Ausgewählte Erkennungen für angewandte Threat Intelligence

Unterstützt in:

Dieses Dokument bietet einen Überblick über die kuratierten Erkennungsregelsätze in der Kategorie „Applied Threat Intelligence Curated Prioritization“, die in Google Security Operations Enterprise Plus verfügbar ist. Diese Regeln nutzen Google Threat Intelligence, um proaktiv Bedrohungen mit hoher Priorität zu erkennen und entsprechende Benachrichtigungen zu senden.

Ausgewählte Erkennungsregelsätze

Die Kategorie „Curated Prioritization“ (Kuratiertes Priorisieren) umfasst die folgenden Regelsätze, die das Feature „Applied Threat Intelligence“ (Angewandte Bedrohungsinformationen) in Google SecOps unterstützen:

  • Aktive Netzwerkindikatoren für die Priorisierung von Sicherheitslücken: Erkennt mithilfe von Google Threat Intelligence netzwerkbezogene Kompromittierungsindikatoren (Indicators of Compromise, IoCs) in Ereignisdaten und priorisiert IoCs mit dem Label „Aktive Sicherheitslücke“.
  • Priorisierte Hostindikatoren für aktive Sicherheitsverletzungen: Erkennt hostbezogene IoCs in Ereignisdaten mithilfe von Google Threat Intelligence und priorisiert sie mit dem Label „Aktive Sicherheitsverletzung“.
  • Netzwerkindikatoren mit hoher Priorität: Diese Funktion identifiziert netzwerkbezogene IoCs in Ereignisdaten mithilfe von Google Threat Intelligence und priorisiert sie mit dem Label „Hoch“.
  • Host-Indikatoren mit hoher Priorität: Erkennt hostbezogene IoCs in Ereignisdaten mithilfe von Google Threat Intelligence und priorisiert sie mit dem Label „Hoch“.
  • Authentifizierungsindikatoren für eingehende IP-Adressen: Identifiziert IP-Adressen, die sich in einer eingehenden Netzwerkrichtung bei der lokalen Infrastruktur authentifizieren, und priorisiert sie mit dem Label „Hoch“.
  • Netzwerkindikatoren mit mittlerer Priorität: Diese Funktion identifiziert netzwerkbezogene IoCs in Ereignisdaten mithilfe von Google Threat Intelligence und priorisiert sie mit dem Label „Mittel“.
  • Host-Indikatoren mit mittlerer Priorität: Identifiziert hostbezogene IoCs in Ereignisdaten mithilfe von Google Threat Intelligence und priorisiert sie mit dem Label „Mittel“.

Wenn Sie die Regelsätze aktivieren, beginnt Google SecOps mit der Auswertung Ihrer Ereignisdaten anhand von Google Threat Intelligence-Daten. Wenn eine Regel eine Übereinstimmung mit einem IoC mit dem Label „Aktiver Verstoß“ oder „Hoch“ erkennt, wird ein Alarm generiert. Weitere Informationen zum Aktivieren kuratierter Erkennungsregelsätze finden Sie unter Alle Regelsätze aktivieren.

Unterstützte Geräte und Protokolltypen

Sie können Daten aus jedem Logtyp, der von Google SecOps unterstützt wird, mit einem Standardparser aufnehmen (siehe Unterstützte Logtypen und Standardparser).

Google SecOps vergleicht Ihre UDM-Ereignisdaten mit IoCs, die von Mandiant Threat Intelligence zusammengestellt wurden, und identifiziert Übereinstimmungen für Domains, IP-Adressen, Dateihashes und URLs. Anschließend werden UDM-Felder analysiert, in denen diese Regelsätze gespeichert sind.

Wenn Sie einen Standardparser durch einen benutzerdefinierten Parser ersetzen und das UDM-Feld ändern, in dem eine Domain, IP-Adresse, ein Dateihash oder eine URL gespeichert ist, kann sich das auf das Verhalten dieser Regelsätze auswirken.

In den Regelsätzen werden die folgenden UDM-Felder aus Google SecOps-Ereignissen verwendet. Anhand dieser Felder in Kombination mit Priorisierungsfunktionen von Google Threat Intelligence werden Prioritätsstufen wie „Aktiver Verstoß“, „Hoch“ oder „Mittel“ festgelegt:

  • network.direction
  • security_result.[]action
  • event_count (nur aktive IP-Adresse für Sicherheitsverletzung)

Für IP-Adressindikatoren ist die network.direction erforderlich. Wenn das Feld network.direction im UDM-Ereignis nicht ausgefüllt ist, prüft Applied Threat Intelligence die Felder principal.ip und target.ip anhand der internen IP-Adressbereiche von RFC 1918, um die Netzwerkrichtung zu ermitteln. Wenn diese Prüfung keine Klarheit bringt, wird die IP-Adresse als extern für die Kundenumgebung betrachtet.

Warnmeldungen abstimmen, die von der Kategorie „Angewandte Threat Intelligence“ zurückgegeben werden

Sie können die Anzahl der Erkennungen, die durch eine Regel oder einen Regelsatz generiert werden, mithilfe von Regelausschlüssen reduzieren.

Definieren Sie im Regelausschluss die Kriterien eines UDM-Ereignisses, das verhindert, dass das Ereignis vom Regelsatz ausgewertet wird. Ereignisse mit Werten im angegebenen UDM-Feld werden nicht von Regeln im Regelsatz ausgewertet.

Sie können beispielsweise Ereignisse anhand der folgenden Informationen ausschließen:

  • principal.hostname
  • principal.ip
  • target.domain.name
  • target.file.sha256
  • target.url

Informationen zum Erstellen von Regelausschlüssen finden Sie unter Regelausschlüsse konfigurieren.

Wenn in einem Regelsatz eine vordefinierte Referenzliste verwendet wird, enthält die Beschreibung der Referenzliste Details dazu, welches UDM-Feld ausgewertet wird.

Für den Regelsatz „Eingehende IP-Adressauthentifizierung“ werden drei UDM-Felder verwendet, mit denen sich Benachrichtigungen aus diesem Regelsatz optimieren lassen:

  • principal.ip
  • principal.asset.ip
  • src.ip

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten