Ce guide explique comment examiner une alerte à l'aide de Google Security Operations.
Qu'est-ce qu'une alerte ?
Une alerte est un indicateur de compromission (IOC) signalé par Google Security Operations. Elle indique une anomalie dans le workflow normal du trafic au sein de l'entreprise.
Vous devez examiner les alertes comme une éventuelle atteinte à la sécurité.
Comment les alertes sont-elles transmises à Google Security Operations ?
Google Security Operations exploite diverses sources externes au sein de la communauté de sécurité à l'aide de bases de données sectorielles mises à jour en continu. Google Security Operations dispose également d'un langage de programmation riche en fonctionnalités, YARA-L, qui vous permet de créer vos propres règles personnalisées.
Vous pouvez effectuer ces étapes à partir de l'instance Google Security Operations de votre entreprise ou de l'environnement de démonstration Google Security Operations.
Google Security Operations est conçu pour fonctionner exclusivement avec les navigateurs Google Chrome ou Mozilla Firefox.
Google SecOps est intégré à votre solution d'authentification unique (SSO).
Vous pouvez vous connecter à Google SecOps à l'aide des identifiants fournis par votre entreprise.
Lancez Chrome ou Firefox.
Assurez-vous d'avoir accès à votre compte d'entreprise.
Pour accéder à l'application Google SecOps, où customer_subdomain est votre identifiant client spécifique, accédez à :
https://customer_subdomain.backstory.chronicle.security.
Afficher les alertes et les correspondances IoC
Dans la barre de navigation, sélectionnez Détection > Alertes et IOC.
Les onglets "Alertes" et "Correspondances d'IOC" s'affichent. Vous devrez peut-être ajuster la période à l'aide du sélecteur de calendrier en haut à droite pour que les correspondances et les alertes s'affichent.
Passer à la vue "Éléments"
Ensuite, examinez en détail un élément spécifique qui pourrait avoir été compromis.
Dans l'onglet "Correspondances des IOC", cliquez sur un domaine pour ouvrir la vue du domaine.
Sélectionnez l'onglet "Timeline" (Chronologie).
Pour passer à la vue "Composant", sélectionnez un événement en cliquant sur son heure. La vue "Asset" (Ressource) affiche les détails de la ressource sélectionnée autour de la chronologie du déclencheur d'alerte, comme illustré dans la figure suivante.
Vue "Asset"
Les bulles de la fenêtre principale représentent la prévalence du composant. Le graphique est organisé de sorte que les événements les moins fréquents se trouvent en haut. Ces événements à faible prévalence sont considérés comme suspects. Utilisez le sélecteur temporel en haut à droite pour faire un zoom avant sur les événements nécessitant une investigation.
Si le menu "Filtrage procédural" n'est pas visible, ouvrez-le en cliquant sur l'icône Filtrer (en haut à droite).
En haut du menu, ajustez le curseur Prévalence pour filtrer les événements courants. Utilisez les curseurs "Heure" et "Prévalence" pour identifier les événements suspects.
Ouvrez l'alerte dans la liste de la barre latérale "Timeline". Dans le panneau de gauche, sélectionnez l'onglet "Chronologie" qui affiche les événements survenus autour de l'alerte. L'événement déclencheur est mis en évidence en vert.
Examiner ce qui a déclenché l'alerte
Il existe plusieurs façons d'obtenir plus d'informations sur l'événement déclencheur.
Dans le panneau central, une boîte de dialogue orange peut s'afficher au-dessus d'un petit triangle orange indiquant l'emplacement temporel de l'alerte. Si la boîte de dialogue ne s'affiche pas, pointez sur le triangle pour la faire apparaître. La boîte de dialogue contient la date, l'heure et la description de l'alerte.
Le panneau de gauche de la vue "Élément" affiche l'onglet "Chronologie". Si l'événement est libellé Alerte de règle, une description de l'alerte est également mentionnée.
Lorsque vous pointez sur l'événement Alerte de règle, une icône Développer s'affiche à droite de l'événement. Si vous cliquez sur cette icône, une nouvelle fenêtre s'ouvre et affiche plus de détails sur l'événement au format UDM, comme illustré dans la figure ci-dessous.
Sauf indication contraire, le contenu de cette page est régi par une licence Creative Commons Attribution 4.0, et les échantillons de code sont régis par une licence Apache 2.0. Pour en savoir plus, consultez les Règles du site Google Developers. Java est une marque déposée d'Oracle et/ou de ses sociétés affiliées.
Dernière mise à jour le 2025/08/21 (UTC).
