Google SecOps 如何擴充事件和實體資料

本文說明 Google Security Operations 如何擴充資料，以及儲存資料的整合式資料模型 (UDM) 欄位。

為啟用安全調查，Google SecOps 會從不同來源擷取背景資料、分析資料，並提供客戶環境中構件的額外背景資訊。分析師可以在偵測引擎規則、調查搜尋或報表中使用內容豐富的資料。

Google SecOps 會執行下列類型的擴充作業：

• 使用實體圖表並合併，以充實實體。
• 計算每個實體的普遍程度統計資料，並據此擴充實體，指出實體在環境中的熱門程度。
• 計算環境中首次出現特定實體類型或最近一次出現的時間。
• 根據安全瀏覽威脅清單中的資訊擴充實體。
• 使用地理位置資料擴充事件。
• 使用 WHOIS 資料擴充實體。
• 使用 VirusTotal 檔案中繼資料充實事件內容。
• 使用 VirusTotal 關係資料擴充實體。
• 擷取及儲存 Google Cloud 威脅情報資料。

來自 WHOIS、安全瀏覽、GCTI 威脅情報、VirusTotal 中繼資料和 VirusTotal 關係的擴增資料會以 entity_type、product_name 和 vendor_name 標示。建立使用這類擴充資料的規則時，建議在規則中加入篩選器，找出要納入的特定擴充類型。這個篩選器有助於提升規則的效能。 舉例來說，在聯結 WHOIS 資料的規則 events 區段中，加入下列篩選條件欄位。

$enrichment.graph.metadata.entity_type = "DOMAIN_NAME"
$enrichment.graph.metadata.product_name = "WHOISXMLAPI Simple Whois"
$enrichment.graph.metadata.vendor_name = "WHOIS"

使用實體圖表和合併功能擴充實體

實體圖表會找出環境中實體和資源之間的關係。將不同來源的實體擷取到 Google SecOps 時，實體圖表會根據實體之間的關係維護鄰接清單。實體圖表會執行重複資料刪除和合併作業，以豐富內容。

在重複資料刪除程序中，系統會消除多餘資料並形成間隔，以建立通用實體。舉例來說，假設有兩個實體 e1 和 e2，時間戳記分別為 t1 和 t2。系統會對 e1 和 e2 實體進行重複資料刪除作業，且不會在作業期間使用不同的時間戳記。系統不會在重複資料刪除程序中使用下列欄位：

• collected_timestamp
• creation_timestamp
• interval

合併期間，系統會為一天時間間隔建立實體之間的關係。舉例來說，假設實體記錄 user A 有權存取 Cloud Storage 值區。另一個實體記錄是user A，該實體擁有裝置。合併後，這兩個實體會產生一個具有兩個關係的單一實體 user A。其中一個關係是 user A 有權存取 Cloud Storage bucket，另一個關係是 user A 擁有裝置。Google SecOps 建立實體背景資訊資料時，會回溯五天。這會處理延遲抵達的資料，並在實體內容資料上建立隱含的存留時間。

Google SecOps 會使用別名來充實遙測資料，並使用實體圖表來充實實體。偵測引擎規則會根據補充遙測資料合併實體，提供情境感知分析。

如果事件包含實體名詞，則視為實體。以下列舉部分事件類型和相應的實體類型：

• ASSET_CONTEXT 對應於 ASSET。
• RESOURCE_CONTEXT 對應於 RESOURCE。
• USER_CONTEXT 對應於 USER。
• GROUP_CONTEXT 對應於 GROUP。

實體圖表會使用威脅資訊，區分內容資料和入侵指標 (IOC)。

使用情境豐富的資料時，請注意下列實體圖表行為：

• 請勿在實體中新增間隔，而是讓實體圖表建立間隔。這是因為系統會在重複資料刪除期間產生間隔，除非另有指定。
• 如果指定間隔，系統只會將相同事件去重複，並保留最近的實體。
• 為確保即時規則和回溯搜尋功能正常運作，實體每天至少要擷取一次。
• 如果實體並非每天擷取，而是每隔兩天以上才擷取一次，即時規則可能仍能正常運作，但回溯搜尋可能會失去事件的脈絡。
• 如果實體每天的擷取次數超過一次，系統會將實體重複資料刪除，只保留一個實體。
• 如果某天的事件資料遺失，系統會暫時使用前一天的資料，確保即時規則正常運作。

實體圖表也會合併具有相似 ID 的事件，以取得資料的整合檢視畫面。系統會根據下列 ID 清單進行合併：

• Asset
  • entity.asset.product_object_id
  • entity.asset.hostname
  • entity.asset.asset_id
  • entity.asset.mac
• User
  • entity.user.product_object_id
  • entity.user.userid
  • entity.user.windows_sid
  • entity.user.email_addresses
  • entity.user.employee_id
• Resource
  • entity.resource.product_object_id
  • entity.resource.name
• Group
  • entity.group.product_object_id
  • entity.group.email_addresses
  • entity.group.windows_sid

計算使用率統計資料

Google SecOps 會對現有和傳入的資料執行統計分析，並使用與普遍程度相關的指標，擴充實體背景資訊記錄。

普遍程度是數值，表示實體的熱門程度。熱門程度的定義是存取構件 (例如網域、檔案雜湊或 IP 位址) 的資產數量。數字越大，實體越熱門。 舉例來說，google.com 的普遍程度值較高，因為存取頻率較高。如果網域的存取頻率不高，普遍程度值就會較低。較熱門的實體通常較不可能具有惡意。

網域、IP 和檔案 (雜湊) 皆支援這些經過擴充的值。系統會計算值並儲存在下列欄位中。

系統每天都會更新各實體的普遍程度統計資料。值會儲存在可供偵測引擎使用的獨立實體環境中，但不會顯示在 Google SecOps 的調查檢視畫面和 UDM 搜尋中。

建立 Detection Engine 規則時，可以使用下列欄位。

day_max 和 rolling_max 值的計算方式不同。這些欄位的計算方式如下：

• day_max 的計算方式為：在一天內，構件的最高盛行率分數。一天的定義為世界標準時間凌晨 12:00:00 至晚上 11:59:59。
• rolling_max 的計算方式為：在過去 10 天內，構件的每日最高普及率分數 (即 day_max)。
• day_count 用於計算 rolling_max，且一律為值 10。

計算網域的差異時，day_max 與 day_max_sub_domains (以及 rolling_max 與 rolling_max_sub_domains) 的差異如下：

• rolling_max 和 day_max 代表存取特定網域 (不含子網域) 的每日不重複內部 IP 位址數量。
• rolling_max_sub_domains 和 day_max_sub_domains 代表存取特定網域 (包括子網域) 的不重複內部 IP 位址數量。

系統會根據新擷取的實體資料計算普遍程度統計資料。系統不會對先前擷取的資料進行回溯計算。系統大約需要 36 小時計算及儲存統計資料。

計算實體的首次和上次出現時間

Google SecOps 會對傳入資料執行統計分析，並在實體首次和上次出現的時間，擴充實體內容記錄。「first_seen_time」 欄位會儲存實體首次出現在客戶環境中的日期和時間。last_seen_time 欄位會儲存最近一次觀察的日期和時間。

由於多個指標 (UDM 欄位) 可以識別資產或使用者，因此首次出現時間是指在客戶環境中，首次看到任何可識別使用者或資產的指標。

描述資產的所有 UDM 欄位如下：

• entity.asset.hostname
• entity.asset.ip
• entity.asset.mac
• entity.asset.asset_id
• entity.asset.product_object_id

以下是所有描述使用者的 UDM 欄位：

• entity.user.windows_sid
• entity.user.product_object_id
• entity.user.userid
• entity.user.employee_id
• entity.user.email_addresses

分析師可根據首次和最近一次發現的時間，找出網域、檔案 (雜湊)、資產、使用者或 IP 位址首次出現後發生的特定活動，或網域、檔案 (雜湊) 或 IP 位址最近一次出現後停止發生的活動。

first_seen_time 和 last_seen_time 欄位會填入描述網域、IP 位址和檔案 (雜湊) 的實體。如果是描述使用者或資產的實體，系統只會填入 first_seen_time 欄位。如果是描述其他類型 (例如群組或資源) 的實體，系統不會計算這些值。

