Rilevamenti predefiniti di Applied Threat Intelligence

Supportato in:

Questo documento fornisce una panoramica dei set di regole di rilevamento predefiniti nella categoria Prioritizzazione selezionata di Applied Threat Intelligence, disponibile in Google Security Operations Enterprise Plus. Queste regole utilizzano Google Threat Intelligence per identificare in modo proattivo le minacce ad alta priorità e inviare avvisi in merito.

Serie di regole di rilevamento predefinite

La categoria Prioritizzazione selezionata include le seguenti serie di regole che supportano la funzionalità Applied Threat Intelligence in Google SecOps:

  • Indicatori di rete con priorità di violazione attiva: rileva gli indicatori di compromissione (IoC) correlati alla rete nei dati degli eventi utilizzando Google Threat Intelligence e assegna la priorità agli IoC con l'etichetta "Violazione attiva".
  • Indicatori host con priorità di violazione attiva: rileva gli IoC correlati all'host nei dati degli eventi utilizzando Google Threat Intelligence e assegna loro la priorità con l'etichetta "Violazione attiva".
  • Indicatori di rete ad alta priorità: identifica gli IoC correlati alla rete nei dati degli eventi utilizzando Google Threat Intelligence e assegna loro la priorità con l'etichetta "Alta".
  • Indicatori host ad alta priorità: rileva gli IoC correlati all'host nei dati degli eventi utilizzando Google Threat Intelligence e assegna loro la priorità con l'etichetta Alta.
  • Indicatori di autenticazione dell'indirizzo IP in entrata: identifica gli indirizzi IP che eseguono l'autenticazione all'infrastruttura locale in una direzione di rete in entrata e assegna loro la priorità con l'etichetta "Alta".
  • Indicatori di rete a media priorità: identifica gli IoC correlati alla rete nei dati degli eventi utilizzando Google Threat Intelligence e assegna loro la priorità con l'etichetta "Media".
  • Indicatori host a media priorità: identifica gli IoC correlati all'host nei dati degli eventi utilizzando Google Threat Intelligence e assegna loro la priorità con l'etichetta "Media".

Per i clienti di Google SecOps Enterprise Plus, queste serie di regole sono attivate per impostazione predefinita (lo stato è impostato su Attivato) al momento del provisioning dell'istanza o quando vengono rilasciate nuove serie di regole in questa categoria.

Una volta attivate, Google SecOps valuta i dati degli eventi rispetto ai dati di Google Threat Intelligence. Se una regola rileva una corrispondenza con un IoC con l'etichetta Active breach o High, per impostazione predefinita viene generato un avviso. Questo perché la funzionalità Avvisi è impostata su Attivata per impostazione predefinita.

Per le serie di regole Media priorità e Autenticazione dell'indirizzo IP in entrata, la funzionalità Avvisi è impostata su Disattivata per impostazione predefinita per popolare la prioritizzazione degli IoC nella pagina Corrispondenze IoC senza generare rumore di avvisi.

Se disattivi manualmente una serie di regole attivata automaticamente, questa rimane disattivata e non verrà riattivata automaticamente. Per ulteriori informazioni su come gestire queste impostazioni, vedi Attivare tutte le serie di regole.

Dispositivi e tipi di log supportati

Puoi importare dati da qualsiasi tipo di log supportato da Google SecOps con un parser predefinito (vedi Tipi di log e parser predefiniti supportati).

Google SecOps valuta i dati degli eventi UDM rispetto agli IoC selezionati da Mandiant Threat Intelligence e identifica le corrispondenze per domini, indirizzi IP, hash di file e URL. Quindi analizza i campi UDM che memorizzano queste serie di regole.

Se sostituisci un parser predefinito con un parser personalizzato e modifichi il campo UDM in cui è memorizzato un dominio, un indirizzo IP, un hash di file o un URL, il comportamento di queste serie di regole potrebbe essere influenzato.

Le serie di regole utilizzano i seguenti campi UDM degli eventi di Google SecOps. Questi campi, combinati con le funzionalità di prioritizzazione di Google Threat Intelligence, aiutano a determinare i livelli di priorità, ad esempio Violazione attiva, Alta, o Media:

  • network.direction
  • security_result.[]action
  • event_count (solo indirizzo IP di violazione attiva)

Per gli indicatori degli indirizzi IP, è necessario network.direction. Se il campo network.direction non è compilato nell'evento UDM, Applied Threat Intelligence controlla i campi principal.ip e target.ip rispetto agli intervalli di indirizzi IP interni RFC 1918 per determinare la direzione della rete. Se questo controllo non fornisce chiarezza, l'indirizzo IP viene considerato esterno all'ambiente del cliente.

Ottimizzare gli avvisi restituiti dalla categoria Applied Threat Intelligence

Puoi ridurre il numero di rilevamenti generati da una regola o da una serie di regole utilizzando le esclusioni di regole.

Nell'esclusione della regola, definisci i criteri di un evento UDM che escludono l'evento dalla valutazione da parte della serie di regole. Gli eventi con valori nel campo UDM specificato non verranno valutati dalle regole della serie di regole.

Ad esempio, puoi escludere gli eventi in base alle seguenti informazioni:

  • principal.hostname
  • principal.ip
  • target.domain.name
  • target.file.sha256
  • target.url

Per informazioni su come creare esclusioni di regole, vedi Configurare le esclusioni di regole.

Se una serie di regole utilizza un elenco di riferimento predefinito, la descrizione dell'elenco di riferimento fornisce dettagli sul campo UDM valutato.

La serie di regole Autenticazione dell'indirizzo IP in entrata utilizza tre campi UDM che potrebbero essere utilizzati per ottimizzare gli avvisi di questa serie di regole:

  • principal.ip
  • principal.asset.ip
  • src.ip

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.