[[["Facile à comprendre","easyToUnderstand","thumb-up"],["J'ai pu résoudre mon problème","solvedMyProblem","thumb-up"],["Autre","otherUp","thumb-up"]],[["Difficile à comprendre","hardToUnderstand","thumb-down"],["Informations ou exemple de code incorrects","incorrectInformationOrSampleCode","thumb-down"],["Il n'y a pas l'information/les exemples dont j'ai besoin","missingTheInformationSamplesINeed","thumb-down"],["Problème de traduction","translationIssue","thumb-down"],["Autre","otherDown","thumb-down"]],["Dernière mise à jour le 2025/08/21 (UTC)."],[[["\u003cp\u003eThis guide details how to investigate security alerts within Google Security Operations, which are indicators of potential security breaches identified through various external security sources and custom YARA-L rules.\u003c/p\u003e\n"],["\u003cp\u003eTo begin, access Google Security Operations via Chrome or Firefox using your enterprise credentials, and then navigate to the "Detection > Alerts and IOCs" section to view alerts and IOC matches.\u003c/p\u003e\n"],["\u003cp\u003eFrom the IOC Matches tab, you can pivot to Asset view to investigate specific assets by selecting an event's time and using the Time and Prevalence sliders to filter for suspicious events.\u003c/p\u003e\n"],["\u003cp\u003eThe Asset view's Timeline tab offers details about events surrounding an alert, with the triggering event highlighted in green, and more information available by hovering over "Rule Alert" events and expanding them.\u003c/p\u003e\n"],["\u003cp\u003eAn alert from Google security operations can be investigated to determine what specifically triggered it, by using the middle panel's orange dialog box, or the left panel's Timeline tab description.\u003c/p\u003e\n"]]],[],null,["# Quickstart: Review an alert using Google Security Operations\n\nReview an alert using Google Security Operations\n================================================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\nThis guide shows how to investigate an alert using Google Security Operations.\n\n\u003cbr /\u003e\n\n### What is an alert?\n\nAn [alert](https://cloud.google.com/chronicle/docs/investigation/alerts-iocs) is an Indicator of Compromise (IOC), flagged by [Google Security Operations](https://cloud.google.com/chronicle/docs/overview),\nindicating an anomaly in the normal workflow of traffic within the enterprise.\nYou should investigate alerts as a possible breach of security.\n\n### How do alerts get to Google Security Operations?\n\nGoogle Security Operations taps into various external sources within the security\ncommunity using industry-wide databases updated continuously. Google Security Operations\nalso has a feature-rich programming language, YARA-L, so you can craft your own custom rules.\n\nFor more information on YARA-L, see the [Overview of the YARA-L 2.0 language](/chronicle/docs/detection/yara-l-2-0-overview). For more information on rules, see [Manage Rules Using Rules Editor](/chronicle/docs/detection/manage-all-rules).\n\nBefore you begin\n----------------\n\nYou can perform these steps from your company's Google Security Operations instance or\nfrom the Google Security Operations demo environment.\n\nGoogle Security Operations is designed to work exclusively with the Google Chrome or Mozilla Firefox browsers.\n| **Note:** Google SecOps doesn't support multiple concurrent logins for the same profile.\n\nGoogle recommends upgrading your browser to the most current version. You can download the latest version of Chrome from \u003chttps://www.google.com/chrome/\u003e.\n\nGoogle SecOps is integrated into your single sign-on solution (SSO).\nYou can log in to Google SecOps using the credentials provided by your enterprise.\n\n1. Launch Chrome or Firefox.\n\n2. Ensure you have access to your corporate account.\n\n3. To access the Google SecOps application, where \u003cvar translate=\"no\"\u003ecustomer_subdomain\u003c/var\u003e\n is your customer-specific identifier, navigate to:\n https://\u003cvar translate=\"no\"\u003ecustomer_subdomain\u003c/var\u003e.backstory.chronicle.security.\n\nView Alerts and IOC Matches\n---------------------------\n\nIn the navigation bar, select **Detection \\\u003e Alerts and IOCs**.\n\nThe Alerts and IOC Matches tabs are displayed. You may have to adjust the time\nrange using the calendar control in the top right for matches and alerts to appear.\n\nPivot to Asset view\n-------------------\n\nNext, drill down to a particular asset that may have been compromised.\n\n1. From the IOC Matches tab, click on a domain to open Domain view.\n\n2. Select the Timeline tab.\n\n3. To pivot to Asset view, select an event by clicking on its time. Asset view shows details of the selected asset around the timeline of the alert trigger, as shown in the following figure.\n\n\n **Asset view**\n\n The bubbles in the main window represent the prevalence of the asset. The graph is arranged so events occurring less often are at the top. These low-prevalence events are considered suspicious. Use the Time slider in the upper right to zoom in to events requiring investigation.\n4. If the Procedural Filtering menu is not visible, open it by clicking the *Filter* icon (near the upper right corner).\n\n5. At the top of the menu, adjust the **Prevalence** slider to filter out common events. Using the Time and Prevalence sliders, to identify suspicious events.\n\n6. Open the alert from the Timeline sidebar list. In the left panel, select the Timeline tab which display events occurring around the alert. The triggering event is highlighted in green.\n\nInvestigate what triggered the alert\n------------------------------------\n\nThere are several ways to gain more insight into the triggering event.\n\n- In the middle panel, an orange dialog box may appear above a small orange triangle indicating the location, in time, of the alert. If the dialog box is not displayed, hovering over the triangle causes it to appear. The dialog contains the date, time, and description of the alert.\n\n- The left panel in Asset view shows the Timeline tab. If the event is labeled *Rule Alert*, it will also mention a description of the alert.\n\n- Hovering over the *Rule Alert* event causes an *Expand* icon to appear on the right side of the event. Clicking on this icon will open a new window with more details about the event in UDM format, as shown in the following figure.\n\n\n **Event Details**\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
Vue "Asset"
(en haut à droite).
s'affiche à droite de l'événement. Si vous cliquez sur cette icône, une nouvelle fenêtre s'ouvre et affiche plus de détails sur l'événement au format UDM, comme illustré dans la figure ci-dessous.
Détails de l'événement