fenster.

  • Zuerst/zuletzt im Fenster gefunden: Zeitstempel, der angibt, wann die Entität zuerst oder zuletzt in einem Ergebnis (Benachrichtigung oder Erkennung) für den im Risikofenster angegebenen Zeitraum gefunden wurde.

Ergebnisse in Risikoanalysen

Die folgenden Begriffe werden auf der Seite „Ergebnisse“ verwendet. Klicken Sie in der Entitätstabelle auf eine Entität, um sie auf der Seite „Ergebnisse“ zu öffnen.

  • Ergebnisse: Anzahl der Ergebnisse (Benachrichtigungen und Erkennungen), in denen diese Entität im Zeitraum des Risikofensters vorkommt.

  • Schweregrad: Der Schweregrad wird von der Quelle festgelegt, wenn ein Ergebnis erstellt wird.

  • Priorität: Die Priorität wird von der Quelle festgelegt, wenn ein Ergebnis erstellt wird.

  • Risikobewertung: Die Risikobewertungen werden von der Quelle festgelegt, wenn ein Ergebnis erstellt wird. Wenn die Risikobewertungen nicht festgelegt sind, wird die Standardrisikobewertung für Benachrichtigungen und Erkennungen verwendet. Die Standardrisikobewertung für Benachrichtigungen ist 40. Die Standardrisikobewertung für Erkennungen ist 15.

Berechnung der Risikobewertung

Die Berechnung des Risikowerts für jede Entität basiert auf dem Risikowert der Ergebnisse und wird anhand einer Reihe von Parametern, die Sie angeben können, und einer Reihe von Parametern, die von Google SecOps gesteuert werden, geändert. Die Parameter, die Sie steuern können, finden Sie in der Navigationsleiste unter Einstellungen > Erkennung > Risikobewertungen für Entitäten:

  • Koeffizient für geschlossene Benachrichtigungen: Wenn die Sicherheitsanalysten eine Benachrichtigung als geschlossen markieren, wird sie mit diesem Gleitkommamodifikator multipliziert. Der Bereich ist 0–1. Der Standardwert ist 1.

  • Standardrisikobewertung für Erkennungen: Geben Sie die Risikobewertung für Erkennungen in der Regel-Engine an. Der Bereich ist 0–1.000. Der Standardwert ist 15.

Die folgenden Parameter werden von Google SecOps angegeben:

  • Änderung der Risikobewertung mit TTL: Die Basisrisikobewertung für Entitäten wird für den Zeitraum mit einem Multiplikationsfaktor geändert.

  • Änderung der Risikobewertung ohne TTL: Die Risikobewertung für Erkennungen wird mit einem Multiplikationsfaktor geändert.

Mit den folgenden Formeln werden der Risikowert und der normalisierte Risikowert berechnet:

  • Berechnung der Risikobewertung: (Risikobewertung für Basisentität) = (Maximale Risikobewertung für das Ergebnis) + (Gewichtung × (Summe der verbleibenden Risikobewertungen für die Ergebnisse))

  • Normalisierte Risikobewertung: Die Risikobewertungen für Basisentitäten werden für alle Entitäten normalisiert. Der Risikowert für Basisentitäten verwendet die Min-Max-Normalisierung und liegt zwischen 1 und 1.000. Entitäten ohne Risiko sind nicht enthalten.

Entitätsrangfolge für die Zuweisung von Risikobewertungen

Beim Zuweisen der Risikobewertung verwendet Google SecOps eine Teilmenge der übergeordneten Substantivtypen principal, src, target und about und weist eine Risikobewertung gemäß den Alias-Feldern der Ereignisuntertypen user und asset zu. Die Risikobewertung unterstützt die Entitätstypen RESOURCE und GROUP nicht.

Google SecOps weist die Risikobewertung dem zuverlässigsten Alias (Indikator) zu, der für eine Entität innerhalb eines bestimmten Risikoberechnungsfensters verfügbar ist. Aliasfelder mit höherem Rang haben Vorrang bei der Risikobewertung, wobei 1 den höchsten Rang hat. Wenn der Alias mit dem höchsten Rang im Risikofenster nicht verfügbar ist, weist Google SecOps die Punktzahl dem Alias mit dem nächsthöheren Rang zu.

Für user-Aliasfelder verwendet Google SecOps die folgende Rangfolge bei der Risikobewertung:

  1. windows_sid
  2. email_addresses
  3. userid
  4. employee_id
  5. product_object_id

Für asset-Aliasfelder verwendet Google SecOps die folgende Rangfolge bei der Risikobewertung:

  1. hostname
  2. mac
  3. asset_id
  4. ip
  5. product_object_id

Beispiel für die Berechnung der Risikobewertung

Im Folgenden wird die vollständige Sequenz zur Berechnung eines Risikobewertungswerts für eine Entität beschrieben:

  1. Eingabe: Von Regeln generierte Erkennungen werden anhand der zugrunde liegenden Indikatoren gruppiert.
  2. (Optional) Koeffizient für geschlossene Benachrichtigungen: Wenn die Risikobewertung für eine geschlossene Benachrichtigung gilt, wird sie mit dem Koeffizienten für geschlossene Benachrichtigungen multipliziert.
  3. (Optional) Änderung der Standardrisikobewertung: Wenn in einer Regel nicht explizit festgelegt, wird die Standardrisikobewertung für Erkennungen angewendet. Die Standardrisikobewertungen für Erkennungen mit oder ohne Benachrichtigung können in den Einstellungen für Risikobewertungen für Entitäten geändert werden.
  4. (Optional) Änderung von zusammengesetzten Erkennungen: Standardmäßig weist Google SecOps allen Entitäten in den Stichprobenereignissen die Risikobewertung zu. Außerdem wird die Bewertung allen Entitäten zugewiesen, die in den Abschnitten match und outcome der Regel erfasst sind. Wenn Sie die Risikobewertung stattdessen bestimmten Entitäten zuweisen möchten, geben Sie in der Regel die Ergebnisvariable $risk_entity_to_score an.
  5. Berechnung der Risikobewertung: Der Gewichtungsfaktor wird mit der Summe aller Erkennungen (mit Ausnahme der maximalen Risikobewertung für Erkennungen) multipliziert und dann zur maximalen Risikobewertung für Erkennungen addiert. Dieser Wert stellt den Rohrisikowert der Entität dar.
  6. Änderungsgewichtung: Der Rohwert für die Risikobewertung der Entität wird mit der Änderungsgewichtung multipliziert. Diese Änderung ist ein einmaliger Vorgang, es sei denn, es wird eine TTL festgelegt. Dieser Wert ist die Risikobewertung der Basisentität.
  7. Gewichtung der Beobachtungsliste: Wenn eine Entität Teil einer Beobachtungsliste ist, wird die Gewichtung der Beobachtungsliste zur Risikobewertung der Erkennung hinzugefügt.
  8. Normalisierter Risikowert: Der Risikowert der Basisentität wird für alle Entitäten mithilfe der Min-Max-Normalisierung normalisiert.

Einstellungen für Risikobewertungen

Auf der Seite Risikobewertungen für Entitäten können Sie festlegen, wie Risikobewertungen für Entitäten, Benachrichtigungen und Erkennungen berechnet werden. Sie können eine Gewichtung auf Berechnungen von Risikobewertungen für Entitäten anwenden und Standardrisikobewertungen für Benachrichtigungen und Erkennungen festlegen. Änderungen gelten nur für neue Benachrichtigungen und Erkennungen. Es kann bis zu 30 Minuten dauern, bis sie wirksam werden.

  • Gewichtung der Risikobewertung für Entitäten: Die Gewichtung legt fest, wie Risikobewertungen für Benachrichtigungen und Erkennungen in die Berechnungen der Risikobewertung für Entitäten einfließen. Die Gewichtung ist ein Wert zwischen 0 und 1. Die Formel für die Risikobewertung der Basisentität ist wie folgt definiert:

    Risikowert für Basisentität = (maximale Risikobewertung für das Ergebnis) + (Gewichtung × (Summe der verbleibenden Risikobewertungen für die Ergebnisse))

  • Standardrisikobewertungen für Benachrichtigungen: Geben Sie auf der Seite Einstellungen die Standardrisikobewertung für Benachrichtigungen an. Der Standardwert ist 40. Sie können die Risikobewertungen einzelner Benachrichtigungen in den Regeln selbst ändern. Diese überschreiben alle Standardeinstellungen, die auf der Seite Einstellungen konfiguriert sind.

  • Standardrisikobewertungen für Erkennungen: Geben Sie auf der Seite Einstellungen die Standardrisikobewertung für Erkennungen an. Der Standardwert ist 15. Sie können einzelne Erkennungsrisikobewertungen in den Regeln selbst ändern. Diese überschreiben alle Standardeinstellungen, die auf der Seite Einstellungen konfiguriert sind.

