גלאים מוכנים מראש של מודיעין איומים

נתמך ב:

במסמך הזה מפורטת סקירה כללית על קבוצות הכללים של זיהוי מותאם אישית בקטגוריה 'תעדוף מותאם אישית של מודיעין איומים יישומי', שזמינה ב-Google Security Operations Enterprise Plus. הכללים האלה משתמשים ב-Mandiant Threat Intelligence כדי לזהות איומים בעדיפות גבוהה באופן פרואקטיבי ולשלוח התראות לגביהם.

קבוצות כללים מוכנות מראש לזיהוי

הקטגוריה 'תעדוף מותאם אישית' כוללת את קבוצות הכללים הבאות שתומכות בתכונה 'מודיעין איומים יישומי' ב-Google SecOps:

  • אינדיקטורים ברשת של פריצות פעילות בעדיפות גבוהה: זיהוי של סימנים מחשידים (IoC) שקשורים לרשת בנתוני אירוע באמצעות Mandiant Threat Intelligence, ומתן עדיפות לסימנים מחשידים עם התווית 'פריצה פעילה'.
  • אינדיקטורים של מארחים בעדיפות גבוהה של פרצה פעילה: זיהוי של IoC שקשורים למארחים בנתוני אירוע באמצעות Mandiant Threat Intelligence, ומתן עדיפות לאינדיקטורים האלה באמצעות התווית 'פרצה פעילה'.
  • אינדיקטורים של רשת עם עדיפות גבוהה: מזהה IoC שקשורים לרשת בנתוני האירועים באמצעות Mandiant Threat Intelligence, ומסווג אותם בעדיפות גבוהה.
  • מזהים של מארחים בעדיפות גבוהה: זיהוי של IoC שקשורים למארחים בנתוני אירועים באמצעות Mandiant Threat Intelligence, ומתן עדיפות לזיהויים האלה באמצעות התווית High.
  • אינדיקטורים של אימות כתובות IP של דואר נכנס: מזהה כתובות IP שעוברות אימות בתשתית מקומית בכיוון של רשת דואר נכנס, ומקצה להן את התווית 'גבוה'.
  • אינדיקטורים ברשת עם עדיפות בינונית: מזהה IoC שקשורים לרשת בנתוני אירועים באמצעות Mandiant Threat Intelligence, ונותן להם עדיפות עם התווית 'בינונית'.
  • אינדיקטורים של מארחים בעדיפות בינונית: מזהה IoC שקשורים למארחים בנתוני אירועים באמצעות Mandiant Threat Intelligence, ומסווג אותם בעדיפות 'בינונית'.

כשמפעילים את קבוצות הכללים, Google SecOps מתחיל להעריך את נתוני האירועים שלכם בהשוואה לנתוני Mandiant Threat Intelligence. אם כלל כלשהו מזהה התאמה ל-IoC עם התווית 'הפרה פעילה' או 'גבוהה', נוצרת התראה. מידע נוסף על הפעלת קבוצות של כללי זיהוי שנבחרו בקפידה זמין במאמר הפעלת כל קבוצות הכללים.

מכשירים נתמכים וסוגי יומנים

אתם יכולים להטמיע נתונים מכל סוג יומן ש-Google SecOps תומך בו באמצעות מנתח ברירת מחדל (ראו סוגי יומנים נתמכים ומנתחי ברירת מחדל).

‫Google SecOps מעריך את נתוני האירועים ב-UDM בהשוואה ל-IoC שנאספו על ידי Mandiant Threat Intelligence ומזהה התאמות לדומיינים, לכתובות IP, לגיבובים של קבצים ולכתובות URL. לאחר מכן הוא מנתח את השדות ב-UDM שבהם מאוחסנים מערכי הכללים האלה.

אם מחליפים מנתח ברירת מחדל במנתח מותאם אישית, ומשנים את השדה UDM שבו מאוחסן דומיין, כתובת IP, גיבוב של קובץ או כתובת URL, יכול להיות שהדבר ישפיע על ההתנהגות של קבוצות הכללים האלה.

הכללים משתמשים בשדות הבאים של UDM מאירועים ב-Google SecOps. השדות האלה, בשילוב עם תכונות קביעת העדיפות מ-Mandiant Threat Intelligence, עוזרים לקבוע את רמות העדיפות, כמו פריצה פעילה, גבוהה או בינונית:

  • network.direction
  • security_result.[]action
  • event_count (כתובת IP פעילה של פריצה בלבד)

לגבי אינדיקטורים של כתובות IP, חובה להשתמש ב-network.direction. אם השדה network.direction לא מאוכלס באירוע UDM, התכונה Applied Threat Intelligence בודקת את השדות principal.ip ו-target.ip מול טווחי כתובות IP פנימיות של RFC 1918 כדי לקבוע את כיוון הרשת. אם הבדיקה הזו לא מספקת תשובה ברורה, כתובת ה-IP נחשבת כחיצונית לסביבת הלקוח.

שינוי ההגדרות של ההתראות שמוחזרות על ידי הקטגוריה 'מודיעין איומים יישומי'

אפשר לצמצם את מספר הזיהויים שנוצרים על ידי כלל או קבוצת כללים באמצעות החרגות של כללים.

בהחרגה של הכלל, מגדירים את הקריטריונים של אירוע UDM שגורמים להחרגת האירוע מההערכה של קבוצת הכללים. אירועים עם ערכים בשדה UDM שצוין לא יוערכו על ידי כללים בקבוצת הכללים.

לדוגמה, יכול להיות שתחריגו אירועים על סמך המידע הבא:

  • principal.hostname
  • principal.ip
  • target.domain.name
  • target.file.sha256
  • target.url

במאמר הגדרת החרגות של כללים מוסבר איך ליצור החרגות של כללים.

אם קבוצת כללים משתמשת ברשימת הפניות מוגדרת מראש, בתיאור של רשימת ההפניות מפורט השדה של UDM שנבדק.

קבוצת הכללים 'אימות כתובת IP של תעבורה נכנסת' משתמשת בשלושה שדות UDM שאפשר להשתמש בהם כדי לכוונן התראות מקבוצת הכללים הזו:

  • principal.ip
  • principal.asset.ip
  • src.ip

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.