調查資產

支援的國家/地區：

如要使用「資產」檢視畫面在 Google Security Operations 中調查資產，請按照下列步驟操作：

  1. 輸入要調查的資產主機名稱、用戶端 IP 位址或 MAC 位址：

    • 主機名稱：可以是簡短名稱 (例如 mattu)，也可以是完整名稱 (例如 mattu.ads.altostrat.com)。
    • 內部 IP 位址：用戶端的內部 IP 位址 (例如 10.120.89.92)。支援 IPv4 和 IPv6。
    • MAC 位址：企業內任何裝置的 MAC 位址 (例如 00:53:00:4a:56:07)。

  2. 輸入資產的時間戳記 (預設為目前的 UTC 時間和日期)。

  3. 按一下 [搜尋]。

資產檢視畫面

資產檢視畫面會提供環境中資產的事件和詳細資料，協助您取得洞察資訊。資產檢視畫面中的預設設定會因使用情境而異。舉例來說，如果您從特定快訊開啟「資產」檢視畫面，系統只會顯示與該快訊相關的資訊。

您可以調整「資產」檢視畫面，隱藏良性活動，並醒目顯示與調查相關的資料。以下說明是指「資產」檢視畫面中的使用者介面元素。

時間軸側欄清單

搜尋資產時，活動會回傳 2 小時的預設時間範圍。將游標懸停在標題類別列上，即可顯示每個資料欄的排序控制項，方便你依類別依字母順序或時間排序。使用時間滑桿調整時間範圍，或將游標懸停在「盛行率圖表」上時，捲動滑鼠滾輪。另請參閱時間滑桿和普及度圖表。

「網域」側欄清單

這份清單會顯示指定時間範圍內每個不同網域的首次查詢，有助於隱藏資產經常連線至網域所造成的干擾。

時間滑桿

時間滑桿可供調整要檢查的時間範圍。您可以調整滑桿，查看一分鐘到一天的事件 (您也可以將滑鼠游標懸停在「盛行程度圖表」上，然後使用滑鼠滾輪調整)。

「資產資訊」部分

本節提供資產的額外資訊，包括指定時間範圍內與特定主機名稱相關聯的用戶端 IP 和 MAC 位址。此外，還會提供資產首次在企業中出現的時間，以及上次收集資料的時間。

普及度圖表

「普及度」圖表會顯示企業中最近連線至所顯示網路網域的資產數量上限。大型灰色圓圈表示首次連線至網域。灰色小圓圈表示後續連線至相同網域。經常存取的網域會落在圖表底部，不常存取的網域則會升至頂端。圖表上顯示的紅色三角形與盛行率圖表下方指定時間的安全警示相關聯。

素材資源洞察區塊

「資產洞察」區塊會醒目顯示您可能想進一步調查的網域和快訊。這些資訊可提供額外背景資訊，說明可能觸發快訊的原因，並協助您判斷裝置是否遭入侵。「資產洞察」方塊會反映顯示的事件，並根據威脅關聯性而有所不同。

已轉送的快訊封鎖

現有安全基礎架構的快訊。這些警示在 Google SecOps 中會以紅色三角形標示，可能需要進一步調查。

新註冊網域封鎖

  • 利用 WHOIS 註冊中繼資料，判斷所查詢的資產是否查詢了最近註冊的網域 (搜尋時間範圍開始前 30 天內)。
  • 新近註冊的網域通常具有較高的威脅關聯性，因為這些網域可能是為了規避現有的安全篩選器而建立。顯示目前檢視畫面時間戳記的完整網域名稱 (FQDN)。例如：
    • John 的資產於 2018 年 5 月 29 日連結至 bar.example.com。
    • example.com 於 2018 年 5 月 4 日註冊。
    • 當您在 2018 年 5 月 29 日調查 John 的資產時，bar.example.com 會顯示為新註冊的網域。

「企業的新網域」區塊

  • 檢查貴公司的 DNS 資料，判斷資產是否查詢了貴公司無人造訪過的網域。例如：
    • Jane 的資產於 2018 年 5 月 25 日連結至 bad.altostrat.com。
    • 2018 年 5 月 10 日，有幾個其他資產造訪了 phishing.altostrat.com，但 2018 年 5 月 10 日前，您的機構中沒有 altostrat.com 或任何子網域的活動。
    • 在 2018 年 5 月 25 日調查 Jane 的資產時，「企業的新網域」洞察資料方塊下方會顯示 bad.altostrat.com。

