Ringkasan Analisis Risiko

Didukung di:

Analisis Risiko digunakan untuk mengidentifikasi perilaku yang tidak biasa dan memahami potensi risiko yang ditimbulkan entity terhadap perusahaan Anda. Pada sistem yang menggunakan RBAC data, hanya pengguna dengan cakupan global yang dapat mengakses analisis risiko. Dasbor Risk Analytics terdiri dari bagian Behavioral Analytics, yang mencantumkan entitas sesuai dengan skor risiko Entitas Google Security Operations dan bagian Watchlist, yang mencantumkan entitas sesuai dengan penghitungan risiko internal perusahaan.

Skor risiko digunakan di seluruh Google SecOps. Definisi dan fungsi skor ini bervariasi, bergantung pada fitur yang Anda gunakan.

Analisis Risiko tersedia dengan lisensi Enterprise dan Enterprise Plus, atau sebagai add-on untuk lisensi mandiri Google SecOps SIEM.

Entity, risiko, dan temuan di Analisis Risiko

Bagian ini menjelaskan konsep entity, risiko, dan temuan seperti yang disajikan di dasbor Analisis Risiko.

  • Entity: Representasi kontekstual aset atau pengguna di lingkungan Anda. Semua peristiwa yang terkait dengan entitas memberikan konteks tentang seberapa berisiko entitas tersebut. Untuk informasi selengkapnya, lihat Objek logis: Peristiwa dan Entitas.

  • Risk calculation window: Memungkinkan Anda mengubah jangka waktu untuk dasbor, sehingga Anda dapat melihat data melalui periode waktu yang berbeda. Misalnya, Anda dapat mengungkap upaya login brute force dengan menggunakan rentang waktu yang lebih singkat atau memeriksa aktivitas berbahaya jangka panjang dengan menetapkan rentang waktu yang lebih lama.

  • Dinormalisasi: Skor yang dinormalisasi ditetapkan antara 1-1000 untuk membedakan entity tanpa skor dari entity yang memiliki deteksi dalam periode risiko.

  • Tren yang dinormalisasi: Perubahan skor penilaian risiko entity yang dinormalisasi sejak periode sebelumnya.

  • Dasar: Skor dasar dihitung dengan menambahkan skor risiko di seluruh temuan (pemberitahuan dan deteksi) untuk entity selama periode risiko dengan menerapkan pembobotan.

    Pembobotan menentukan bagaimana skor risiko pemberitahuan dan deteksi berkontribusi pada penghitungan skor risiko entity. Pembobotan dapat mengambil nilai dari 0-1.
    Jika nilai pembobotan adalah 1, pembobotan tidak akan berdampak. Semua nilai lainnya adalah persentase (misalnya, 0,5 sama dengan 50%). Nilai pembobotan default adalah .2 dan dapat diubah di Setelan. Untuk mengetahui informasi selengkapnya, lihat Pembobotan skor risiko entitas.

  • Perubahan dasar: Perubahan skor penilaian risiko entity dasar sejak periode sebelumnya.

  • Pertama/terakhir kali terlihat dalam periode: Stempel waktu yang sesuai dengan waktu entity pertama atau terakhir kali terlihat dalam temuan (pemberitahuan atau deteksi) untuk jangka waktu yang ditentukan dalam periode risiko.

Temuan di Analisis Risiko

Istilah berikut digunakan di halaman Findings (klik entitas di tabel entitas untuk membukanya di halaman Findings).

  • Temuan: Jumlah temuan (pemberitahuan dan deteksi) yang menyertakan entity ini selama jangka waktu dalam periode risiko.

  • Tingkat keparahan: Tingkat keparahan ditetapkan menurut sumber saat temuan dibuat.

  • Prioritas: Prioritas ditetapkan menurut sumber saat temuan dibuat.

  • Skor Risiko: Skor risiko ditetapkan menurut sumber saat temuan dibuat. Jika skor risiko tidak ditetapkan, skor risiko default untuk pemberitahuan dan deteksi akan digunakan. Skor risiko default untuk pemberitahuan adalah 40. Skor risiko default untuk deteksi adalah 15.

Penghitungan skor risiko

Penghitungan skor risiko untuk setiap entity didasarkan pada skor risiko temuan dan diubah berdasarkan serangkaian parameter yang dapat Anda tentukan dan serangkaian parameter yang dikontrol oleh Google SecOps. Parameter yang dapat Anda kontrol dapat diakses dengan membuka menu navigasi dan mengklik Settings > Detection > Entity Risk Scores:

  • Koefisien pemberitahuan tertutup: Jika analis keamanan menandai pemberitahuan sebagai tertutup, pemberitahuan tersebut akan dikalikan dengan pengubah floating point ini. Rentangnya adalah 0-1. Nilai default adalah 1.

  • Skor risiko deteksi default: Tentukan skor risiko untuk deteksi di mesin aturan. Rentangnya adalah 0-1000. Nilai defaultnya adalah 15.