系統會計算所有命名空間中每個實體的統計資料。 Google SecOps 不會計算個別命名空間中每個實體的統計資料。 目前不會將這些統計資料匯出至 BigQuery 中的 Google SecOps events 結構定義。

系統會計算並儲存下列 UDM 欄位中的擴充值：

使用地理位置資料擴充事件

傳入的記錄資料可能包含外部 IP 位址，但沒有對應的位置資訊。如果事件記錄的裝置活動資訊不在企業網路中，就可能發生這種情況。舉例來說，雲端服務的登入事件會根據電信業者 NAT 傳回的裝置外部 IP 位址，包含來源或用戶端 IP 位址。

Google SecOps 提供外部 IP 位址的地理位置資訊，可協助您更有效率地偵測規則，並在調查時掌握更多背景資訊。舉例來說，Google SecOps 可能會使用外部 IP 位址，在事件中加入國家/地區 (例如美國)、特定州別 (例如阿拉斯加) 和 IP 位址所屬網路 (例如 ASN 和電信業者名稱) 等資訊。

Google SecOps 會使用 Google 提供的位置資料，為 IP 位址提供概略的地理位置和網路資訊。您可以針對事件中的這些欄位編寫偵測引擎規則。系統也會將經過擴充的事件資料匯出至 BigQuery，供 Google SecOps 資訊主頁和報表使用。

系統不會擴充下列 IP 位址：

• RFC 1918 私人 IP 位址空間，因為這些位址空間屬於企業網路內部。
• RFC 5771 多點播送 IP 位址空間，因為多點播送位址不屬於單一位置。
• IPv6 專屬本機位址。
• Google Cloud 服務 IP 位址。例外狀況是 Google Cloud Compute Engine 外部 IP 位址，這些位址會經過擴充。

Google SecOps 會使用地理位置資料，擴充下列 UDM 欄位：

• principal
• target
• src
• observer

以下範例顯示會新增至 UDM 事件的地理資訊類型，該事件的 IP 位址已標記為荷蘭：

不一致

Google 專有的 IP 位址地理位置技術會結合網路資料和其他輸入內容與方法，為使用者提供 IP 位址位置和網路解析度。其他機構可能會使用不同的信號或方法，因此有時會得出不同的結果。

如果發生 Google 提供的 IP 地理位置結果不一致的情況，請提出客戶支援案件，以便我們進行調查，並視情況修正記錄。

使用安全瀏覽威脅清單中的資訊擴充實體

Google SecOps 會從安全瀏覽功能擷取與檔案雜湊值相關的資料。每個檔案的資料都會儲存為實體，並提供檔案的額外背景資訊。分析師可以建立 Detection Engine 規則，針對這個實體內容資料執行查詢，建構可感知內容的分析。

實體情境記錄會儲存下列資訊。

使用 WHOIS 資料擴充實體

Google SecOps 每天都會擷取 WHOIS 資料。在擷取傳入的客戶裝置資料時，Google SecOps 會根據 WHOIS 資料評估客戶資料中的網域。如果相符，Google SecOps 會將相關 WHOIS 資料與網域的實體記錄一併儲存。對於每個實體 (其中 entity.metadata.entity_type = DOMAIN_NAME)，Google SecOps 會使用 WHOIS 的資訊擴充實體。

Google SecOps 會將經過擴充的 WHOIS 資料填入實體記錄的下列欄位：

• entity.domain.admin.attribute.labels
• entity.domain.audit_update_time
• entity.domain.billing.attribute.labels
• entity.domain.billing.office_address.country_or_region
• entity.domain.contact_email
• entity.domain.creation_time
• entity.domain.expiration_time
• entity.domain.iana_registrar_id
• entity.domain.name_server
• entity.domain.private_registration
• entity.domain.registrant.company_name
• entity.domain.registrant.office_address.state
• entity.domain.registrant.office_address.country_or_region
• entity.domain.registrant.email_addresses
• entity.domain.registrant.user_display_name
• entity.domain.registrar
• entity.domain.registry_data_raw_text
• entity.domain.status
• entity.domain.tech.attribute.labels
• entity.domain.update_time
• entity.domain.whois_record_raw_text
• entity.domain.whois_server
• entity.domain.zone

