Google Security Operations가 이벤트 및 항목 데이터를 보강하는 방법

이 문서에서는 Google Security Operations에서 데이터를 보강하는 방법과 데이터가 저장되는 통합 데이터 모델(UDM) 필드를 설명합니다.

보안 조사를 위해 Google Security Operations는 다양한 소스의 문맥 데이터를 수집하고 데이터에 대한 분석을 수행하며 고객 환경의 아티팩트에 대한 추가 컨텍스트를 제공합니다. 애널리스트는 Detection Engine 규칙, 조사 검색 또는 보고서에서 컨텍스트가 풍부한 데이터를 사용할 수 있습니다.

Google Security Operations에서는 다음 유형의 보강을 수행합니다.

• 항목 그래프를 사용하고 병합하여 항목을 보강합니다.
• 환경에서의 인기도를 나타내는 보급 통계를 사용하여 각 항목을 계산하고 보강합니다.
• 특정 항목 유형이 환경에서 처음 표시된 시간 또는 가장 최근 표시된 시간을 계산합니다.
• 세이프 브라우징 위협 목록의 정보로 항목을 보강합니다.
• 위치정보 데이터로 이벤트를 보강합니다.
• WHOIS 데이터로 항목을 보강합니다.
• VirusTotal 파일 메타데이터로 이벤트를 보강합니다.
• VirusTotal 관계 데이터로 항목을 보강합니다.
• Google Cloud 위협 인텔리전스 데이터 수집 및 저장

WHOIS, 세이프 브라우징, GCTI 위협 인텔리전스, VirusTotal 메타데이터, VirusTotal 관계의 보강 데이터는 event_type, product_name, vendor_name으로 식별됩니다. 이 보강 데이터를 사용하는 규칙을 만들 때는 포함할 특정 보강 유형을 식별하는 필터를 규칙에 포함하는 것이 좋습니다. 이 필터는 규칙의 성능을 개선하는 데 도움이 됩니다. 예를 들어 WHOIS 데이터를 조인하는 규칙의 events 섹션에 다음 필터 필드를 포함합니다.

$enrichment.graph.metadata.entity_type = "DOMAIN_NAME"
$enrichment.graph.metadata.product_name = "WHOISXMLAPI Simple Whois"
$enrichment.graph.metadata.vendor_name = "WHOIS"

항목 그래프를 사용하고 병합하여 항목 보강

항목 그래프는 환경의 항목과 리소스 간의 관계를 식별합니다. 다른 소스의 항목이 Google Security Operations에 수집되면 항목 그래프는 항목 간의 관계를 기반으로 인접 목록을 유지합니다. 항목 그래프는 중복 삭제 및 병합을 수행하여 컨텍스트 보강을 수행합니다.

중복 삭제 중 중복 데이터가 제거되고 공통 항목을 만들도록 간격이 형성됩니다. 예를 들어 t1 및 t2 타임스탬프가 각각 있는 두 항목 e1 및 e2가 있다고 가정해 보겠습니다. 항목 e1 및 e2는 중복 삭제되고 다른 타임스탬프는 중복 삭제 중에 사용되지 않습니다. 다음 필드는 중복 삭제 중에 사용되지 않습니다.

• collected_timestamp
• creation_timestamp
• interval

병합하는 동안 항목 간 관계는 하루 시간의 시간 간격으로 구성됩니다. 예를 들어 Cloud Storage 버킷에 액세스할 수 있는 user A의 항목 레코드가 있다고 가정해 보겠습니다. 기기를 소유한 user A의 다른 항목 레코드가 있습니다. 병합 후 이러한 두 항목은 관계가 두 개 있는 단일 항목 user A가 됩니다. 한 관계는 user A가 Cloud Storage 버킷에 액세스할 수 있고 다른 관계는 user A가 기기를 소유한다는 것입니다. Google Security Operations는 항목 컨텍스트 데이터를 만들 때 5일 간 확인 작업을 수행합니다. 이는 늦게 도착하는 데이터를 처리하고 항목 컨텍스트 데이터에 대한 암시적 TTL(수명)을 만듭니다.

Google Security Operations에서는 별칭을 사용하여 원격 분석 데이터를 보강하고 항목 그래프를 사용하여 항목을 보강합니다. 감지 엔진 규칙은 병합된 항목을 보강된 원격 분석 데이터에 조인하여 컨텍스트 인식 분석을 제공합니다.

항목 명사가 포함된 이벤트는 항목으로 간주됩니다. 다음은 몇 가지 이벤트 유형과 해당 항목 유형입니다.

