Abgestimmte Erkennungen für angewandte Bedrohungsinformationen

Unterstützt in:

In diesem Dokument finden Sie eine Übersicht über die abgestimmten Erkennungsregelsätze in der Kategorie „Abgestimmte Priorisierung“ für angewandte Bedrohungsinformationen, die in Google Security Operations Enterprise Plus verfügbar sind. Diese Regeln verwenden Google Threat Intelligence, um proaktiv Bedrohungen mit hoher Priorität zu erkennen und Benachrichtigungen zu senden.

Abgestimmte Erkennungsregelsätze

Die Kategorie „Abgestimmte Priorisierung“ umfasst die folgenden Regelsätze, die die Funktion „Angewandte Bedrohungsinformationen“ in Google SecOps unterstützen:

  • Netzwerkindikatoren mit Priorität für aktive Sicherheitsvorfälle: Erkennt mithilfe von Google Threat Intelligence netzwerkbezogene Kompromittierungsindikatoren (Indicators of Compromise, IoCs) in Ereignisdaten und priorisiert IoCs mit dem Label „Aktiver Sicherheitsvorfall“.
  • Hostindikatoren mit Priorität für aktive Sicherheitsvorfälle: Erkennt mithilfe von Google Threat Intelligence hostbezogene IoCs in Ereignisdaten und priorisiert sie mit dem Label „Aktiver Sicherheitsvorfall“.
  • Netzwerkindikatoren mit hoher Priorität: Erkennt mithilfe von Google Threat Intelligence netzwerkbezogene IoCs in Ereignis daten und priorisiert sie mit dem Label „Hoch“.
  • Hostindikatoren mit hoher Priorität: Erkennt mithilfe von Google Threat Intelligence hostbezogene IoCs in Ereignisdaten und priorisiert sie mit dem Label „Hoch“.
  • Authentifizierungsindikatoren für eingehende IP-Adressen: Erkennt IP-Adressen, die sich in einer eingehenden Netzwerkrichtung bei der lokalen Infrastruktur authentifizieren, und priorisiert sie mit dem Label „Hoch“.
  • Netzwerkindikatoren mit mittlerer Priorität: Erkennt mithilfe von Google Threat Intelligence netzwerkbezogene IoCs in Ereignis daten und priorisiert sie mit dem Label „Mittel“.
  • Hostindikatoren mit mittlerer Priorität: Erkennt mithilfe von Google Threat Intelligence hostbezogene IoCs in Ereignisdaten und priorisiert sie mit dem Label „Mittel“.

Wenn Sie die Regelsätze aktivieren, beginnt Google SecOps mit der Auswertung von Ihren Ereignisdaten anhand von Google Threat Intelligence-Daten. Wenn eine Regel eine Übereinstimmung mit einem IoC mit dem Label „Aktiver Sicherheitsvorfall“ oder „Hoch“ erkennt, wird eine Benachrichtigung generiert. Weitere Informationen zum Aktivieren von abgestimmten Erkennungsregelsätzen finden Sie unter Alle Regelsätze aktivieren.

Unterstützte Geräte und Logtypen

Sie können Daten aus jedem Logtyp aufnehmen, der von Google SecOps unterstützt wird mit einem Standardparser (siehe Unterstützte Logtypen und Standardparser).

Google SecOps wertet Ihre UDM-Ereignisdaten anhand von IoCs aus, die von Mandiant Threat Intelligence zusammengestellt wurden, und erkennt Übereinstimmungen für Domains, IP-Adressen, Dateihashes und URLs. Anschließend werden die UDM-Felder analysiert, in denen diese Regelsätze gespeichert sind.

Wenn Sie einen Standardparser durch einen benutzerdefinierten Parser ersetzen und das UDM-Feld ändern, in dem eine Domain, IP-Adresse, ein Dateihash oder eine URL gespeichert ist, kann sich dies auf das Verhalten dieser Regelsätze auswirken.

Die Regelsätze verwenden die folgenden UDM-Felder aus Google SecOps-Ereignissen. Diese Felder tragen in Kombination mit den Priorisierungsfunktionen von Google Threat Intelligence dazu bei, Prioritätsstufen wie „Aktiver Sicherheitsvorfall“, „Hoch“, oder „Mittel“ zu bestimmen:

  • network.direction
  • security_result.[]action
  • event_count (nur aktive IP-Adresse für Sicherheitsvorfälle)

Für IP-Adressindikatoren ist network.direction erforderlich. Wenn das Feld network.direction im UDM-Ereignis nicht ausgefüllt ist, prüft Applied Threat Intelligence die Felder principal.ip und target.ip anhand der internen IP-Adressbereiche von RFC 1918, um die Netzwerkrichtung zu bestimmen. Wenn diese Prüfung keine Klarheit bringt, wird die IP-Adresse als extern für die Kundenumgebung betrachtet.

Benachrichtigungen abstimmen, die von der Kategorie „Angewandte Bedrohungsinformationen“ zurückgegeben werden

Mit Regelausschlüssen können Sie die Anzahl der Erkennungen reduzieren, die von einer Regel oder einem Regelsatz generiert werden.

Definieren Sie im Regelausschluss die Kriterien eines UDM-Ereignisses, mit denen das Ereignis von der Auswertung durch den Regelsatz ausgeschlossen wird. Ereignisse mit Werten im angegebenen UDM-Feld werden nicht von Regeln im Regelsatz ausgewertet.

Sie können Ereignisse beispielsweise anhand der folgenden Informationen ausschließen:

  • principal.hostname
  • principal.ip
  • target.domain.name
  • target.file.sha256
  • target.url

Informationen zum Erstellen von Regelausschlüssen finden Sie unter Regelausschlüsse konfigurieren.

Wenn ein Regelsatz eine vordefinierte Referenzliste verwendet, enthält die Beschreibung der Referenzliste Details dazu, welches UDM-Feld ausgewertet wird.

Der Regelsatz „Authentifizierung eingehender IP-Adressen“ verwendet drei UDM-Felder, die zum Abstimmen von Benachrichtigungen aus diesem Regelsatz verwendet werden können:

  • principal.ip
  • principal.asset.ip
  • src.ip

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten