リスク分析の概要

以下でサポートされています。

リスク分析は、異常な動作を特定し、エンティティが企業に及ぼす潜在的なリスクを把握するために使用されます。データ RBAC を使用するシステムでは、グローバル スコープを持つユーザーのみがリスク分析にアクセスできます。リスク分析のダッシュボードは、Google Security Operations エンティティのリスク スコアリングに基づいてエンティティを一覧表示する [Behavioral Analytics] セクションと、内部企業リスクの計算に基づいてエンティティを一覧表示する [Watchlist] セクションで構成されています。

リスクスコアは Google SecOps 全体で使用されます。これらのスコアの定義と機能は、使用している機能によって異なります。

リスク分析は、Enterprise ライセンスと Enterprise Plus ライセンス、または Google SecOps SIEM スタンドアロン ライセンスのアドオンとして利用できます。

Risk Analytics のエンティティ、リスク、検出結果

このセクションでは、リスク分析ダッシュボードに表示されるエンティティ、リスク、検出結果のコンセプトを定義します。

  • Entities: 環境内のアセットまたはユーザーのコンテキスト表現。エンティティに関連付けられたすべてのイベントは、エンティティの危険度に関するコンテキストを提供します。詳しくは、論理オブジェクト: イベントとエンティティをご覧ください。

  • Risk calculation window: ダッシュボードの期間を変更して、さまざまな期間のデータを表示できます。たとえば、より短い時間枠を使用してブルート フォース ログイン試行を発見したり、より長い時間枠を設定して長期的な悪意のあるアクティビティを調査したりできます。

  • Normalized: 正規化されたスコアは 1～1,000 の間で設定され、スコアのないエンティティと、リスク ウィンドウ内で検出されたエンティティを区別します。

  • 正規化されたトレンド: 前のウィンドウからの正規化されたエンティティ リスクスコアの変化。

  • 基本: 基本スコアは、重み付けが適用されたリスク時間枠内でエンティティの検出結果（アラートと検出）全体のリスク スコアリングを加算して計算されます。

    重み付けは、アラートと検出のリスク スコアリングがエンティティ リスク スコアリングの計算にどのように影響するかを定義します。重み付けは 0～1 の値に設定できます。
    重み付け値が 1 の場合、重み付けには影響しません。他のすべての値はパーセンテージです（例: .5 は 50% に相当）。デフォルトの重み付け値は .2 です。この値は [Settings] で変更できます。詳細については、エンティティ リスクスコアの重み付けをご覧ください。

  • 基本の変更: 前のウィンドウからの基本エンティティ リスクスコアの変化。

  • ウィンドウ内での最初と最後の検出: リスク ウィンドウで指定された期間に、エンティティが検出結果（アラートまたは検出）で最初または最後に確認された時刻に対応するタイムスタンプ。

リスク分析の検出結果

次の用語は [Findings] ページで使用されます（エンティティのテーブルでエンティティをクリックすると、[Findings] ページに表示されます）。

  • Findings: リスク ウィンドウの期間に、このエンティティを含む検出結果（アラートと検出）の数。

  • Severity: 検出結果の作成時にソースによって設定されます。

  • 優先度: 優先度は、検出結果の作成時にソースによって設定されます。

  • リスクスコア: 検出結果の作成時にソースによって設定されます。リスクスコアが設定されていない場合、アラートと検出のデフォルトのリスクスコアが使用されます。アラートのデフォルトのリスクスコアは 40 です。検出のデフォルトのリスクスコアは 15 です。

リスク スコアリングの計算

各エンティティのリスクスコアの計算は、検出結果のリスクスコアに基づいており、指定できる一連のパラメータと Google SecOps によって制御される一連のパラメータに基づいて変更されます。制御できるパラメータは、ナビゲーション バーで[設定] > [検出] > [エンティティ リスク スコアリング] の順にクリックすることでアクセスできます。

  • [終了] アラート係数: セキュリティ アナリストがアラートをクローズとしてマークすると、この浮動小数点修飾子で乗算されます。範囲は 0～1 です。デフォルト値は 1 です。

  • Default detection risk score: ルールエンジンで検出のリスクスコアを指定します。範囲は 0～1,000 です。デフォルト値は 15 です。