• ASSET_CONTEXT는 ASSET에 해당합니다.
• RESOURCE_CONTEXT는 RESOURCE에 해당합니다.
• USER_CONTEXT는 USER에 해당합니다.
• GROUP_CONTEXT는 GROUP에 해당합니다.

항목 그래프는 위협 정보를 사용하여 문맥 데이터와 침해 지표(IOC)를 구분합니다.

문맥적으로 보강된 데이터를 사용할 때는 다음과 같은 항목 그래프 동작을 고려하세요.

• 항목에 간격을 추가하지 마세요. 대신 항목 그래프를 사용하여 간격을 만들 수 있습니다. 별도로 지정하지 않는 한 중복 삭제 중에 간격이 생성되기 때문입니다.
• 간격을 지정하면 같은 이벤트만 중복 삭제되고 최신 항목은 보관됩니다.
• 실시간 규칙 및 RetroHunt가 예상대로 작동하게 하려면 항목이 최소한 하루에 한 번 이상 수집되어야 합니다.
• 항목이 매일 수집되지 않고 2일 이상에 한 번 수집되면 실시간 규칙이 예상대로 작동할 수 있지만 RetroHunt에서 이벤트 컨텍스트가 손실될 수 있습니다.
• 항목이 하루에 두 번 이상 수집되면 항목은 단일 항목이 되도록 중복 삭제됩니다.
• 이벤트 데이터가 하루 동안 누락되면 실시간 규칙이 올바르게 작동하도록 과거 데이터가 일시적으로 사용됩니다.

또한 항목 그래프는 식별자가 유사한 이벤트를 병합하여 통합된 데이터 뷰를 가져옵니다. 이 병합은 다음 식별자 목록을 기반으로 수행됩니다.

• Asset
  • entity.asset.product_object_id
  • entity.asset.hostname
  • entity.asset.asset_id
  • entity.asset.mac
• User
  • entity.user.product_object_id
  • entity.user.userid
  • entity.user.windows_sid
  • entity.user.email_addresses
  • entity.user.employee_id
• Resource
  • entity.resource.product_object_id
  • entity.resource.name
• Group
  • entity.group.product_object_id
  • entity.group.email_addresses
  • entity.group.windows_sid

발생률 통계 계산

Google Security Operations는 기존 데이터 및 수신 데이터에 대한 통계 분석을 수행하고 발생률 관련 측정항목으로 항목 컨텍스트 레코드를 보강합니다.

발생률은 항목의 인기도를 나타내는 숫자 값입니다. 인기도는 도메인, 파일 해시 또는 IP 주소와 같은 아티팩트에 액세스하는 애셋 수로 정의됩니다. 숫자가 클수록 항목의 인기도가 높습니다. 예를 들어 google.com은 자주 액세스되므로 발생률 값이 높습니다. 도메인에 자주 액세스하지 않으면 발생률 값이 낮아집니다. 인기 있는 항목은 일반적으로 악성일 가능성이 낮습니다.

이러한 보강된 값은 도메인, IP, 파일(해시)에 지원됩니다. 값이 계산되어 다음 필드에 저장됩니다.

각 항목의 발생률 통계는 매일 업데이트됩니다. 값은 감지 엔진에서 사용할 수 있는 별도의 항목 컨텍스트에 저장되지만 Google Security Operations 조사 뷰와 UDM 검색에 표시되지 않습니다.

감지 엔진 규칙을 만들 때 다음 필드를 사용할 수 있습니다.

day_max 및 rolling_max 값은 다르게 계산됩니다. 필드는 다음과 같이 계산됩니다.

• day_max는 하루 동안 아티팩트의 최대 발생률 점수로 계산되며, 하루는 오전 12:00:00~오후 11:59:59(UTC)로 정의됩니다.
• rolling_max는 이전 10일 동안의 아티팩트에서 일일 최대 발생률 점수(예: day_max)로 계산됩니다.
• day_count는 rolling_max를 계산하는 데 사용되며 값은 항상 10입니다.

도메인에 대해 계산할 때 day_max와 day_max_sub_domains(및 rolling_max와 rolling_max_sub_domains)의 차이는 다음과 같습니다.

• rolling_max 및 day_max는 지정된 도메인에 액세스하는 일일 순 내부 IP 주소 수를 나타냅니다(하위 도메인 제외).
• rolling_max_sub_domains 및 day_max_sub_domains는 지정된 도메인(하위 도메인 포함)에 액세스하는 순 내부 IP 주소의 수를 나타냅니다.

