Ungewöhnliches Verhalten und das Risiko von Identitäten erkennen

Unterstützt in:

Weitere Informationen In Systemen, die die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) verwenden, können nur Nutzer mit globalem Bereich auf die Risikoanalyse zugreifen. Weitere Informationen finden Sie unter Nutzerrollen.

Das Dashboard „Risikoanalyse“ besteht aus den folgenden Abschnitten:

Ein Risikoberechnungsfenster oben rechts ändert die berechnete Risikobewertung, die im Dashboard „Risikoanalyse“ angezeigt wird. Sie können diese Einstellung je nach Art des Angriffs ändern, nach dem Sie suchen. Brute-Force-Angriffe sind beispielsweise besser zu erkennen, wenn Sie das Risikoberechnungsfenster auf 24 Stunden festlegen. Wenn Sie einen langfristigen Angriff sehen möchten, legen Sie das Fenster für die Risikoberechnung auf 7 Tage fest.

Sie können historische Risikobewertungen aufrufen, indem Sie neben dem Risikoberechnungsfenster ein bestimmtes Datum und eine bestimmte Uhrzeit in der Datumsauswahl auswählen. Hier sehen Sie die für das 24-Stunden- oder 7‑Tages-Fenster berechneten Entitätsrisiken, die am ausgewählten Datum und zur ausgewählten Uhrzeit enden.

Hinweis

So rufen Sie das Dashboard „Risikoanalyse“ auf:

  1. Klicken Sie in der Navigationsleiste auf Erkennung.
  2. Klicken Sie unter Erkennung auf Risikoanalyse.

Verhaltensanalysen

Verhaltensanalysen bestehen aus:

Die Seite Verhaltensanalysen besteht aus:

  • Abschnitt Zusammenfassung der Messwerte: Eine Übersicht des Dashboards Risikoanalyse, mit der Sie Risikoentitäten basierend auf der Google SecOps-Modellierung des Entitätenrisikos untersuchen können. In der Zusammenfassung können bis zu 10.000 Elemente angezeigt werden.
  • Entitäten: Eine Tabelle, die die vorhandene Risikobewertung ergänzt, um das Risiko einer Entität im Zeitverlauf zu verfolgen, als Messwert für Erkennungsanwendungsfälle und als Kontext für die Untersuchung. Diese werden auch als Messwerte für das Risiko von Einheiten bezeichnet. Eine Einheit ist eine kontextbezogene Darstellung von Elementen in Ihrer Umgebung. Beispiele für Entitäten sind Nutzerkonten, Server, Laptops oder Smartphones. Sie können die Daten für jede Einheit aufschlüsseln, indem Sie auf den Namen der Einheit klicken. Sie werden zur Seite Entity Analytics weitergeleitet.

Weitere Informationen zu Entitäten finden Sie unter Logische Objekte: Ereignis und Entität. Weitere Informationen zur Berechnung von Risikobewertungen finden Sie unter Berechnung von Risikobewertungen.

Entitätsanalysen

Die Seite Entity Analytics (Analyse von Rechtssubjekten) besteht aus dem Fenster Event range (Ereignisbereich) oben rechts, dem Bereich Findings Timeline (Zeitachse der Ergebnisse) und der detaillierten Tabelle Findings (Ergebnisse).

Zeitraum für die Analyse von Risiken auswählen

  1. Wählen Sie im Fenster Ereigniszeitraum einen Zeitraum von bis zu 90 Tagen aus („Letzte 3 Monate“).
  2. Klicken Sie unter Auswahl auf Analysen für Auswahl ansehen. Daraufhin wird eine Seitenleiste geöffnet, in der die Analysen für diese Einheit im ausgewählten Zeitraum angezeigt werden. Jede Analyse enthält eine Aggregation aller Analysewerte innerhalb des Zeitraums.
  3. Klicken Sie auf Weitere Informationen, um die entsprechende Ansicht „Benachrichtigungen“ oder „Erkennung“ zu öffnen. Wenn eine Analyse erkannt wird, enthält sie eine Liste der zugehörigen Warnungen und Erkennungen, die weiter untersucht werden können.

Zusammengesetzte Erkennungen ansehen

In der Tabelle Erkennungen werden alle Erkennungen für eine Entität angezeigt, die im ausgewählten Zeitraum aufgetreten sind. Eine Benachrichtigung ist eine zusammengesetzte Erkennung, wenn:

  • In der Spalte Eingaben wird Erkennung als Quelle angezeigt.

  • In der Spalte Erkennungstyp wird das Label Warnung oder Erkennung mit einer Zahl daneben angezeigt, z. B. Alert (3).

Das bedeutet, dass die Warnung durch eine Erkennung oder eine Kette von Erkennungen ausgelöst wurde und nicht durch Rohereignisse oder Entitäten allein.

Sie können diese zugrunde liegenden Erkennungen in der Tabelle Erkennungen mit den folgenden Funktionen ansehen und analysieren:

  • Maximieren Sie Zeilen, um verschachtelte Erkennungen, zugehörige Ereignisdaten und zugehörige Informationen zu Entitäten aufzurufen.

  • Mit dem Spaltenmanager können Sie die Ansicht anpassen, indem Sie Spalten in der Tabelle auswählen und anordnen.

Weitere Informationen finden Sie unter Benachrichtigung untersuchen.

Anwendungsbereiche

Hier sind einige Anwendungsfälle für das Dashboard „Risikoanalyse“.

Anwendungsfall 1: Hohes Downloadvolumen

Ein hohes Downloadvolumen birgt das Risiko, dass vertrauliche Informationen preisgegeben werden. Google SecOps berechnet hohe Risikobewertungszahlen für Entitäten mit hohem Downloadvolumen.

Anwendungsfall 2: Verdächtige Anzahl fehlgeschlagener Anmeldeversuche

Eine verdächtige Anzahl fehlgeschlagener Anmeldeversuche deutet darauf hin, dass ein Hacker oder Schadsoftware versucht, auf ein Nutzerkonto zuzugreifen. Google SecOps berechnet Zahlen für den Risikowert für Entitäten mit einer verdächtigen Anzahl fehlgeschlagener Anmeldeversuche. Wenn dies jedoch intern im Rahmen von Penetrationstests erfolgt, können Sie die Risikobewertung der Identität ändern.

Anwendungsfall 3: Dialogfeld, in dem sich jemand als Google ausgibt

In einer Dialogfeldmeldung, die sich als Google ausgibt und Nutzer auffordert, den Chrome-Browser zu aktualisieren, wird versucht, Zugriff auf Nutzerkonten zu erhalten. Google SecOps berechnet hohe Risikobewertungszahlen für Entitäten, bei denen diese Dialogfeldmeldungen im Code erkannt werden.

Nächste Schritte

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten