Détections optimisées par le renseignement sur les menaces appliqué

Compatible avec :

Ce document présente les ensembles de règles de détection optimisée de la catégorie "Priorisation optimisée" d'Applied Threat Intelligence, disponible dans Google Security Operations Enterprise Plus. Ces règles utilisent Google Threat Intelligence pour identifier de manière proactive les menaces prioritaires et envoyer des alertes à leur sujet.

Ensembles de règles de détection optimisée

La catégorie "Priorisation optimisée" inclut les ensembles de règles suivants, qui sont compatibles avec la fonctionnalité Applied Threat Intelligence dans Google SecOps :

  • Indicateurs réseau prioritaires de violation active : détecte les indicateurs de compromission (IoC) liés au réseau dans les données d'événement à l'aide de Google Threat Intelligence et les hiérarchise avec le libellé "Violation active".
  • Indicateurs d'hôte prioritaires de violation active : détecte les IoC liés à l'hôte dans les données d'événement à l'aide de Google Threat Intelligence et les hiérarchise avec le libellé "Violation active".
  • Indicateurs réseau prioritaires : identifie les IoC liés au réseau dans les données d'événement à l'aide de Google Threat Intelligence et les hiérarchise avec le libellé "Élevé".
  • Indicateurs d'hôte prioritaires : détecte les IoC liés à l'hôte dans les données d'événement à l'aide de Google Threat Intelligence et les hiérarchise avec le libellé "Élevé".
  • Indicateurs d'authentification d'adresse IP entrante : identifie les adresses IP qui s'authentifient auprès de l'infrastructure locale dans une direction réseau entrante et les hiérarchise avec le libellé "Élevé".
  • Indicateurs réseau de priorité moyenne : identifie les IoC liés au réseau dans les données d'événement à l'aide de Google Threat Intelligence et les hiérarchise avec le libellé "Moyenne".
  • Indicateurs d'hôte de priorité moyenne : identifie les IoC liés à l'hôte dans les données d'événement à l'aide de Google Threat Intelligence et les hiérarchise avec le libellé "Moyenne".

Pour les clients Google SecOps Enterprise Plus, ces ensembles de règles sont activés par défaut (l'état est défini sur Activé) lors du provisionnement de l'instance ou lorsque de nouveaux ensembles de règles sont publiés dans cette catégorie.

Une fois activé, Google SecOps évalue vos données d'événement par rapport aux données de Google Threat Intelligence. Si une règle détecte une correspondance avec un IoC libellé Active breach ou High, une alerte est générée par défaut. En effet, les alertes sont définies sur Activé par défaut.

Pour les ensembles de règles Priorité moyenne et Authentification d'adresse IP entrante, les alertes sont définies sur Désactivé par défaut afin de remplir la hiérarchisation des IoC sur la page "Correspondances IoC" sans générer de bruit d'alerte.

Si vous désactivez manuellement un ensemble de règles activé automatiquement, il reste désactivé et ne sera pas réactivé automatiquement. Pour en savoir plus sur la gestion de ces paramètres, consultez Activer tous les ensembles de règles.

Appareils et types de journaux compatibles

Vous pouvez ingérer des données à partir de n'importe quel type de journal compatible avec Google SecOps à l'aide d'un analyseur par défaut (consultez Types de journaux et analyseurs par défaut compatibles).

Google SecOps évalue vos données d'événement UDM par rapport aux IoC optimisés par Mandiant Threat Intelligence et identifie les correspondances pour les domaines, les adresses IP, les hachages de fichiers et les URL. Il analyse ensuite les champs UDM qui stockent ces ensembles de règles.

Si vous remplacez un analyseur par défaut par un analyseur personnalisé et que vous modifiez le champ UDM dans lequel un domaine, une adresse IP, un hachage de fichier ou une URL est stocké, cela peut avoir un impact sur le comportement de ces ensembles de règles.

Les ensembles de règles utilisent les champs UDM suivants à partir des événements Google SecOps. Combinés aux fonctionnalités de hiérarchisation de Google Threat Intelligence, ces champs permettent de déterminer les niveaux de priorité, tels que "Violation active", "Élevé", ou "Moyenne" :

  • network.direction
  • security_result.[]action
  • event_count (adresse IP de violation active uniquement)

Pour les indicateurs d'adresse IP, le network.direction est obligatoire. Si le champ network.direction n'est pas renseigné dans l'événement UDM, Applied Threat Intelligence vérifie les champs principal.ip et target.ip par rapport aux plages d'adresses IP internes RFC 1918 pour déterminer la direction du réseau. Si cette vérification n'est pas claire, l'adresse IP est considérée comme externe à l'environnement client.

Ajuster les alertes renvoyées par la catégorie Applied Threat Intelligence

Vous pouvez réduire le nombre de détections générées par une règle ou un ensemble de règles à l'aide d' exclusions de règles.

Dans l'exclusion de règle, définissez les critères d'un événement UDM qui excluent l'événement de l'évaluation par l'ensemble de règles. Les événements dont les valeurs se trouvent dans le champ UDM spécifié ne seront pas évalués par les règles de l'ensemble de règles.

Par exemple, vous pouvez exclure des événements en fonction des informations suivantes :

  • principal.hostname
  • principal.ip
  • target.domain.name
  • target.file.sha256
  • target.url

Pour savoir comment créer des exclusions de règles, consultez Configurer des exclusions de règles.

Si un ensemble de règles utilise une liste de référence prédéfinie, la description de la liste de référence fournit des informations sur le champ UDM évalué.

L'ensemble de règles "Authentification d'adresse IP entrante" utilise trois champs UDM qui peuvent être utilisés pour ajuster les alertes de cet ensemble de règles :

  • principal.ip
  • principal.asset.ip
  • src.ip

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.