Parameter berikut ditentukan oleh Google SecOps:

  • Modifikasi skor risiko dengan TTL: Skor risiko entity dasar diubah oleh faktor pengali untuk rentang waktu.

  • Modifikasi skor risiko tanpa TTL: Skor risiko deteksi diubah dengan faktor pengali.

Berikut adalah formula yang digunakan untuk menghitung skor risiko dan skor risiko yang dinormalisasi:

  • Penghitungan skor risiko: (Skor risiko entity dasar) = (Skor risiko maksimum untuk temuan) + (Pembobotan * (Jumlah skor risiko yang tersisa untuk temuan))

  • Skor risiko yang dinormalisasi: Skor risiko entity dasar dinormalisasi di semua entity. Skor penilaian risiko entity dasar menggunakan normalisasi min-maks dan berkisar antara 1-1000. Entity dengan risiko nol tidak disertakan.

Prioritas entity untuk menetapkan penilaian risiko

Saat menetapkan penilaian risiko, Google SecOps menggunakan subset jenis kata benda tingkat teratas principal, src, target, dan about—serta menetapkan penilaian risiko sesuai dengan kolom alias dari subjenis peristiwa user dan asset. Penilaian risiko tidak mendukung jenis entity RESOURCE atau GROUP.

Google SecOps menetapkan skor risiko ke alias (indikator) paling andal yang tersedia untuk entity dalam periode penghitungan risiko tertentu. Kolom alias dengan peringkat lebih tinggi akan diutamakan saat menetapkan penilaian risiko, dengan 1 sebagai peringkat tertinggi. Jika alias dengan peringkat tertinggi tidak tersedia di jendela risiko, Google SecOps akan menetapkan skor ke alias yang tersedia dengan peringkat tertinggi berikutnya.

Untuk kolom alias user, Google SecOps menggunakan peringkat berikut saat menetapkan penilaian risiko:

  1. windows_sid
  2. email_addresses
  3. userid
  4. employee_id
  5. product_object_id

Untuk kolom alias asset, Google SecOps menggunakan peringkat berikut saat menetapkan penilaian risiko:

  1. hostname
  2. mac
  3. asset_id
  4. ip
  5. product_object_id

Contoh penghitungan skor risiko

Berikut ini adalah urutan lengkap cara penghitungan skor deteksi risiko untuk suatu entity:

  1. Input: Deteksi yang dihasilkan oleh aturan dikelompokkan berdasarkan indikator yang mendasarinya.
  2. (Opsional) Koefisien pemberitahuan tertutup: Jika skor penilaian risiko deteksi adalah untuk pemberitahuan tertutup, skor akan dikalikan dengan koefisien pemberitahuan tertutup.
  3. (Opsional) Perubahan Skor Penilaian Risiko Default Jika tidak ditetapkan secara eksplisit dalam aturan, skor penilaian risiko deteksi default akan diterapkan. Skor risiko deteksi pemberitahuan atau non-pemberitahuan default dapat diubah di setelan skor risiko entity.
  4. (Opsional) Modifikasi deteksi gabungan: Secara default, Google SecOps menetapkan penilaian risiko ke semua entity dalam peristiwa yang dijadikan sampel. Aturan ini juga menetapkan skor ke semua entity yang dicakup dalam bagian match dan outcome aturan. Untuk menetapkan skor risiko ke entity tertentu, tentukan variabel hasil $risk_entity_to_score dalam aturan.
  5. Penghitungan skor risiko: Faktor pembobotan dikalikan dengan jumlah semua deteksi (kecuali untuk skor risiko deteksi maksimum), lalu ditambahkan ke skor risiko deteksi maksimum. Nilai ini mewakili skor risiko entitas mentah.
  6. Bobot modifikasi: Skor penilaian risiko entity mentah dikalikan dengan bobot modifikasi. Modifikasi ini adalah operasi satu kali, kecuali jika TTL ditetapkan. Nilai ini adalah skor risiko entity dasar.
  7. Bobot daftar pantauan: Jika entity adalah bagian dari daftar pantauan, bobot daftar pantauan akan ditambahkan ke penilaian risiko deteksi.
  8. Skor risiko yang dinormalisasi: Skor risiko entity dasar dinormalisasi di semua entity menggunakan normalisasi min-maks.

Setelan skor risiko

Halaman Entity risk scores memungkinkan Anda menentukan cara penghitungan skor risiko untuk entity, pemberitahuan, dan deteksi. Anda dapat menerapkan pembobotan pada penghitungan skor risiko entity dan menetapkan skor risiko pemberitahuan dan deteksi default. Perubahan hanya akan diterapkan untuk pemberitahuan dan deteksi baru, dan diperlukan waktu hingga 30 menit agar dapat diterapkan.

