גלאים מוכנים מראש של מודיעין איומי סייבר של Applied Threat Intelligence

נתמך ב:

במאמר הזה מוסבר על קבוצות הכללים של "גלאים מוכנים מראש" בקטגוריה Applied Threat Intelligence Curated Prioritization, שזמינה ב-Google Security Operations Enterprise Plus. הכללים האלה משתמשים ב-Google Threat Intelligence כדי לזהות באופן יזום איומים בעדיפות גבוהה ולהתריע עליהם.

קבוצות כללים של גלאים מוכנים מראש

הקטגוריה Curated Prioritization כוללת את קבוצות הכללים הבאות שתומכות בתכונה Applied Threat Intelligence ב-Google SecOps:

  • אינדיקטורים של רשתות עם פריצות פעילות בעדיפות גבוהה: זיהוי סימנים מחשידים (IoC) שקשורים לרשת בנתוני אירועים באמצעות Google Threat Intelligence, ותעדוף של סימנים מחשידים עם התווית Active breach (פריצה פעילה).
  • ‫Active Breach Priority Host Indicators: זיהוי אינדיקטורים לפריצה שקשורים למארח בנתוני אירועים באמצעות Google Threat Intelligence, ותעדוף שלהם באמצעות התווית Active breach.
  • אינדיקטורים בעדיפות גבוהה ברשת: זיהוי IoC שקשורים לרשת בנתוני האירועים באמצעות Google Threat Intelligence, ומתן עדיפות גבוהה לאירועים האלה באמצעות התווית "גבוהה".
  • אינדיקטורים בעדיפות גבוהה למארחים: זיהוי של אינדיקטורים לפריצה (IoC) שקשורים למארחים בנתוני אירועים באמצעות Google Threat Intelligence, ומתן עדיפות גבוהה לאינדיקטורים האלה.
  • אינדיקטורים לאימות כתובות IP נכנסות: זיהוי כתובות IP שמאמתות את התשתית המקומית בכיוון של רשת נכנסת, ומתן עדיפות לכתובות האלה באמצעות התווית "גבוהה".
  • אינדיקטורים לרשת בעדיפות בינונית: זיהוי אינדיקטורים לפריצה (IoC) שקשורים לרשת בנתוני האירועים באמצעות Google Threat Intelligence, ומתן עדיפות באמצעות התווית "בינונית".
  • אינדיקטורים למארחים בעדיפות בינונית: זיהוי אינדיקטורים לפריצה (IoC) שקשורים למארחים בנתוני אירועים באמצעות Google Threat Intelligence, ותעדוף שלהם עם התווית "בינונית".

ללקוחות Google SecOps Enterprise Plus, קבוצות הכללים האלה מופעלות כברירת מחדל (הסטטוס מוגדר כמופעל) בזמן הקצאת המכונה או כשקבוצות כללים חדשות מתפרסמות בקטגוריה הזו.

אחרי ההפעלה, Google SecOps מעריך את נתוני האירועים שלכם בהשוואה לנתונים של Google Threat Intelligence. אם כלל מזהה התאמה ל-IoC עם התווית Active breach או High, נוצרת התראה כברירת מחדל. הסיבה לכך היא שההגדרה "התראות" מופעלת (On) כברירת מחדל.

בקבוצות הכללים עדיפות בינונית ואימות כתובת IP נכנסת, ההתראות מוגדרות כמושבתות כברירת מחדל כדי לאכלס את סדר העדיפויות של ה-IOC בדף "התאמות IOC" בלי ליצור רעש של התראות.

אם משביתים באופן ידני קבוצת כללים שמופעלת אוטומטית, היא נשארת מושבתת ולא מופעלת מחדש באופן אוטומטי. מידע נוסף על ניהול ההגדרות האלה זמין במאמר הפעלת כל קבוצות הכללים.

מכשירים וסוגי יומנים נתמכים

אתם יכולים להטמיע נתונים מכל סוג של יומן שנתמך ב-Google SecOps עם מנתח ברירת מחדל (ראו סוגי יומנים נתמכים ומנתחי ברירת מחדל).

מערכת Google SecOps מעריכה את נתוני האירועים ב-UDM בהשוואה ל-IoC שנאספו על ידי Mandiant Threat Intelligence, ומזהה התאמות לדומיינים, לכתובות IP, לגיבובים של קבצים ולכתובות URL. לאחר מכן היא מנתחת את השדות ב-UDM שבהם מאוחסנות קבוצות הכללים האלה.

אם מחליפים מנתח שמוגדר כברירת מחדל במנתח מותאם אישית, ומשנים את השדה ב-UDM שבו מאוחסנים דומיין, כתובת IP, גיבוב קובץ או כתובת URL, יכול להיות שההתנהגות של קבוצות הכללים האלה תשתנה.

קבוצות הכללים משתמשות בשדות ה-UDM הבאים מאירועים ב-Google SecOps. השדות האלה, בשילוב עם תכונות התעדוף של Google Threat Intelligence, עוזרים לקבוע את רמות העדיפות, כמו "פרצה פעילה", "גבוהה" או "בינונית":

  • network.direction
  • security_result.[]action
  • ‫event_count (כתובת IP של הפרה פעילה בלבד)

באינדיקטורים של כתובות IP, צריך לציין את network.direction. אם השדה network.direction לא מאוכלס באירוע ה-UDM, אז Applied Threat Intelligence בודק את השדות principal.ip ו-target.ip מול טווחי כתובות ה-IP הפנימיות של RFC 1918 כדי לקבוע את כיוון הרשת. אם הבדיקה הזו לא מספקת תשובה ברורה, כתובת ה-IP נחשבת כחיצונית לסביבת הלקוח.

כוונון התראות שמוחזרות לפי קטגוריית מודיעין איומי סייבר יישומי

אתם יכולים להשתמש בהחרגות של כללים כדי לצמצם את מספר הזיהויים שנוצרים על ידי כלל או קבוצת כללים.

בהחרגה של הכלל, מגדירים את הקריטריונים של אירוע UDM שמחריגים את האירוע מהערכה על ידי קבוצת הכללים. אירועים עם ערכים בשדה ה-UDM שצוין לא ייבדקו על ידי כללים בקבוצת הכללים.

לדוגמה, אפשר להחריג אירועים על סמך המידע הבא:

  • principal.hostname
  • principal.ip
  • target.domain.name
  • target.file.sha256
  • target.url

מידע נוסף מופיע במאמר הגדרת השתקת התראות.

אם קבוצת כללים משתמשת ברשימת עזר מוגדרת מראש, בתיאור של רשימת העזר מפורט איזה שדה UDM נבדק.

קבוצת הכללים "אימות כתובת IP של אימייל נכנס" משתמשת בשלושה שדות UDM שאפשר להשתמש בהם כדי לכוונן את ההתראות מקבוצת הכללים הזו:

  • principal.ip
  • principal.asset.ip
  • src.ip

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.