Panoramica di Risk Analytics

Supportata in:

L'analisi dei rischi viene utilizzata per identificare comportamenti insoliti e comprendere il potenziale rischio che le entità rappresentano per la tua azienda. Sui sistemi che utilizzano l'RBAC dei dati, solo gli utenti con ambito globale possono accedere all'analisi dei rischi. La dashboard Analisi dei rischi è composta da una sezione Analisi comportamentale, che elenca le entità in base agli score del rischio delle entità di Google Security Operations, e da una sezione Watchlist, che elenca le entità in base ai calcoli del rischio aziendale interno.

I punteggi di rischio vengono utilizzati in Google SecOps. La definizione e la funzione di questi punteggi variano a seconda della funzionalità che utilizzi.

L'analisi dei rischi è disponibile con le licenze Enterprise ed Enterprise Plus o come componente aggiuntivo di una licenza Google SecOps SIEM autonoma.

Entità, rischio e risultati in Analisi dei rischi

Questa sezione definisce i concetti di entità, rischio e risultati così come vengono presentati nella dashboard Analisi dei rischi.

  • Entità: rappresentazione contestuale di un asset o di un utente nel tuo ambiente. Tutti gli eventi associati alle entità forniscono un contesto sul livello di rischio dell'entità. Per saperne di più, consulta Oggetti logici: Evento ed Entità.

  • Finestra di calcolo del rischio: consente di modificare il periodo di tempo della dashboard, in modo da poter esaminare i dati in periodi di tempo diversi. Ad esempio, puoi scoprire i tentativi di accesso di forza bruta utilizzando la finestra temporale più breve o esaminare l'attività dannosa a lungo termine impostando la finestra temporale più lunga.

  • Normalizzato: i punteggi normalizzati sono impostati tra 1 e 1000 per distinguere le entità senza punteggi da quelle con rilevamenti all'interno della finestra di rischio.

  • Tendenza normalizzata: variazione del punteggio di rischio normalizzato dell'entità rispetto alla finestra precedente.

  • Base: i punteggi di base vengono calcolati sommando i punteggi di rischio dei risultati (avvisi e rilevamenti) per un'entità durante la finestra di rischio con l'applicazione della ponderazione.

    La ponderazione definisce il modo in cui i punteggi di rischio di avvisi e rilevamenti contribuiscono ai calcoli dello scoring del rischio dell'entità. La ponderazione può assumere un valore compreso tra 0 e 1.
    Se il valore di ponderazione è 1, la ponderazione non avrà alcun impatto. Tutti gli altri valori sono percentuali (ad esempio, 0,5 corrisponde al 50%). Il valore di ponderazione predefinito è 0,2 e può essere modificato in Impostazioni. Per saperne di più, consulta Ponderazione del punteggio di rischio dell'entità.

  • Variazione di base: variazione dello scoring del rischio dell'entità di base rispetto alla finestra precedente.

  • Prima/ultima apparizione nella finestra: timestamp corrispondente alla prima o all'ultima volta che l'entità è stata vista in un risultato (avviso o rilevamento) per il periodo di tempo specificato nella finestra di rischio.

Risultati in Analisi dei rischi

I seguenti termini vengono utilizzati nella pagina Risultati (fai clic su un'entità nella tabella delle entità per aprirla nella pagina Risultati).

  • Risultati: il numero di risultati (avvisi e rilevamenti) che includono questa entità per il periodo di tempo nella finestra di rischio.

  • Gravità: la gravità è determinata dalla sorgente quando viene creato un risultato.

  • Priorità: la priorità è determinata dalla sorgente quando viene creato un risultato.

  • Punteggio di rischio: i punteggi di rischio sono determinati dalla sorgente quando viene creato un risultato. Se lo scoring del rischio non è impostato, viene utilizzato il punteggio di rischio predefinito per avvisi e rilevamenti. Il punteggio di rischio predefinito per gli avvisi è 40. Il punteggio di rischio predefinito per i rilevamenti è 15.

Calcolo dello scoring del rischio

Il calcolo dello score del rischio per ogni entità si basa sullo score del rischio dei risultati e viene modificato in base a un insieme di parametri che puoi specificare e a un insieme di parametri controllati da Google SecOps. I parametri che puoi controllare sono accessibili andando alla barra di navigazione e facendo clic su Impostazioni > Rilevamento > Scoring del rischio delle entità:

  • Coefficiente di avviso chiuso: se gli analisti della sicurezza contrassegnano un avviso come chiuso, questo viene moltiplicato per questo modificatore in virgola mobile. L'intervallo è 0-1. Il valore predefinito è 1.

  • Punteggio di rischio dei rilevamenti predefinito: specifica lo scoring del rischio per i rilevamenti nel motore delle regole. L'intervallo è 0-1000. Il valore predefinito è 15.

