Visão geral da análise de dados de risco

Compatível com:

A análise de risco é usada para identificar comportamentos incomuns e entender o risco potencial que as entidades representam para sua empresa. Em sistemas que usam o RBAC de dados, apenas usuários com escopo global podem acessar as análises de risco. O painel de análise de riscos consiste em uma seção de análise comportamental, que lista as entidades de acordo com as pontuações de risco das entidades do Google Security Operations, e uma seção de lista de monitoramento, que lista as entidades de acordo com os cálculos internos de risco empresarial.

As pontuações de risco são usadas em todo o Google SecOps. A definição e a função dessas pontuações variam de acordo com o recurso que você está usando.

A análise de risco está disponível com as licenças Enterprise e Enterprise Plus ou como um complemento de uma licença independente do Google SecOps SIEM.

Entidades, riscos e descobertas na análise de riscos

Nesta seção, definimos os conceitos de entidades, riscos e descobertas conforme apresentados no painel de análise de risco.

  • Entidades: representação contextual de um recurso ou usuário no seu ambiente. Todos os eventos associados a entidades fornecem contexto sobre o nível de risco da entidade. Para mais informações, consulte Objetos lógicos: evento e entidade.

  • Janela de cálculo de risco: permite mudar o período do painel para analisar dados de diferentes períodos. Por exemplo, é possível descobrir tentativas de login de força bruta usando a janela de tempo mais curta ou examinar atividades mal-intencionadas de longo prazo definindo a janela de tempo mais longa.

  • Normalizada: as pontuações normalizadas são definidas entre 1 e 1.000 para distinguir as entidades sem pontuações das entidades que têm detecções na janela de risco.

  • Tendência normalizada: mudança na pontuação de risco normalizada da entidade desde a janela anterior.

  • Base: as pontuações básicas são calculadas somando as pontuações de risco de todas as descobertas (alertas e detecções) de uma entidade durante a janela de risco com a ponderação aplicada.

    A ponderação define como as pontuações de risco de alerta e detecção contribuem para os cálculos de pontuação de risco da entidade. A ponderação pode ter um valor de 0 a 1.
    Se o valor de ponderação for 1, a ponderação não terá impacto. Todos os outros valores são porcentagens (por exemplo, 0,5 equivale a 50%). O valor padrão é 0,2 e pode ser alterado em "Configurações". Para mais informações, consulte Ponderação da pontuação de risco da entidade.

  • Mudança na base: mudança na pontuação de risco básica da entidade desde a janela anterior.

  • Primeira/última vez na janela: carimbo de data/hora correspondente ao momento em que a entidade foi vista pela primeira ou última vez em uma descoberta (alerta ou detecção) no período especificado na janela de risco.

Descobertas na análise de risco

Os termos a seguir são usados na página "Descobertas" (clique em uma entidade na tabela de entidades para abri-la na página "Descobertas").

  • Descobertas: número de descobertas (alertas e detecções) que incluem essa entidade no período da janela de risco.

  • Gravidade: a gravidade é definida pela origem quando uma descoberta é criada.

  • Prioridade: a prioridade é definida pela origem quando uma descoberta é criada.

  • Pontuação de risco: as pontuações de risco são definidas pela origem quando uma descoberta é criada. Se as pontuações de risco não forem definidas, será usada a pontuação de risco padrão para alertas e detecções. A pontuação de risco padrão para alertas é 40. A pontuação de risco padrão para detecções é 15.

Cálculo da pontuação de risco

O cálculo da pontuação de risco de cada entidade é baseado na pontuação de risco das descobertas e é modificado com base em um conjunto de parâmetros que você pode especificar e um conjunto de parâmetros controlados pelo Google SecOps. Para acessar os parâmetros que você pode controlar, acesse a barra de navegação e clique em Configurações > Detecção > Pontuações de risco da entidade:

  • Coeficiente de alerta fechado: se os analistas de segurança marcarem um alerta como fechado, ele será multiplicado por esse modificador de ponto flutuante. O intervalo é de 0 a 1. O valor padrão é 1.

  • Pontuação de risco padrão da detecção: especifique a pontuação de risco para detecções no mecanismo de regras. O intervalo é de 0 a 1.000. O valor padrão é 15.

Os seguintes parâmetros são especificados pelo Google SecOps:

  • Modificação da pontuação de risco com TTL: a pontuação de risco básica da entidade é modificada por um fator de multiplicação para o período.

