谷歌扩展了Google Cloud的Chronicle网络安全分析工具,增加了威胁检测和警报功能

2020-09-24 02:51:10

谷歌正式将其纪事网络安全平台扩展到威胁检测领域,并承诺为企业带来“谷歌规模的威胁分析”。

编年史最初是作为Alphabet神秘的X部门的内部项目开发的,2018年作为一家独立的网络安全公司推出。去年6月,Chronicle被谷歌云(Google Cloud)吞并,成为吸引云竞争对手企业客户的潜在胡萝卜棒,承诺提供更全面的网络安全智能。

“纪事报”的核心是机器学习算法,它可以分析大量数据,以便更快地识别安全威胁。最初,《纪事报》更多地关注威胁搜索和调查,并假设客户正在接收来自其他地方的警报,这些警报将启动他们的调查。然而,早在2月份,谷歌就启动了主动威胁检测和警报功能。

谷歌云安全营销主管里克·卡西亚(Rick Caccia)在接受VentureBeat采访时表示:“我们的计划一直是在调查之外增加提供高级检测的能力,即创建我们自己的警报。”

这包括推出智能数据融合,将新的数据模型与自动将多个“事件”连接到单一统一时间表的能力相结合。此外,谷歌还宣布,纪事将使用Yara-L检测威胁,Yara-L是一种新的基于规则的语言,用于描述复杂的威胁行为-这是受到Yara的启发,Yara是一家名为VirusTotal的恶意软件扫描公司开发的工具,谷歌于2012年收购了该公司。

快进到今天的发布,Google现在正式推出Chronicle Detect,被吹捧为企业“以前所未有的速度和规模识别威胁”的解决方案。在谷歌之前公布的基础上,谷歌表示,其规则引擎现在可以处理更复杂的事件分析,同时它还扩大了Yara-L行为描述的范围,并根据Mitre ATT;CK知识库中列出的现代威胁类型对其进行了“调整”。

Chronicle允许网络安全专业人员根据更一般的规则配置他们的威胁警报,按照Caccia提供的此示例的思路:

如果您曾经看到一个以前从未发送到我们网络中的文件,然后在打开它之后,用户的机器打开了一个连接到一个以前没有人连接过的IP地址,然后发出警报,并显示也收到相同文件的任何用户。

因此,纪事用来描述“危险行为”的方法可以涵盖更多关于威胁和潜在目标的基础,而不是指定要注意的域或特定的文件散列。然而,在识别一般行为所需的能力方面存在权衡,因为系统必须不断分析公司的安全遥测-这就是为什么直接构建在谷歌云之上会有所帮助。

“这种行为描述方法可以实现更强大的检测,”卡西亚说。“没有强大的计算能力是很难做到的,但”纪事报“已经做到了这一点。”

Chronicle Detect现在还利用来自其研究小组Uppercase的额外实时数据馈送,包括检测规则和危害指示器(IOC),其中可能包括高风险IP或注册表项,这些数据将与每家公司系统中的安全遥测进行比较。

虽然纪事被大力宣传为谷歌云的核心组件,但该平台实际上允许客户聚合和分析存储在其他任何地方的数据,无论是在第三方云提供商上还是通过内部数据中心。