次のパラメータは Google SecOps によって指定されます。

  • TTL によるリスクスコアの変更: 基本エンティティ リスクスコアは、時間範囲の乗数によって変更されます。

  • TTL なしのリスク スコアリングの変更: 検出リスクスコアは乗数で変更されます。

リスクスコアと正規化されたリスクスコアの計算に使用される式は次のとおりです。

  • リスク スコアリングの計算: （基本エンティティ リスクスコア）=（検出結果の最大リスクスコア）+（重み付け ×（検出結果の残りのリスクスコアの合計））

  • 正規化されたリスクスコア: 基本エンティティ リスクスコアは、すべてのエンティティで正規化されます。基本エンティティ リスク スコアリングは、最小～最大の正規化と 1 ～ 1,000 の範囲を使用します。リスクが 0 のエンティティは含まれません。

リスクスコアを割り当てるエンティティの優先順位

リスク スコアリングを行う際、Google SecOps は最上位の名詞タイプ principal、src、target、about のサブセットを使用し、user イベント サブタイプと asset イベント サブタイプのエイリアス フィールドに従ってリスク スコアリングを行います。リスク スコアリングは、RESOURCE または GROUP のエンティティ タイプをサポートしていません。

Google SecOps は、特定のリスク計算ウィンドウ内でエンティティに使用可能な最も信頼性の高いエイリアス（インジケーター）にリスク スコアリングを割り当てます。リスク スコアリングを割り当てる際には、上位のエイリアス フィールドが優先されます。1 が最上位です。リスク ウィンドウで最も優先度の高いエイリアスが使用できない場合、Google SecOps は次に優先度の高い使用可能なエイリアスにスコアを割り当てます。

user エイリアス フィールドの場合、Google SecOps はリスクスコアを割り当てる際に次のランキングを使用します。

  1. windows_sid
  2. email_addresses
  3. userid
  4. employee_id
  5. product_object_id

asset エイリアス フィールドの場合、Google SecOps はリスク スコアリングを割り当てる際に次のランキングを使用します。

  1. hostname
  2. mac
  3. asset_id
  4. ip
  5. product_object_id

リスクスコアの計算例

エンティティのリスク検出スコアの計算方法の全体的なシーケンスは次のとおりです。

  1. 入力: ルールによって生成された検出は、基盤となるインジケーターに基づいてグループ化されます。
  2. （オプション）[終了] アラート係数: 検出リスク スコアリングが [終了] アラートの場合、スコアは [終了] アラート係数で乗算されます。
  3. （省略可）デフォルトのリスクスコアの変更: ルールで明示的に設定されていない場合、デフォルトの検出リスクスコアが適用されます。デフォルトのアラート付きまたはアラートなし検出リスク スコアリングは、エンティティ リスク スコアリング設定で変更できます。
  4. （省略可）複合検出の変更: デフォルトでは、Google SecOps はサンプリングされたイベントのすべてのエンティティにリスク スコアリングを割り当てます。また、ルールの match セクションと outcome セクションでキャプチャされたすべてのエンティティにスコアを割り当てます。代わりに、特定のエンティティにリスク スコアリングを割り当てるには、ルールで $risk_entity_to_score 結果変数を指定します。
  5. リスク スコアリングの計算: 重み付け係数を、すべての検出（最大検出リスク スコアを除く）の合計に掛け、最大検出リスク スコアに加算します。この値は、生のエンティティ リスクスコアを表します。
  6. 変更の重み: 生のエンティティ リスク スコアリングは、変更の重みで乗算されます。この変更は、TTL が設定されていない限り、1 回限りのオペレーションです。この値は、基本エンティティ リスクスコアです。
  7. ウォッチリストの重み: エンティティがウォッチリストの一部である場合、ウォッチリストの重みが検出リスク スコアリングに追加されます。
  8. 正規化されたリスクスコア: 基本エンティティ リスク スコアリングは、最小～最大の正規化を使用して、すべてのエンティティで正規化されます。

リスクスコアの設定

[エンティティ リスクスコア] ページでは、エンティティ、アラート、検出のリスクスコアの計算方法を定義できます。エンティティ リスク スコアリングの計算に重み付けを適用し、デフォルトのアラートと検出のリスク スコアを設定できます。変更は新しいアラートと検出にのみ適用され、変更が反映されるまでに最長で 30 分ほどかかる場合があります。

  • エンティティ リスク スコアリングの重み付け: 重み付けは、アラートと検出のリスク スコアリングがエンティティ リスク スコアリングの計算にどのように反映されるかを定義します。重み付けは 0～1 の値です。基本エンティティ リスクスコアの式は次のように定義されます。

