管理實體屬性

本文說明如何在 Google Security Operations 中，直接從調查頁面新增或編輯實體擴充屬性，以利案件調查，在案件分析期間提高工作效率。單一實體最多可新增 100 個實體屬性。

實體屬性

實體是 Google SecOps 案件的重要元件，代表與安全性事件相關的物件。瞭解這些屬性是有效調查的關鍵。

實體和構件有幾項差異：

• 圖示：實體為藍色筆觸的黑色圖示，構件則為綠色圖示。
• 發生次數：同一實體通常在同一事件中最多出現兩次 (做為來源和目的地)。快訊中相同類型的構件數量沒有限制。
• 範圍：實體可以是內部 (位於機構的網路內) 或外部。構件一律為內部構件。

如需標準實體屬性的定義，請參閱「SOARInvolvedEntities」。

您可以新增屬性、編輯現有值，或在快訊中新增實體，藉此管理屬性。如需詳細資訊，請參閱：

• 新增實體屬性
• 編輯實體屬性
• 新增或加入現有實體

在各頁面新增或編輯實體屬性

在下列頁面新增或編輯實體擴充屬性：

• 調查：在案件檢視畫面中，按一下「探索」開啟「調查」頁面。
• 實體探索工具：在案件檢視畫面中，按一下「實體重點」小工具，然後選取相關實體。
• 案件 (實體重點)：在案件檢視畫面中，按一下「實體重點」小工具中的實體，然後按一下「查看更多」，即可開啟含有實體屬性的側邊抽屜。
• 案件 (實體圖表)：在案件檢視畫面中，依序點選「實體圖表」小工具和「實體」。側邊導覽匣會隨即開啟，並顯示實體屬性。

新增實體屬性

在調查過程中，請加入其他實體金鑰，讓案件調查更豐富。找出惡意軟體的類型，進一步瞭解威脅。這個範例說明如何建立名為 Malware_family 的新實體屬性。

如要新增實體屬性，請按照下列步驟操作：

1. 前往「案件」佇列。
2. 選取「發現病毒」或「發現安全風險」案件，然後按一下「探索」，開啟「調查」頁面。
3. 按一下「新增」。
4. 輸入 Malware_family 做為「鍵」，並輸入 Trojan.Generic 做為「值」。
5. 按一下「儲存」，新增實體屬性。

這項新功能可在案件調查期間，協助您進一步瞭解情況。

編輯實體屬性

這個範例的用途是：在與潛在惡意軟體威脅相關的案件中，檔案標示為可疑，但信心度偏低。執行 TI 擴充功能區塊和調查後，您確信檔案具有惡意，並想將 confidence_level 從「低」更新為「高」。

如要編輯實體屬性，請按照下列步驟操作：

1. 前往「案件」頁面。
2. 前往「發現病毒」或「發現安全性風險」案件，然後按一下「探索」開啟「調查」頁面。
3. 在「調查」頁面中，按一下「標記」檔案雜湊實體。
4. 將指標懸停在側邊抽屜中的 confidence_level 值上。
5. 按一下「more_vert」more_vert「更多」，然後選取「查看或編輯資源」。
6. 在「View or Edit Entity Property」對話方塊中，將「Confidence_level」的值從「Low」變更為「High」，醒目顯示雜湊實體的潛在風險。您也可以選取顯示格式，控制資料在側邊抽屜中的顯示方式。
7. 按一下 [儲存]。

實體的信賴水準會更新，並顯示在側邊抽屜中。

新增現有或新的實體

如要新增或現有實體，請按照下列步驟操作：

1. 依序點選「更多」圖示 more_vert「快訊選項」 ，然後選取「新增實體」。
2. 在「將實體新增至快訊」對話方塊中，從「新增現有實體」或「新增實體」中選取實體。
3. 輸入 ID，然後依序點選「新增」「套用」。