如需這些欄位的說明，請參閱整合式資料模型欄位清單文件。

擷取及儲存 Google Cloud 威脅情報資料

Google SecOps 會從 Google Cloud 威脅情報 (GCTI) 資料來源擷取資料，為您提供環境中活動的背景資訊，以利調查。您可以查詢下列資料來源：

• GCTI Tor 結束節點：已知的 Tor 結束節點 IP 位址。
• GCTI Benign Binaries：屬於作業系統原始發行版本或由官方作業系統修補程式更新的檔案。這個資料來源會排除遭攻擊者濫用的部分官方作業系統二進位檔，這些二進位檔通常用於「以土地為生」攻擊，例如著重於初始進入媒介的二進位檔。

• GCTI 遠端存取工具：惡意行為者經常使用的檔案。這些工具通常是正當應用程式，但有時會遭到濫用，用來遠端連線至遭入侵的系統。

  這些情境資料會以實體形式儲存在全球各地。您可以使用偵測引擎規則查詢資料。在規則中加入下列 UDM 欄位和值，即可查詢這些全域實體：

• graph.metadata.vendor_name = Google Cloud Threat Intelligence

• graph.metadata.product_name = GCTI Feed

本文中的預留位置 <variable_name> 代表規則中用於識別 UDM 記錄的不重複變數名稱。

有時間限制與無時間限制 Google Cloud 威脅情報資料來源

Google Cloud 威脅情報資料來源分為「有時間性」或「無時間性」。

時間範圍資料來源的每個項目都與時間範圍相關聯。也就是說，如果系統在第 1 天產生偵測結果，在日後進行回溯搜尋時，第 1 天應該會產生相同的偵測結果。

無時間範圍的資料來源沒有相關聯的時間範圍。這是因為我們只應考量最新的資料集。無時效性資料來源通常用於檔案雜湊等預期不會變更的資料。如果第 1 天未產生任何偵測結果，第 2 天可能會在回溯搜尋期間，因為新增了項目而產生第 1 天的偵測結果。

Tor 結束節點 IP 位址的相關資料

Google SecOps 會擷取並儲存已知的 Tor 結束節點 IP 位址。Tor 結束節點是流量離開 Tor 網路的點。從這個資料來源擷取的資訊會儲存在下列 UDM 欄位中。這個來源中的資料會計時。

良性作業系統檔案的資料

Google SecOps 會擷取並儲存 GCTI Benign Binaries 資料來源的檔案雜湊值。從這個資料來源擷取的資訊會儲存在下列 UDM 欄位中。這個來源中的資料沒有時間限制。

遠端存取工具相關資料

遠端存取工具包括已知遠端存取工具的檔案雜湊值，例如惡意行為者經常使用的 VNC 用戶端。這些工具通常是正當應用程式，但有時會遭到濫用，用來從遠端連線至遭入侵的系統。從這個資料來源擷取的資訊會儲存在下列 UDM 欄位。這個來源中的資料沒有時間限制。

使用 VirusTotal 檔案中繼資料充實事件內容

Google SecOps 會將檔案雜湊值擴充至 UDM 事件，並在調查期間提供額外背景資訊。系統會在客戶環境中，透過雜湊別名擴充 UDM 事件。雜湊別名會合併所有類型的檔案雜湊，並在搜尋期間提供檔案雜湊的相關資訊。

整合 VirusTotal 檔案中繼資料和關係擴充功能與 Google SecOps，可用於識別惡意活動模式，以及追蹤網路中的惡意軟體移動情形。

原始記錄檔提供的檔案資訊有限。VirusTotal 會使用檔案中繼資料擴充事件，提供不良雜湊的傾印，以及不良檔案的中繼資料。中繼資料包括檔案名稱、類型、匯入的函式和標記等資訊。您可以在 UDM 搜尋和偵測引擎中使用 YARA-L，瞭解不良檔案事件，以及一般威脅搜尋期間的相關資訊。舉例來說，您可以偵測原始檔案是否經過修改，並匯入檔案中繼資料以偵測威脅。

系統會將下列資訊與記錄一併儲存。 如需所有 UDM 欄位的清單，請參閱「整合式資料模型欄位清單」。