발생률 통계는 새로 수집된 항목 데이터에 대해 계산됩니다. 계산은 이전에 수집된 데이터에 대해 소급해서 수행되지 않습니다. 통계를 계산하고 저장하는 데 약 36시간 걸립니다.

항목의 최초 발견 시간 및 최근 발견 시간 계산

Google Security Operations에서는 수신 데이터에 대한 통계 분석을 수행하고 항목의 최초 발견 시간 및 최근 발견 시간으로 항목 컨텍스트 레코드를 보강합니다. first_seen_time 필드에는 항목이 고객 환경에서 처음 표시된 날짜와 시간이 저장됩니다. last_seen_time 필드에는 가장 최근 관찰 날짜와 시간이 저장됩니다.

다중 표시기(UDM 필드)가 애셋 또는 사용자를 식별할 수 있으므로, 최초 발생 시간이란 고객 환경에서 해당 사용자 또는 애셋을 식별하는 표시기가 처음 표시되는 시간입니다.

애셋을 설명하는 모든 UDM 필드는 다음과 같습니다.

• entity.asset.hostname
• entity.asset.ip
• entity.asset.mac
• entity.asset.asset_id
• entity.asset.product_object_id

사용자를 설명하는 모든 UDM 필드는 다음과 같습니다.

• entity.user.windows_sid
• entity.user.product_object_id
• entity.user.userid
• entity.user.employee_id
• entity.user.email_addresses

최초 발생 시간 및 최종 확인 시간을 통해 애널리스트는 도메인, 파일(해시), 애셋, 사용자 또는 IP 주소가 처음 확인된 후에 발생하거나 도메인, 파일(해시), IP 주소가 마지막으로 확인된 시간 후에 발생이 멈춘 특정 활동들 사이의 상관관계를 파악할 수 있습니다.

first_seen_time 및 last_seen_time 필드는 도메인, IP 주소, 파일(해시)을 설명하는 항목으로 채워집니다. 사용자 또는 애셋을 설명하는 항목의 경우 first_seen_time 필드만 채워집니다. 이러한 값은 그룹이나 리소스와 같은 다른 유형을 설명하는 항목에 대해서는 계산되지 않습니다.

통계는 모든 네임스페이스의 각 항목에 대해 계산됩니다. Google Security Operations에서는 개별 네임스페이스 내의 각 항목에 대한 통계를 계산하지 않습니다. 이러한 통계를 현재 BigQuery의 Google Security Operations events 스키마로 내보내지 않습니다.

보강된 값은 계산되어 다음 UDM 필드에 저장됩니다.

위치정보 데이터로 이벤트 보강

수신 로그 데이터에는 해당 위치 정보 없이 외부 IP 주소가 포함될 수 있습니다. 이는 이벤트가 엔터프라이즈 네트워크에 있지 않은 기기 활동에 관한 정보를 로깅하는 경우에 일반적입니다. 예를 들어 클라우드 서비스에 대한 로그인 이벤트에는 이동통신사 NAT에서 반환한 기기의 외부 IP 주소를 기반으로 하는 소스 또는 클라이언트 IP 주소가 포함됩니다.

Google Security Operations에서는 외부 IP 주소에 대한 위치정보가 보강된 데이터를 제공하여 보다 강력한 규칙 감지 및 조사를 위한 더 많은 컨텍스트를 확보할 수 있습니다. 예를 들어 Google Security Operations는 외부 IP 주소를 사용하여 국가(예: 미국), 특정 주(예: 알래스카), IP 주소가 있는 네트워크(예: ASN 및 이동통신사 이름)에 대한 정보로 이벤트를 보강할 수 있습니다.

Google Security Operations에서는 Google에서 제공하는 위치 데이터를 사용하여 IP 주소의 대략적인 지리적 위치와 네트워크 정보를 제공합니다. 이벤트의 이러한 필드에 대해 감지 엔진 규칙을 작성할 수 있습니다. 또한 보강된 이벤트 데이터는 BigQuery로 내보내져 Google Security Operations 대시보드 및 보고에서 사용할 수 있습니다.

다음 IP 주소는 보강되지 않습니다.

• RFC 1918 비공개 IP 주소 공간. 기업 네트워크 내부에 있기 때문입니다.
• RFC 5771 멀티캐스트 IP 주소 공간. 멀티캐스트 주소는 단일 위치에 속하지 않기 때문입니다.
• IPv6 고유 로컬 주소
• Google Cloud 서비스 IP 주소. 보강된 Google Cloud Compute Engine 외부 IP 주소는 예외입니다.