I seguenti parametri sono specificati da Google SecOps:

  • Modifica dello scoring del rischio con TTL: lo scoring del rischio di base dell'entità viene modificato in base a un fattore di moltiplicazione per l'intervallo di tempo.

  • Modifica del punteggio di rischio senza TTL: il punteggio di rischio del rilevamento viene modificato con un fattore di moltiplicazione.

Di seguito sono riportate le formule utilizzate per calcolare lo scoring del rischio e il punteggio di rischio normalizzato:

  • Calcolo del punteggio di rischio: (punteggio di rischio di base dell'entità) = (punteggio di rischio massimo per il risultato) + (ponderazione * (somma dei punteggi di rischio rimanenti per i risultati))

  • Punteggio di rischio normalizzato: i punteggi di rischio di base dell'entità vengono normalizzati per tutte le entità. Il punteggio di rischio di base dell'entità utilizza la normalizzazione min-max e varia da 1 a 1000. Le entità con rischio zero non sono incluse.

Precedenza delle entità per l'assegnazione dello scoring del rischio

Quando assegna lo scoring del rischio, Google SecOps utilizza un sottoinsieme di tipi di sostantivi di primo livello principal, src, target e about e assegna un punteggio di rischio in base ai campi alias dei sottotipi di eventi user e asset. Lo scoring del rischio non supporta i tipi di entità RESOURCE o GROUP.

Google SecOps assegna il punteggio di rischio all'alias (indicatore) più affidabile disponibile per un'entità all'interno di una determinata finestra di calcolo del rischio. I campi alias con ranking più elevato hanno la precedenza nello scoring del rischio, con 1 che ha il ranking più elevato. Se l'alias con il ranking più alto non è disponibile nella finestra di rischio, Google SecOps assegna il punteggio all'alias disponibile con il ranking più alto successivo.

Per i campi alias user, Google SecOps utilizza la seguente classificazione per l'assegnazione dello score del rischio:

  1. windows_sid
  2. email_addresses
  3. userid
  4. employee_id
  5. product_object_id

Per i campi alias asset, Google SecOps utilizza la seguente classificazione per l'assegnazione dello score del rischio:

  1. hostname
  2. mac
  3. asset_id
  4. ip
  5. product_object_id

Esempio di calcolo del punteggio di rischio

Di seguito è descritta la sequenza completa di calcolo del punteggio di rilevamento del rischio per un'entità:

  1. Input: i rilevamenti generati dalle regole vengono raggruppati in base agli indicatori sottostanti.
  2. (Facoltativo) Coefficiente di avviso chiuso: se lo scoring del rischio del rilevamento è relativo a un avviso chiuso, lo scoring viene moltiplicato per il coefficiente di avviso chiuso.
  3. (Facoltativo) Modifica del punteggio di rischio predefinito Se non è impostato esplicitamente in una regola, viene applicato il punteggio di rischio dei rilevamenti predefinito. I punteggi di scoring del rischio dei rilevamenti predefiniti con o senza avvisi possono essere modificati nelle impostazioni dei punteggi di scoring del rischio delle entità.
  4. (Facoltativo) Modifica dei rilevamenti compositi: per impostazione predefinita, Google SecOps assegna lo scoring del rischio a tutte le entità negli eventi campionati. Inoltre, assegna il punteggio a tutte le entità acquisite nelle sezioni match e outcome della regola. Per assegnare lo scoring del rischio a entità specifiche, specifica la variabile di risultato $risk_entity_to_score nella regola.
  5. Calcolo del punteggio di rischio: il fattore di ponderazione viene moltiplicato per la somma di tutti i rilevamenti (ad eccezione del punteggio di rischio di rilevamento massimo) e poi aggiunto al punteggio di rischio di rilevamento massimo. Questo valore rappresenta il punteggio di rischio grezzo dell'entità.
  6. Peso della modifica: lo scoring del rischio dell'entità non elaborato viene moltiplicato per il peso della modifica. Questa modifica è un'operazione una tantum, a meno che non sia impostato un TTL. Questo valore corrisponde al punteggio di rischio di base dell'entità.
  7. Peso della watchlist: se un'entità fa parte di una watchlist, il peso della watchlist viene aggiunto allo scoring del rischio di rilevamento.
  8. Punteggio di rischio normalizzato: il punteggio di rischio di base dell'entità viene normalizzato tra tutte le entità utilizzando la normalizzazione min-max.

Impostazioni dello scoring del rischio

La pagina Punteggi di rischio delle entità ti consente di definire la modalità di calcolo dello scoring del rischio per entità, avvisi e rilevamenti. Puoi applicare la ponderazione ai calcoli dello scoring del rischio dell'entità e impostare punteggi di rischio di avvisi e rilevamenti. Le modifiche si applicano solo ai nuovi avvisi e rilevamenti, inoltre possono richiedere fino a 30 minuti per essere applicate.

