Pendeteksian terseleksi Applied Threat Intelligence

Didukung di:

Dokumen ini memberikan ringkasan set aturan pendeteksian terseleksi dalam kategori Prioritas Pilihan Applied Threat Intelligence, yang tersedia di Google Security Operations Enterprise Plus. Aturan ini menggunakan Google Threat Intelligence untuk secara proaktif mengidentifikasi dan memberikan notifikasi tentang ancaman prioritas tinggi.

Set aturan pendeteksian terseleksi

Kategori Prioritas Pilihan mencakup set aturan berikut yang mendukung fitur Applied Threat Intelligence di Google SecOps:

  • Indikator Penyusupan Jaringan Prioritas Pelanggaran Aktif: Mendeteksi Indikator Penyusupan (IoC) terkait jaringan dalam data peristiwa menggunakan Google Threat Intelligence dan memprioritaskan IoC dengan label 'Pelanggaran aktif'.
  • Indikator Host Prioritas Pelanggaran Aktif: Mendeteksi IoC terkait host dalam data peristiwa menggunakan Google Threat Intelligence dan memprioritaskannya dengan label 'Pelanggaran aktif'.
  • Indikator Jaringan Prioritas Tinggi: Mengidentifikasi IoC terkait jaringan dalam data peristiwa menggunakan Google Threat Intelligence dan memprioritaskannya dengan label 'Tinggi'.
  • Indikator Host Prioritas Tinggi: Mendeteksi IoC terkait host dalam data peristiwa menggunakan Google Threat Intelligence dan memprioritaskannya dengan label Tinggi.
  • Indikator Autentikasi Alamat IP Masuk: Mengidentifikasi alamat IP yang melakukan autentikasi ke infrastruktur lokal dalam arah jaringan masuk dan memprioritaskannya dengan label 'Tinggi'.
  • Indikator Jaringan Prioritas Sedang: Mengidentifikasi IoC terkait jaringan dalam data peristiwa menggunakan Google Threat Intelligence dan memprioritaskannya dengan label 'Sedang'.
  • Indikator Host Prioritas Sedang: Mengidentifikasi IoC terkait host dalam data peristiwa menggunakan Google Threat Intelligence dan memprioritaskannya dengan label 'Sedang'.

Untuk pelanggan Google SecOps Enterprise Plus, set aturan ini diaktifkan secara default (Status ditetapkan ke Diaktifkan) saat instance disediakan atau saat set aturan baru dirilis dalam kategori ini.

Setelah diaktifkan, Google SecOps akan mengevaluasi data peristiwa Anda berdasarkan data Google Threat Intelligence. Jika aturan mendeteksi kecocokan dengan IoC yang diberi label Active breach atau High, notifikasi akan dibuat secara default. Hal ini karena Notifikasi ditetapkan ke Aktif secara default.

Untuk set aturan Prioritas Sedang dan Autentikasi Alamat IP Masuk, Notifikasi ditetapkan ke Nonaktif secara default untuk mengisi prioritas IOC di halaman Kecocokan IOC tanpa membuat gangguan notifikasi.

Jika Anda menonaktifkan set aturan yang diaktifkan secara otomatis secara manual, set aturan tersebut akan tetap dinonaktifkan dan tidak akan diaktifkan kembali secara otomatis. Untuk mengetahui informasi selengkapnya tentang cara mengelola setelan ini, lihat Mengaktifkan semua set aturan.

Jenis log dan perangkat yang didukung

Anda dapat menyerap data dari jenis log apa pun yang didukung Google SecOps dengan parser default (lihat Jenis log dan parser default yang didukung).

Google SecOps mengevaluasi data peristiwa UDM Anda berdasarkan IoC yang dikelola oleh Mandiant Threat Intelligence dan mengidentifikasi kecocokan untuk domain, alamat IP, hash file, dan URL. Kemudian, Google SecOps menganalisis kolom UDM yang menyimpan set aturan ini.

Jika Anda mengganti parser default dengan parser kustom, dan Anda mengubah kolom UDM tempat domain, alamat IP, hash file, atau URL disimpan, hal ini dapat memengaruhi perilaku set aturan ini.

Set aturan menggunakan kolom UDM berikut dari peristiwa Google SecOps. Kolom ini, yang dikombinasikan dengan fitur prioritas dari Google Threat Intelligence, membantu menentukan tingkat prioritas, seperti Pelanggaran aktif, Tinggi, atau Sedang:

  • network.direction
  • security_result.[]action
  • event_count (khusus alamat IP pelanggaran aktif)

Untuk indikator alamat IP, network.direction diperlukan. Jika kolom network.direction tidak diisi dalam peristiwa UDM, Applied Threat Intelligence akan memeriksa kolom principal.ip dan target.ip berdasarkan rentang alamat IP internal RFC 1918 untuk menentukan arah jaringan. Jika pemeriksaan ini tidak memberikan kejelasan, alamat IP akan dianggap eksternal terhadap lingkungan pelanggan.

Menyesuaikan notifikasi yang ditampilkan oleh kategori Applied Threat Intelligence

Anda dapat mengurangi jumlah deteksi yang dihasilkan oleh aturan atau set aturan menggunakan pengecualian aturan.

Dalam pengecualian aturan, tentukan kriteria peristiwa UDM yang mengecualikan peristiwa tersebut agar tidak dievaluasi oleh set aturan. Peristiwa dengan nilai di kolom UDM yang ditentukan tidak akan dievaluasi oleh aturan dalam set aturan.

Misalnya, Anda dapat mengecualikan peristiwa berdasarkan informasi berikut:

  • principal.hostname
  • principal.ip
  • target.domain.name
  • target.file.sha256
  • target.url

Lihat Mengonfigurasi pengecualian aturan untuk mengetahui informasi tentang cara membuat pengecualian aturan.

Jika set aturan menggunakan daftar referensi yang telah ditentukan, deskripsi daftar referensi akan memberikan detail tentang kolom UDM yang dievaluasi.

Set aturan Autentikasi Alamat IP Masuk menggunakan tiga kolom UDM yang dapat digunakan untuk menyesuaikan notifikasi dari set aturan ini:

  • principal.ip
  • principal.asset.ip
  • src.ip

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.