Risikoanalysen nahezu in Echtzeit für Enterprise-Kunden

Dank dieser schnellen Neuberechnung können Sie mit risikobasierten Benachrichtigungen (RBA) die Service Level Objectives (SLOs) für Unternehmensbenachrichtigungen einhalten, da die Verzögerung bei der Identifizierung und Reaktion auf wahrscheinlich kompromittierte Assets minimiert wird.

MRI-Auflösung für die Risikobewertung in UEBA

Bei der Analyse des Nutzer- und Entitätsverhaltens (UEBA) wird mit der Auflösungslogik für den zuverlässigsten Indikator (MRI) die maßgebliche Kennung für eine unterstützte Entität (Nutzer oder Asset) ermittelt, wenn mehrere Indikatoren vorhanden sind. Dieser Prozess ist für die Indexierung und Risikobewertung erforderlich. Die Risikobewertung unterstützt die Entitätstypen RESOURCE und GROUP nicht. So wird sichergestellt, dass das Risiko der stabilsten Identität zugeordnet wird, die für einen Nutzer über verschiedene Datenquellen hinweg verfügbar ist. Bei der MRI-Auflösung werden die folgenden Prozesse verwendet, um den zuverlässigeren Indikator zu ermitteln:

  • Typbasierte Priorität: Jede Indikatorkategorie hat eine interne Prioritätszuordnung, wobei höhere Werte eine höhere Zuverlässigkeit bedeuten. Beispielsweise ist WINDOWS_SID (Priorität 4) von Natur aus zuverlässiger als Employee ID (Priorität 1).
  • Gleichstand: Wenn zwei Indikatoren dieselbe Priorität haben, vergleicht das System ihre Anzeigenamen und Namespaces, um zu entscheiden, welcher Indikator zuverlässiger ist.

Zuverlässigkeitshierarchie innerhalb von Entitätstypen

In der folgenden Hierarchie sind die verfügbaren Indikatoren für jeden Entitätstyp aufgeführt, von den zuverlässigsten (Priorität 4) bis zu den am wenigsten zuverlässigen (Priorität 0).

  1. Nutzerindikatoren
    1. Windows-SID: Priorität 4
    2. E-Mail: Priorität 3
    3. Nutzername: Priorität 2
    4. Mitarbeiter-ID: Priorität 1
    5. Produktobjekt-ID: Priorität 0
  2. Asset-Indikatoren
    1. Hostname: Hostnamen auf oberster Ebene werden priorisiert, falls konfiguriert (Priorität 4)
    2. MAC-Adresse: Priorität 3
    3. Produktspezifische ID oder Asset-ID: Priorität 2
    4. Asset-IP-Adresse: Priorität 1
    5. Produktobjekt-ID: Priorität 0

MRI-Bereichsauflösung

Der Umfang der MRI-Auflösung ist auf die folgenden Entitätstypen beschränkt:

  • ASSET_IP_ADDRESS
  • MAC, HOSTNAME
  • PRODUCT_SPECIFIC_ID
  • E-MAIL
  • NUTZERNAME
  • WINDOWS_SID
  • EMPLOYEE_ID
  • PRODUCT_OBJECT_ID.

Wir verwenden die MRI-Auflösung nicht mit Prozess- und Dateiindikatoren.

Ergebnisvariable „risk_entity_to_score“

Standardmäßig weist Google SecOps allen Entitäten in den Stichprobenereignissen die Risikobewertung zu. Außerdem wird die Bewertung allen Entitäten zugewiesen, die in den Abschnitten match und outcome einer Regel erfasst sind. Wenn Sie die Risikobewertung stattdessen bestimmten Entitäten zuweisen möchten, geben Sie die Ergebnisvariable risk_entity_to_score in der Regel an.

Die Ergebnisvariable risk_entity_to_score gibt die Entität an, die bewertet werden soll, nicht das Feld, unter dem die Bewertung angezeigt werden soll. Um eine Fragmentierung von Risiken zu vermeiden, konsolidiert Google SecOps Risiken unter dem MRI, der für die ausgewählte Entität innerhalb eines bestimmten Risikoberechnungsfensters verfügbar ist. Wenn Sie in risk_entity_to_score eine Nicht-MRI-Kennung angeben, weist Google SecOps die Punktzahl nicht direkt dieser Kennung zu. Stattdessen wird der für diese Entität im Risikofenster verfügbare MRI aktualisiert.

Weitere Informationen finden Sie unter Ergebnisvariable „risk_entity_to_score“.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten