Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

调查提醒和实体上下文

支持范围：

Google SecOps SIEM

本指南适用于希望识别相关活动并根据提醒评估风险状况的调查人员。您可以使用本指南了解如何从提醒切换到实体的时间轴。成功的调查可以缩短复杂突发事件的分类时间，并帮助您首先专注于高影响威胁。

常见使用场景

本部分列出了一些常见的使用场景。

目标：通过评估相关实体的风险概况，确定哪些提醒需要立即上报。这种方法超越了按时间顺序处理的方式，可识别对组织构成最大威胁的提醒。

工作流：

结果：有限的 SOC 资源可以优先专注于影响重大的威胁。

目标：通过跟踪提醒的相关活动，了解突发事件的完整范围。通过跟踪整个环境中的相关活动，您可以绘制出被盗用的系统和账号之间的关系，从而直观地了解威胁是如何迁移的。

工作流：

结果：一份全面的突发事件地图，其中标识了受影响的系统和账号。

目标：通过将 UDM 事件与正常行为历史记录的基准进行比较，主动识别恶意行为。您可以识别内部通信和访问模式中的细微异常，这些异常表明攻击者正在网络中移动。

工作流：

结果：及早检测到绕过基于签名的提醒的威胁。

请确保您已做好以下准备：

完成以下步骤，手动将提醒关联到风险配置文件，并分析所涉及资产的历史活动。

确定警报中涉及的具体资产或用户，以此作为调查的起点。

前往提醒页面。
在检测表中，点击提醒名称以打开提醒页面。

注意：如果 Inputs 表仅显示文件哈希，您将看不到直接资产 ID。您必须使用该哈希运行 UDM 搜索，以识别与其关联的特定资产。
找到 Inputs（输入）表。
- 如果表包含实体，请执行以下操作：
  1. 点击实体名称，打开实体上下文标签页。
  2. 识别相关实体（例如，特定哈希、IP 地址或资产名称）。
  3. 复制资产 ID 或用户名。
- 如果表格包含检测或事件，请执行以下操作：
  1. 对于检测结果，点击检测行可查看底层事件。
  2. 点击事件行以打开事件查看器标签页。
  3. 在实体标签页中，确定相关实体（例如，特定哈希、IP 地址或资产名称）。
  注意：如果仅显示哈希，请运行 UDM 搜索，以识别与该哈希关联的特定资产。
  1. 复制提醒中标识的资产 ID 或用户名。

使用提醒中找到的标识符，在分析信息中心内访问实体的更广泛风险概况。

注意：如果您忽略时间轴，只关注单个提醒，可能会错过重叠的检测模式，而这些模式可能预示着更大规模、有组织的威胁。

本部分概述了性能预期，并提供了针对常见调查问题的自助修复方法。

请注意，由于同步延迟，新事件大约需要 10-15 分钟才能关联到时间轴。在此期间，请避免重新运行搜索或提交支持服务工单。

请参考下表来解决常见的调查缺口。

问题	说明	修复
缺少资产 ID	您的提醒仅显示文件哈希或 IP 地址，而没有关联的资产。	对该哈希或 IP 运行 UDM 搜索，以识别关联的 `principal.asset_id`。
空时间轴	该实体存在于 Risk Analytics 中，但未列出任何检测结果。	确保实体已触发检测。如果已完成，请验证您的 ECG 提取流水线是否处于活跃状态。

调查完成后，您可以选择使用 UDM 搜索来验证时间轴中找到的特定事件是否以原始日志的形式存在，从而确认关联的准确性。