    基本エンティティ リスクスコア =（検出結果の最大リスクスコア）+（重み付け ×（検出結果の残りのリスクスコアの合計））

  • アラートのデフォルトのリスク スコアリング: Settings ページで、アラートのデフォルトのリスク スコアリングを指定します。デフォルト値は 40 です。ルール自体で個々のアラート リスクスコアを変更できます。これは、[設定] ページで構成したデフォルト値をオーバーライドします。

  • 検出のデフォルトのリスクスコア: [Settings] ページで、デフォルトの検出リスクスコアを指定します。デフォルト値は 15 です。ルール自体で個々の検出リスク スコアリングを変更できます。これは、[設定] ページで構成したデフォルト値をオーバーライドします。

エンタープライズのお客様向けの準リアルタイムのリスク分析

この迅速な再計算により、リスクベースのアラート（RBA）を使用して、侵害された可能性のあるアセットの特定と対応の遅延を最小限に抑え、エンタープライズ アラートのサービスレベル目標（SLO）を達成できます。

UEBA のリスク スコアリングの MRI 解決

ユーザーとエンティティの行動分析（UEBA）では、複数のインジケーターが存在する場合、最も信頼性の高いインジケーター（MRI）解決ロジックによって、サポートされているエンティティ（ユーザーまたはアセット）の最も信頼できる識別子が特定されます。このプロセスは、インデックス登録とリスク スコアリングに必要です。リスク スコアリングは、RESOURCE または GROUP のエンティティ タイプをサポートしていません。これにより、リスクは、さまざまなデータソースにわたってユーザーが利用できる最も安定した ID に関連付けられます。MRI 解決では、次のプロセスを使用して、より信頼性の高いインジケーターを特定します。

  • タイプベースの優先度: 各インジケーター カテゴリには内部優先度マップがあり、値が大きいほど信頼性が高くなります。たとえば、WINDOWS_SID（優先度 4）は、従業員 ID（優先度 1）よりも本質的に信頼性が高くなります。
  • タイブレーク: 2 つのインジケーターの優先度が同じ場合、システムは表示名と名前空間を比較して、どちらのインジケーターがより信頼できるかを判断します。

エンティティ タイプ内の信頼性階層

次の階層は、各エンティティ タイプ内で最も信頼性が高い（優先度 4）ものから最も信頼性が低い（優先度 0）ものまで、使用可能なインジケーターを示しています。

  1. ユーザー インジケーター
    1. Windows SID: 優先度 4
    2. メール: 優先度 3
    3. ユーザー名: 優先度 2
    4. 従業員 ID: 優先度 1
    5. 商品オブジェクト ID: 優先度 0
  2. アセットのインジケーター
    1. ホスト名: 構成されている場合は、最上位のホスト名が優先されます（優先度 4）
    2. MAC アドレス: 優先度 3
    3. プロダクト固有の ID またはアセット ID: 優先度 2
    4. アセットの IP アドレス: 優先度 1
    5. 商品オブジェクト ID: 優先度 0

MRI スコープの解決

MRI 解決の範囲は、次のエンティティ タイプに制限されます。

  • ASSET_IP_ADDRESS
  • MAC、HOSTNAME
  • PRODUCT_SPECIFIC_ID
  • EMAIL
  • ユーザー名
  • WINDOWS_SID
  • EMPLOYEE_ID
  • PRODUCT_OBJECT_ID。

プロセス インジケーターとファイル インジケーターでは、MRI 解決は使用されません。

risk_entity_to_score outcome 変数

デフォルトでは、Google SecOps はサンプリングされたイベント内のすべてのエンティティにリスクスコアを割り当てます。また、ルールの match セクションと outcome セクションでキャプチャされたすべてのエンティティにスコアを割り当てます。代わりに、リスクスコアを特定のエンティティに割り当てるには、ルールで risk_entity_to_score の結果変数を指定します。

risk_entity_to_score 成果変数には、スコアを表示するフィールドではなく、スコアを付けるエンティティを指定します。リスクの断片化を防ぐため、Google SecOps は、特定のリスク計算ウィンドウ内で選択したエンティティで使用可能な MRI の下でリスクを統合します。risk_entity_to_score で MRI 以外の識別子を指定すると、Google SecOps はその識別子にスコアを直接割り当てません。代わりに、リスク ウィンドウでそのエンティティに使用可能な MRI を更新します。

詳細については、risk_entity_to_score の結果変数をご覧ください。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。