Google Security Operations는 위치정보 데이터로 다음 UDM 필드를 보강합니다.

• principal
• target
• src
• observer

다음 예는 IP 주소가 네덜란드로 태그된 UDM 이벤트에 추가되는 지리적 정보 유형을 보여줍니다.

불일치

Google의 독점적 IP 위치정보 기술은 네트워킹 데이터와 기타 입력 및 메서드를 함께 사용해 사용자에게 IP 주소 위치와 네트워크 변환을 제공합니다. 다른 조직에서는 다른 신호나 방법을 사용할 수 있으며, 이로 인해 때때로 다른 결과가 나올 수 있습니다.

Google에서 제공하는 IP 위치정보 결과에 불일치가 발생하는 경우, Google에서 조사하고 해당하는 경우 기록을 수정할 수 있도록 고객 지원 케이스를 제출하세요.

세이프 브라우징 위협 목록에서 정보로 항목 보강

Google Security Operations에서는 파일 해시와 관련된 세이프 브라우징의 데이터를 수집합니다. 각 파일의 데이터는 항목으로 저장되고 파일에 대한 추가적인 정보를 제공합니다. 애널리스트는 이 항목 컨텍스트 데이터에 대해 쿼리하는 감지 엔진 규칙을 만들어 문맥 인지 분석을 빌드할 수 있습니다.

다음 정보가 항목 컨텍스트 레코드와 함께 저장됩니다.

WHOIS 데이터로 항목 보강

Google Security Operations는 WHOIS 데이터를 매일 수집합니다. 수신되는 고객 기기 데이터를 수집하는 동안 Google Security Operations는 고객 데이터의 도메인을 WHOIS 데이터와 비교하여 평가합니다. 일치하는 항목이 있으면 Google Security Operations에서 관련 WHOIS 데이터를 도메인의 항목 레코드와 함께 저장합니다. entity.metadata.entity_type = DOMAIN_NAME인 각 항목에 대해 Google Security Operations는 WHOIS의 정보로 항목을 보강합니다.

Google Security Operations는 항목 레코드의 다음 필드에 보강된 WHOIS 데이터를 채웁니다.

• entity.domain.admin.attribute.labels
• entity.domain.audit_update_time
• entity.domain.billing.attribute.labels
• entity.domain.billing.office_address.country_or_region
• entity.domain.contact_email
• entity.domain.creation_time
• entity.domain.expiration_time
• entity.domain.iana_registrar_id
• entity.domain.name_server
• entity.domain.private_registration
• entity.domain.registrant.company_name
• entity.domain.registrant.office_address.state
• entity.domain.registrant.office_address.country_or_region
• entity.domain.registrant.email_addresses
• entity.domain.registrant.user_display_name
• entity.domain.registrar
• entity.domain.registry_data_raw_text
• entity.domain.status
• entity.domain.tech.attribute.labels
• entity.domain.update_time
• entity.domain.whois_record_raw_text
• entity.domain.whois_server
• entity.domain.zone

이러한 필드에 대한 설명은 통합 데이터 모델 필드 목록 문서를 참조하세요.

Google Cloud 위협 인텔리전스 데이터 수집 및 저장

Google Security Operations는 해당 환경에서 활동을 조사할 때 사용할 수 있는 컨텍스트 정보를 제공하는 Google Cloud 위협 인텔리전스(GCTI) 데이터 소스에서 데이터를 수집합니다. 다음 데이터 소스를 쿼리할 수 있습니다.

• GCTI Tor 종료 노드: 알려진 Tor 종료 노드인 IP 주소입니다.
• GCTI Benign 바이너리: 운영체제 기본 배포의 일부이거나 공식 운영체제 패치에 의해 업데이트된 파일입니다. 자급자족식 공격에서 흔히 사용되는 활동을 통해 공격자가 악용한 일부 공식 운영체제 바이너리(예: 초기 진입 벡터에 중점을 둔 바이너리)는 이 데이터 소스에서 제외됩니다.

• GCTI 원격 액세스 도구: 악의적인 행위자가 자주 사용한 파일입니다. 이러한 도구는 일반적으로 합법적인 애플리케이션이지만 때때로 손상된 시스템에 원격으로 연결하기 위해 악용되는 경우가 있습니다.