封鎖低普及率網域

  • 查詢特定資產時，普及率偏低的網域摘要。
  • 完整網域名稱的洞察資料是根據其頂層私有網域 (TPD) 的普及程度而定，普及程度必須小於或等於 10。TPD 會考量公開尾碼清單{target="console"}。舉例來說：
    • Mike 的資產於 2018 年 5 月 26 日連結 test.sandbox.altostrat.com。
    • 由於 sandbox.altostrat.com 的普及度為 5，因此 test.sandbox.altostrat.com 會顯示在「普及度偏低的網域」洞察區塊下方。

「ET Intelligence Rep List」區塊

  • Proofpoint, Inc.{target="console"} 會發布新興威脅 (ET) 情資 Rep 清單，其中包含可疑的 IP 位址和網域。
  • 系統會根據目前時間範圍的資產與指標清單，比對網域。

美國國土安全部 AIS 封鎖

  • 美國國土安全部 (DHS) 自動指標分享 (AIS)。
  • DHS 彙整的網路威脅指標，包括惡意 IP 位址和網路釣魚電子郵件的寄件者地址。

快訊

下圖顯示與調查中的資產相關的第三方快訊。這些快訊可能來自熱門安全產品 (例如防毒軟體、入侵偵測系統和硬體防火牆)。在調查資產時，這些資訊可提供額外背景資訊。

素材資源洞察區塊 資產檢視畫面中的快訊

篩選資料

您可以透過預設篩選或程序篩選來篩選資料。

預設篩選

資產檢視畫面的時間範圍預設為兩小時。如果素材資源與警告調查有關，且您從警告調查中查看素材資源，「素材資源」檢視畫面就會自動篩選，只顯示適用於該調查的事件。

程序篩選

在程序篩選中，您可以根據事件類型、記錄來源、驗證類型、網路連線狀態和 PID 等欄位進行篩選。您可以調整調查的時間範圍和普及度圖表設定。透過普及程度圖表，您可以更輕鬆地找出網域連線和登入事件等事件中的離群值。

如要開啟「程序化篩選」選單，請按一下 Google SecOps 使用者介面右上角的 篩選 圖示 圖示。

程序篩選選單 程序篩選選單

如下圖所示，「程序化篩選」選單可讓你進一步篩選資產相關資訊，包括：

  • 普及度
  • 事件類型
  • 記錄檔來源
  • 網路連線狀態
  • 頂層網域 (TLD)

普及度指標可用來評估過去 7 天內，連結至特定網域的企業內部資產數量。連結至網域的資產越多，代表網域在企業內部的使用率越高。google.com 等高普及度的網域通常不太需要調查。

您可以使用「普遍程度」滑桿，篩除普遍程度高的網域，並專注於企業中較少資產存取的網域。最低「普及度」值為 1，也就是說，您可以專注於與企業內單一資產連結的網域。最大值會因企業擁有的資產數量而異。

將滑鼠游標懸停在項目上，即可顯示控制選項，方便您納入、排除或只查看與該項目相關的資料。如下圖所示，按一下 O 圖示，即可將控制項設為只顯示頂層網域 (TLD)。

查看頂層網域 對單一頂層網域進行程序篩選。

您也可以在「企業洞察」檢視畫面中找到「程序篩選」選單。

在時間軸中查看安全廠商資料

您可以使用程序篩選功能，在「資產」檢視畫面中查看特定安全廠商的資產事件。舉例來說，您可以使用「記錄來源」篩選器，專注於來自 Tanium 等安全廠商的事件。

然後從「時間軸」側欄查看 Tanium 事件。

如要瞭解如何建立資產命名空間，請參閱主要的「資產命名空間」文章。

注意事項

資產檢視畫面有下列限制：

  • 這個檢視畫面最多只能顯示 10 萬個事件。
  • 您只能篩選這個檢視畫面中顯示的事件。
  • 這個檢視畫面只會填入 DNS、EDR、Webproxy、快訊和使用者事件類型。 這個檢視畫面中填入的首次和上次出現資訊，也僅限於這些事件類型。
  • 一般事件不會顯示在任何精選檢視畫面中。這些參數只會顯示在原始記錄和 UDM 搜尋中。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。