管理实体属性

本文档介绍了如何在 Google Security Operations 中调查案例时，直接从调查页面添加或修改实体丰富属性，以便在案例分析期间更高效地工作。您可以为单个实体添加最多 100 个实体属性。

实体属性

实体是 Google SecOps 案例中的关键组成部分，表示涉及安全性事件的对象。了解这些属性对于有效调查至关重要。

实体和制品在以下几个方面有所不同：

• 图标：实体具有带蓝色描边的黑色图标，而制品具有绿色图标。
• 出现次数：同一实体通常在同一事件中最多出现两次（作为来源和目的地）。一个提醒中相同类型的制品数量不受限制。
• 范围：实体可以是内部实体（位于组织的网络内），也可以是外部实体。制品始终是内部制品。

如需查看标准实体属性的定义，请参阅 SOARInvolvedEntities。

您可以通过添加新媒体资源、修改现有值或向提醒添加实体来管理媒体资源。有关详情，请参阅：

• 添加实体属性
• 修改实体属性
• 添加新实体或现有实体

在多个网页中添加或修改实体属性

在以下页面上添加或修改实体丰富属性：

• 调查：在问题视图中，点击探索以打开调查页面。
• 实体探索器：在支持请求视图中，点击实体突出显示 widget，然后选择相关实体。
• 支持请求（实体突出显示）：在支持请求视图中，点击实体突出显示 widget 中的实体，然后点击查看更多以打开包含实体属性的侧边抽屉。
• 案例（实体图）：在案例视图中，点击实体图 widget，然后点击实体。系统会打开一个侧边抽屉，其中包含实体属性。

添加实体属性

在调查过程中，请添加其他实体键以丰富您的案例调查。确定所使用的恶意软件类型，以便更好地了解威胁。此示例展示了如何创建名为 Malware_family 的新实体属性。

如需添加实体属性，请按以下步骤操作：

1. 前往支持请求队列。
2. 选择发现病毒或发现安全风险案例，然后点击探索以打开调查页面。
3. 依次点击添加 添加。
4. 输入 Malware_family 作为键，并输入 Trojan.Generic 作为值。
5. 点击保存以添加新的实体属性。

新的丰富化功能可在您调查支持请求时提供更深入的了解。

修改实体属性

此示例遵循一个应用场景，其中在与潜在恶意软件威胁相关的案例中，文件被标记为可疑，但置信度较低。运行 TI 扩充块并进行调查后，您确信该文件是恶意文件，并希望将 confidence_level 从 Low 更新为 High。

如需修改实体属性，请按以下步骤操作：

1. 前往支持请求页面。
2. 前往发现病毒或发现安全风险支持请求，然后点击探索以打开调查页面。
3. 在调查页面上，点击 tag File Hash Entity。
4. 将指针悬停在侧边抽屉中的 confidence_level 值上。
5. 点击 more_vert 更多，然后选择查看或修改媒体资源。
6. 在查看或修改实体属性对话框中，将 Confidence_level 的值从低更改为高，以突出显示哈希实体的潜在风险。您还可以选择显示格式，以控制数据在侧边抽屉中的显示方式。
7. 点击保存。

实体的置信度会更新并反映在侧边抽屉式导航栏中。

添加新实体或现有实体

如需添加新的或现有的实体，请按以下步骤操作：

1. 依次点击 more_vert 提醒选项，然后选择添加实体。
2. 在向提醒添加实体对话框中，选择一个实体，方法是点击添加现有实体或添加新实体。
3. 输入标识符，然后依次点击添加 添加 > 应用。