  이 문맥 데이터는 전역적으로 항목으로 저장됩니다. 감지 엔진 규칙을 사용하여 데이터를 쿼리할 수 있습니다. 이러한 글로벌 항목을 쿼리하려면 규칙에 다음 UDM 필드와 값을 포함합니다.

• graph.metadata.vendor_name = Google Cloud Threat Intelligence

• graph.metadata.product_name = GCTI Feed

이 문서에서 자리표시자 <variable_name>은 규칙에서 UDM 레코드를 식별하는 데 사용되는 고유한 변수 이름을 나타냅니다.

시간 표시 Google Cloud 위협 인텔리전스 데이터 소스와 시간 표시가 없는 Google Cloud 위협 인텔리전스 데이터 소스

Google Cloud 위협 인텔리전스 데이터 소스는 시간 표시가 있는 데이터 소스 또는 시간 표시가 없는 데이터 소스입니다.

시간 표시 데이터 소스에는 각 항목과 연결된 시간 범위가 있습니다. 즉, 1일 차에 감지가 생성되면 향후 어느 날이든 RetroHunt 중에 1일 차에 대해 동일한 감지가 생성될 것으로 예상됩니다.

시간 표시가 없는 데이터 소스에는 연결된 기간이 없습니다. 이는 최신 데이터 세트만 고려해야 하기 때문입니다. 시간 표시가 없는 데이터 소스는 변경되지 않을 것으로 예상되는 파일 해시와 같은 데이터에 자주 사용됩니다. 1일 차에 감지가 생성되지 않은 경우 새 항목이 추가되었기 때문에 RetroHunt 중에 2일 차에 1일 차에 대한 감지가 생성될 수 있습니다.

Tor 종료 노드 IP 주소에 관한 데이터

Google Security Operations는 알려진 Tor 종료 노드인 IP 주소를 수집하고 저장합니다. Tor 종료 노드는 트래픽이 Tor 네트워크를 나가는 지점입니다. 이 데이터 소스에서 수집된 정보는 다음 UDM 필드에 저장됩니다. 이 소스의 데이터에는 시간이 표시됩니다.

무해한 운영체제 파일에 관한 데이터

Google Security Operations는 GCTI Benign 바이너리 데이터 소스에서 파일 해시를 수집하고 저장합니다. 이 데이터 소스에서 수집된 정보는 다음 UDM 필드에 저장됩니다. 이 소스의 데이터에는 시간이 표시되지 않습니다.

원격 액세스 도구에 관한 데이터

원격 액세스 도구에는 악의적인 행위자가 자주 사용하는 VNC 클라이언트와 같은 알려진 원격 액세스 도구의 파일 해시가 포함됩니다. 이러한 도구는 일반적으로 합법적인 애플리케이션이지만 때때로 손상된 시스템에 원격으로 연결하기 위해 악용되는 경우가 있습니다. 이 데이터 소스에서 수집된 정보는 다음 UDM 필드에 저장됩니다. 이 소스의 데이터에는 시간이 표시되지 않습니다.

VirusTotal 파일 메타데이터로 이벤트 보강

Google Security Operations는 파일 해시를 UDM 이벤트로 보강하고 조사 중 추가 컨텍스트를 제공합니다. UDM 이벤트는 고객 환경의 해시 별칭을 통해 보강됩니다. 해시 별칭은 모든 유형의 파일 해시를 결합하고 검색 중 파일 해시에 대한 정보를 제공합니다.

VirusTotal 파일 메타데이터 및 관계 보강을 Google SecOps와 통합하면 악성 활동의 패턴을 식별하고 네트워크 전반에서 멀웨어 이동을 추적하는 데 사용할 수 있습니다.

원시 로그는 파일에 관한 제한된 정보를 제공합니다. VirusTotal은 파일 메타데이터로 이벤트를 보강하여 잘못된 파일에 관한 메타데이터와 함께 잘못된 해시의 덤프를 제공합니다. 메타데이터에는 파일 이름, 유형, 가져온 함수, 태그와 같은 정보가 포함됩니다. 이 정보를 YARA-L과 함께 UDM 검색 및 탐지 엔진에 사용하여 잘못된 파일 이벤트를 파악하고 일반적으로 위협 헌팅 중에 사용할 수 있습니다. 예시 사용 사례에서는 원본 파일의 수정사항을 감지하고 위협 감지를 위해 파일 메타데이터를 가져옵니다.

다음 정보가 레코드와 함께 저장됩니다. 모든 UDM 필드 목록은 통합 데이터 모델 필드 목록을 참조하세요.