  • Ponderazione dello scoring del rischio dell'entità: la ponderazione definisce il modo in cui i punteggi di rischio di avvisi e rilevamenti vengono presi in considerazione nei calcoli dello scoring del rischio dell'entità. La ponderazione è un valore compreso tra 0 e 1. La formula per lo scoring del rischio di base dell'entità è definita come segue:

    Punteggio di rischio di base dell'entità = (punteggio di rischio massimo per il risultato) + (ponderazione * (somma dei punteggi di rischio rimanenti per i risultati))

  • Punteggi di scoring del rischio predefiniti per gli avvisi: specifica il punteggio di scoring del rischio degli avvisi predefinito nella pagina Impostazioni. Il valore predefinito è 40. Puoi modificare i punteggi di rischio dei singoli avvisi nelle regole stesse. Queste impostazioni sostituiscono quelle predefinite configurate nella pagina Impostazioni.

  • Punteggi di rischio predefiniti per i rilevamenti: specifica lo scoring del rischio dei rilevamenti predefinito nella pagina Impostazioni. Il valore predefinito è 15. Puoi modificare i singoli punteggi di rischio di rilevamento nelle regole stesse. Queste impostazioni sostituiscono quelle predefinite configurate nella pagina Impostazioni.

Analisi dei rischi quasi in tempo reale per i clienti Enterprise

Questo ricalcolo rapido ti consente di utilizzare gli avvisi basati sul rischio (RBA) per soddisfare gli obiettivi del livello di servizio (SLO) degli avvisi aziendali riducendo al minimo il ritardo nell'identificazione e nella risposta agli asset probabilmente compromessi.

Risoluzione MRI per lo scoring del rischio in UEBA

Per l'analisi comportamentale di entità e utente (UEBA), la logica di risoluzione dell'indicatore più affidabile (MRI) identifica l'identificatore più autorevole per un'entità supportata (utente o asset) quando sono presenti più indicatori. Questo processo è necessario per l'indicizzazione e lo scoring del rischio. Lo scoring del rischio non supporta i tipi di entità RESOURCE o GROUP. In questo modo, il rischio viene attribuito all'identità più stabile disponibile per un utente in diverse origini dati. La risoluzione MRI utilizza i seguenti processi per identificare l'indicatore più affidabile:

  • Priorità basata sul tipo: ogni categoria di indicatori ha una mappa di priorità interna in cui i valori più elevati indicano una maggiore affidabilità. Ad esempio, WINDOWS_SID (priorità 4) è intrinsecamente più affidabile di ID dipendente (priorità 1).
  • Risoluzione dei conflitti: se due indicatori hanno la stessa priorità, il sistema confronta i relativi nomi visualizzati e spazi dei nomi per decidere quale indicatore è più affidabile.

Gerarchia di affidabilità all'interno dei tipi di entità

La seguente gerarchia elenca gli indicatori disponibili dal più affidabile (priorità 4) al meno affidabile (priorità 0) all'interno di ogni tipo di entità.

  1. Indicatori utente
    1. SID Windows: priorità 4
    2. Email: priority 3
    3. Nome utente: priorità 2
    4. ID dipendente: priorità 1
    5. ID oggetto prodotto: priorità 0
  2. Indicatori degli asset
    1. Nome host: i nomi host di primo livello hanno la priorità se configurati (priorità 4)
    2. Indirizzo MAC: priorità 3
    3. ID specifico del prodotto o ID asset: priorità 2
    4. Indirizzo IP dell'asset: priorità 1
    5. ID oggetto prodotto: priorità 0

Risoluzione dell'ambito MRI

L'ambito della risoluzione MRI è limitato ai seguenti tipi di entità:

  • ASSET_IP_ADDRESS
  • MAC, HOSTNAME
  • PRODUCT_SPECIFIC_ID
  • EMAIL
  • NOME UTENTE
  • WINDOWS_SID
  • EMPLOYEE_ID
  • PRODUCT_OBJECT_ID.

Non utilizziamo la risoluzione MRI con gli indicatori di processo e file.

Variabile di risultato risk_entity_to_score

Per impostazione predefinita, Google SecOps assegna lo scoring del rischio a tutte le entità negli eventi campionati. Inoltre, assegna il punteggio a tutte le entità acquisite nelle sezioni match e outcome di una regola. Per assegnare lo scoring del rischio a entità specifiche, specifica la variabile di risultato risk_entity_to_score nella regola.

La variabile di risultato risk_entity_to_score specifica l'entità da valutare, non il campo in cui visualizzare il punteggio. Per evitare la frammentazione dei rischi, Google SecOps consolida i rischi nell'MRI disponibile per l'entità selezionata all'interno di una determinata finestra di calcolo del rischio. Se specifichi un identificatore non MRI in risk_entity_to_score, Google SecOps non assegna il punteggio direttamente a quell'identificatore. Aggiorna invece l'MRI disponibile per l'entità nella finestra di rischio.

Per saperne di più, consulta la variabile di risultato risk_entity_to_score.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.