  • Modificação da pontuação de risco sem TTL: a pontuação de risco de detecção é modificada com um fator de multiplicação.

Estas são as fórmulas usadas para calcular a pontuação de risco e a pontuação de risco normalizada:

  • Cálculo da pontuação de risco: (pontuação de risco básica da entidade) = (pontuação de risco máxima da descoberta) + (ponderação * (soma das pontuações de risco restantes das descobertas))

  • Pontuação de risco normalizada: as pontuações de risco básicas da entidade são normalizadas em todas as entidades. A pontuação de risco básica da entidade usa a normalização mínimo-máximo e varia de 1 a 1.000. As entidades com risco zero não estão incluídas.

Precedência de entidade para atribuir pontuação de risco

Ao atribuir a pontuação de risco, o Google SecOps usa um subconjunto de tipos de substantivos de nível superior principal, src, target e about e atribui uma pontuação de risco de acordo com os campos de alias dos subtipos de evento user e asset. A pontuação de riscos não é compatível com os tipos de entidade RESOURCE ou GROUP.

O Google SecOps atribui a pontuação de risco ao alias (indicador) mais confiável disponível para uma entidade em uma determinada janela de cálculo de risco. Os campos de alias de classificação mais alta têm precedência ao atribuir a pontuação de risco, sendo 1 a classificação mais alta. Se o alias de classificação mais alta não estiver disponível na janela de risco, o Google SecOps vai atribuir a pontuação ao próximo alias disponível de classificação mais alta.

Para campos de alias user, o Google SecOps usa a seguinte classificação ao atribuir a pontuação de risco:

  1. windows_sid
  2. email_addresses
  3. userid
  4. employee_id
  5. product_object_id

Para campos de alias asset, o Google SecOps usa a seguinte classificação ao atribuir a pontuação de risco:

  1. hostname
  2. mac
  3. asset_id
  4. ip
  5. product_object_id

Exemplo de cálculo da pontuação de risco

Veja a seguir a sequência completa de como uma pontuação de detecção de risco é calculada para uma entidade:

  1. Entrada: as detecções geradas por regras são agrupadas com base nos indicadores subjacentes.
  2. (Opcional) Coeficiente de alerta fechado: se a pontuação de risco de detecção for para um alerta fechado, ela será multiplicada pelo coeficiente de alerta fechado.
  3. (Opcional) Modificação da pontuação de risco padrão: se não for definida explicitamente em uma regra, a pontuação de risco padrão da detecção será aplicada. As pontuações de risco de detecção padrão com ou sem alerta podem ser alteradas nas configurações de pontuações de risco da entidade.
  4. (Opcional) Modificação de detecções compostas: por padrão, o Google SecOps atribui a pontuação de risco a todas as entidades nos eventos de amostra. Ela também atribui a pontuação a todas as entidades capturadas nas seções match e outcome da regra. Para atribuir a pontuação de risco a entidades específicas, especifique a variável de resultado $risk_entity_to_score na regra.
  5. Cálculo da pontuação de risco: o fator de ponderação é multiplicado pela soma de todas as detecções (exceto a pontuação máxima de risco de detecção) e, em seguida, adicionado à pontuação máxima de risco de detecção. Esse valor representa a pontuação de risco bruta da entidade.
  6. Peso da modificação: a pontuação de risco bruta da entidade é multiplicada pelo peso da modificação. Essa modificação é uma operação única, a menos que um TTL seja definido. Esse valor é a pontuação de risco básica da entidade.
  7. Peso da lista de monitoramento: se uma entidade fizer parte de uma lista de monitoramento, o peso dela será adicionado à pontuação de risco de detecção.
  8. Pontuação de risco normalizada: a pontuação de risco básica da entidade é normalizada em todas as entidades usando a normalização mínimo-máximo.

Configurações de pontuação de risco

A página Pontuações de risco da entidade permite definir como as pontuações de risco são calculadas para entidades, alertas e detecções. É possível aplicar ponderação aos cálculos de pontuação de risco da entidade e definir as pontuações de risco padrão para alertas e detecções. As mudanças só vão afetar novas detecções e alertas e podem levar até 30 minutos para serem aplicadas.

