גלאים מוכנים מראש של מודיעין איומים

נתמך ב:

במסמך הזה מפורטת סקירה כללית על קבוצות הכללים של זיהוי מותאם אישית בקטגוריה 'תעדוף מותאם אישית של מודיעין איומים יישומי', שזמינה ב-Google Security Operations Enterprise Plus. הכללים האלה משתמשים ב-Google Threat Intelligence כדי לזהות באופן יזום איומים בעדיפות גבוהה ולשלוח עליהם התראות.

קבוצות כללים מוכנות מראש לזיהוי

הקטגוריה 'תעדוף מותאם אישית' כוללת את קבוצות הכללים הבאות שתומכות בתכונה 'מודיעין איומים יישומי' ב-Google SecOps:

  • אינדיקטורים פעילים ברשת של פריצה בעדיפות גבוהה: מזהים אינדיקטורים של פריצה (IoC) שקשורים לרשת בנתוני אירועים באמצעות Google Threat Intelligence, ונותנים עדיפות לאינדיקטורים של פריצה עם התווית 'פריצה פעילה'.
  • אינדיקטורים של מארחים עם עדיפות גבוהה שקשורים לפריצה פעילה: זיהוי של IoC שקשורים למארחים בנתוני אירועים באמצעות Google Threat Intelligence, ומתן עדיפות לאינדיקטורים האלה באמצעות התווית 'פריצה פעילה'.
  • אינדיקטורים של רשת בעדיפות גבוהה: מזהה IoC שקשורים לרשת בנתוני אירועים באמצעות Google Threat Intelligence, ונותן להם עדיפות גבוהה.
  • אינדיקטורים של מארחים בעדיפות גבוהה: מזהה IoC שקשורים למארחים בנתוני אירועים באמצעות Google Threat Intelligence, ונותן להם עדיפות גבוהה.
  • אינדיקטורים של אימות כתובות IP של דואר נכנס: מזהה כתובות IP שעוברות אימות בתשתית מקומית בכיוון של רשת דואר נכנס, ומקצה להן עדיפות גבוהה עם התווית 'גבוהה'.
  • אינדיקטורים ברשת בעדיפות בינונית: מזהה אינדיקטורים של פשרה (IoC) שקשורים לרשת בנתוני אירועים באמצעות Google Threat Intelligence, ונותן להם עדיפות עם התווית 'בינונית'.
  • אינדיקטורים של מארחים בעדיפות בינונית: מזהה IoC שקשורים למארחים בנתוני אירועים באמצעות Google Threat Intelligence, ומקצה להם את התווית 'בינונית'.

כשמפעילים את קבוצות הכללים, Google SecOps מתחיל להעריך את נתוני האירועים שלכם בהשוואה לנתוני Google Threat Intelligence. אם כלל כלשהו מזהה התאמה ל-IoC עם התווית Active breach (פרצה פעילה) או High (גבוהה), נוצרת התראה. מידע נוסף על הפעלת קבוצות של כללי זיהוי שנבחרו בקפידה זמין במאמר הפעלת כל קבוצות הכללים.

מכשירים נתמכים וסוגי יומנים

אתם יכולים להטמיע נתונים מכל סוג יומן ש-Google SecOps תומך בו באמצעות מנתח ברירת מחדל (ראו סוגי יומנים נתמכים ומנתחי ברירת מחדל).

‫Google SecOps מעריך את נתוני האירועים של UDM בהשוואה ל-IoC שנאספו על ידי Mandiant Threat Intelligence ומזהה התאמות לדומיינים, לכתובות IP, לגיבובים של קבצים ולכתובות URL. לאחר מכן הוא מנתח את השדות של UDM שבהם מאוחסנים מערכי הכללים האלה.

אם מחליפים מנתח ברירת מחדל במנתח מותאם אישית, ומשנים את השדה UDM שבו מאוחסנים דומיין, כתובת IP, גיבוב קובץ או כתובת URL, יכול להיות שהדבר ישפיע על ההתנהגות של קבוצות הכללים האלה.

הכללים מוגדרים כך שישתמשו בשדות הבאים של UDM מאירועים ב-Google SecOps. השדות האלה, בשילוב עם תכונות קביעת העדיפות מ-Google Threat Intelligence, עוזרים לקבוע את רמות העדיפות, כמו פריצה פעילה, גבוהה או בינונית:

  • network.direction
  • security_result.[]action
  • ‫event_count (כתובת IP פעילה של פריצה בלבד)

לגבי אינדיקטורים של כתובות IP, חובה להשתמש ב-network.direction. אם השדה network.direction לא מאוכלס באירוע UDM, התכונה Applied Threat Intelligence בודקת את השדות principal.ip ו-target.ip מול טווחי כתובות IP פנימיות של RFC 1918 כדי לקבוע את כיוון הרשת. אם הבדיקה הזו לא מספקת תשובה ברורה, כתובת ה-IP נחשבת כחיצונית לסביבת הלקוח.

שינוי ההגדרות של התראות שמוחזרות על ידי קטגוריית Applied Threat Intelligence

אפשר לצמצם את מספר הזיהויים שכלל או קבוצת כללים יוצרים באמצעות החרגות של כללים.

בהחרגה של הכלל, מגדירים את הקריטריונים של אירוע UDM שגורמים להחרגת האירוע מההערכה של קבוצת הכללים. אירועים עם ערכים בשדה UDM שצוין לא יוערכו על ידי כללים בקבוצת הכללים.

לדוגמה, אפשר להחריג אירועים על סמך המידע הבא:

  • principal.hostname
  • principal.ip
  • target.domain.name
  • target.file.sha256
  • target.url

במאמר הגדרת החרגות של כללים מוסבר איך ליצור החרגות של כללים.

אם קבוצת כללים משתמשת ברשימת הפניות מוגדרת מראש, בתיאור של רשימת ההפניות מפורט איזה שדה UDM מוערך.

קבוצת הכללים Inbound IP Address Authentication (אימות כתובת IP של תעבורה נכנסת) משתמשת בשלושה שדות UDM שאפשר להשתמש בהם כדי לכוונן התראות מקבוצת הכללים הזו:

  • principal.ip
  • principal.asset.ip
  • src.ip

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.