  • Pembobotan skor risiko entity: Pembobotan menentukan bagaimana skor risiko pemberitahuan dan deteksi diperhitungkan dalam penghitungan skor risiko entity. Pembobotan adalah nilai dari 0 hingga 1. Formula untuk skor penilaian risiko entity dasar ditentukan sebagai berikut:

    Skor penilaian risiko entity dasar = (Skor penilaian risiko maksimum untuk temuan) + (Pembobotan * (Jumlah skor penilaian risiko yang tersisa untuk temuan))

  • Skor risiko default untuk Pemberitahuan: Tentukan skor risiko pemberitahuan default di halaman Setelan. Defaultnya adalah 40. Anda dapat mengubah skor risiko pemberitahuan individual dalam aturan itu sendiri. Setelan ini menggantikan setelan default yang dikonfigurasi di halaman Settings.

  • Skor risiko default untuk Deteksi: Tentukan skor risiko deteksi default di halaman Setelan. Defaultnya adalah 15. Anda dapat mengubah skor risiko deteksi individual dalam aturan itu sendiri. Setelan ini menggantikan setelan default apa pun yang dikonfigurasi di halaman Setelan.

Analisis risiko hampir real-time untuk pelanggan Enterprise

Penghitungan ulang yang cepat ini memungkinkan Anda menggunakan pemberitahuan berbasis risiko (RBA) untuk memenuhi tujuan tingkat layanan (SLO) pemberitahuan perusahaan dengan meminimalkan penundaan dalam mengidentifikasi dan merespons aset yang kemungkinan disusupi.

Resolusi MRI untuk penilaian risiko di UEBA

Untuk Analisis Perilaku Pengguna dan Entity (UEBA), logika resolusi Indikator Paling Andal (MRI) mengidentifikasi ID paling otoritatif untuk entity yang didukung (pengguna atau aset) saat ada beberapa indikator. Proses ini diperlukan untuk pengindeksan dan penilaian risiko. Penilaian risiko tidak mendukung jenis entity RESOURCE atau GROUP. Hal ini memastikan bahwa risiko dikaitkan dengan identitas paling stabil yang tersedia untuk pengguna di berbagai sumber data. Resolusi MRI menggunakan proses berikut untuk mengidentifikasi indikator yang lebih andal:

  • Prioritas berbasis jenis: Setiap kategori indikator memiliki peta prioritas internal, dengan nilai yang lebih tinggi menunjukkan keandalan yang lebih besar. Misalnya, WINDOWS_SID (prioritas 4) secara inheren lebih andal daripada Employee ID (prioritas 1).
  • Penentuan prioritas: Jika dua indikator memiliki prioritas yang sama, sistem akan membandingkan nama tampilan dan namespace-nya untuk memutuskan indikator mana yang lebih andal.

Hierarki keandalan dalam jenis entity

Hierarki berikut mencantumkan indikator yang tersedia dari yang paling andal (prioritas 4) hingga yang paling tidak andal (prioritas 0) dalam setiap jenis entitas.

  1. Indikator Pengguna
    1. SID Windows: prioritas 4
    2. Email: prioritas 3
    3. Nama pengguna: prioritas 2
    4. ID Karyawan: prioritas 1
    5. ID objek produk: prioritas 0
  2. Indikator Aset
    1. Nama host: Nama host level teratas diprioritaskan jika dikonfigurasi) (prioritas 4)
    2. Alamat MAC: prioritas 3
    3. ID khusus produk atau ID Aset: prioritas 2
    4. Alamat IP aset: prioritas 1
    5. ID objek produk: prioritas 0

Resolusi cakupan MRI

Cakupan resolusi MRI dibatasi untuk jenis entity berikut:

  • ASSET_IP_ADDRESS
  • MAC, HOSTNAME
  • PRODUCT_SPECIFIC_ID
  • EMAIL
  • NAMA PENGGUNA
  • WINDOWS_SID
  • EMPLOYEE_ID
  • PRODUCT_OBJECT_ID.

Kami tidak menggunakan resolusi MRI dengan indikator proses dan file.

Variabel hasil risk_entity_to_score

Secara default, Google SecOps menetapkan skor risiko ke semua entity dalam peristiwa yang dijadikan sampel. Skor ini juga ditetapkan ke semua entity yang tercakup dalam bagian match dan outcome dari suatu aturan. Untuk menetapkan skor risiko ke entity tertentu, tentukan variabel hasil risk_entity_to_score dalam aturan.

Variabel hasil risk_entity_to_score menentukan entity yang akan diberi skor, bukan kolom untuk menampilkan skor. Untuk mencegah fragmentasi risiko, Google SecOps menggabungkan risiko di bawah MRI yang tersedia untuk entity yang dipilih dalam periode penghitungan risiko tertentu. Jika Anda menentukan ID non-MRI di risk_entity_to_score, Google SecOps tidak akan menetapkan skor ke ID tersebut secara langsung. Sebagai gantinya, tindakan ini akan memperbarui MRI yang tersedia untuk entity tersebut dalam periode risiko.

Untuk mengetahui informasi selengkapnya, lihat variabel hasil risk_entity_to_score.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.