  • Ponderação da pontuação de risco da entidade: define como as pontuações de risco de alerta e detecção são consideradas nos cálculos da pontuação de risco da entidade. A ponderação é um valor de 0 a 1. A fórmula para a pontuação de risco básica da entidade é definida da seguinte maneira:

    Pontuação de risco básica da entidade = (pontuação de risco máxima da descoberta) + (ponderação * (soma das pontuações de risco restantes das descobertas))

  • Pontuações de risco padrão para alertas: especifique a pontuação de risco padrão do alerta na página Configurações. O padrão é 40. É possível modificar as pontuações de risco de alertas individuais nas próprias regras. Elas substituem os padrões configurados na página Configurações.

  • Pontuações de risco padrão para detecções: especifique a pontuação de risco de detecção padrão na página Configurações. O padrão é 15. É possível modificar as pontuações de risco de detecção individuais nas próprias regras. Elas substituem os padrões configurados na página Configurações.

Análise de risco quase em tempo real para clientes corporativos

Esse recálculo rápido permite usar o alerta baseado em risco (RBA, na sigla em inglês) para atender aos objetivos de nível de serviço (SLOs, na sigla em inglês) de alertas corporativos, minimizando o atraso na identificação e na resposta a recursos provavelmente comprometidos.

Resolução de MRI para pontuação de riscos na UEBA

Para a análise de comportamento de usuários e entidades (UEBA, na sigla em inglês), a lógica de resolução do indicador mais confiável (MRI, na sigla em inglês) identifica o identificador mais confiável para uma entidade compatível (usuário ou recurso) quando vários indicadores estão presentes. Esse processo é necessário para indexação e pontuação de riscos. A pontuação de riscos não é compatível com os tipos de entidade RESOURCE ou GROUP. Isso garante que o risco seja atribuído à identidade mais estável disponível para um usuário em diferentes fontes de dados. A resolução de MRI usa os seguintes processos para identificar o indicador mais confiável:

  • Prioridade com base no tipo: cada categoria de indicador tem um mapa de prioridade interna em que valores mais altos indicam maior confiabilidade. Por exemplo, WINDOWS_SID (prioridade 4) é inerentemente mais confiável do que o ID do funcionário (prioridade 1).
  • Desempate: se dois indicadores tiverem a mesma prioridade, o sistema vai comparar os nomes de exibição e os namespaces para decidir qual indicador é mais confiável.

Hierarquia de confiabilidade nos tipos de entidade

A hierarquia a seguir lista os indicadores disponíveis do mais confiável (prioridade 4) ao menos confiável (prioridade 0) em cada tipo de entidade.

  1. Indicadores do usuário
    1. SID do Windows: prioridade 4
    2. E-mail: prioridade 3
    3. Nome de usuário: prioridade 2
    4. ID do funcionário: prioridade 1
    5. ID do objeto do produto: prioridade 0
  2. Indicadores de recursos
    1. Nome do host: nomes de host de nível superior priorizados se configurados (prioridade 4)
    2. Endereço MAC: prioridade 3
    3. ID específico do produto ou código do recurso: prioridade 2
    4. Endereço IP do recurso: prioridade 1
    5. ID do objeto do produto: prioridade 0

Resolução do escopo da MRI

O escopo da resolução de RM é restrito aos seguintes tipos de entidade:

  • ASSET_IP_ADDRESS
  • MAC, HOSTNAME
  • PRODUCT_SPECIFIC_ID
  • EMAIL
  • NOME DE USUÁRIO
  • WINDOWS_SID
  • EMPLOYEE_ID
  • PRODUCT_OBJECT_ID.

Não usamos a resolução de RM com indicadores de processo e arquivo.

Variável de resultado risk_entity_to_score

Por padrão, o Google SecOps atribui a pontuação de risco a todas as entidades nos eventos de amostra. Ele também atribui a pontuação a todas as entidades capturadas nas seções match e outcome de uma regra. Para atribuir a pontuação de risco a entidades específicas, especifique a variável de resultado risk_entity_to_score na regra.

A variável de resultado risk_entity_to_score especifica a entidade a ser pontuada, não o campo em que a pontuação será exibida. Para evitar a fragmentação de riscos, o Google SecOps consolida os riscos no MRI disponível para a entidade selecionada em uma determinada janela de cálculo de risco. Se você especificar um identificador que não seja de MRI em risk_entity_to_score, o Google SecOps não vai atribuir a pontuação diretamente a esse identificador. Em vez disso, ele atualiza o MRI disponível para essa entidade na janela de risco.

Para mais informações, consulte a variável de resultado risk_entity_to_score.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.