Deteksi terseleksi Applied Threat Intelligence

Didukung di:

Dokumen ini memberikan ringkasan set aturan Deteksi Terkurasi dalam kategori Prioritas Terkurasi Applied Threat Intelligence, yang tersedia di Google Security Operations Enterprise Plus. Aturan ini menggunakan Google Threat Intelligence untuk mengidentifikasi dan memberikan pemberitahuan secara proaktif tentang ancaman berprioritas tinggi.

Kumpulan aturan deteksi pilihan

Kategori Prioritas yang Dikurasi mencakup set aturan berikut yang mendukung fitur Intelijen Ancaman yang Diterapkan di Google SecOps:

  • Indikator Jaringan Prioritas Pelanggaran Aktif: Mendeteksi Indikator Penyusupan (IoC) terkait jaringan dalam data peristiwa menggunakan Google Threat Intelligence dan memprioritaskan IoC dengan label 'Pelanggaran aktif'.
  • Indikator Host Prioritas Pelanggaran Aktif: Mendeteksi IoC terkait host dalam data peristiwa menggunakan Google Threat Intelligence dan memprioritaskannya dengan label 'Pelanggaran aktif'.
  • Indikator Jaringan Prioritas Tinggi: Mengidentifikasi IoC terkait jaringan dalam data peristiwa menggunakan Google Threat Intelligence dan memprioritaskannya dengan label 'Tinggi'.
  • Indikator Host Prioritas Tinggi: Mendeteksi IoC terkait host dalam data peristiwa menggunakan Google Threat Intelligence dan memprioritaskannya dengan label Tinggi.
  • Indikator Autentikasi Alamat IP Masuk: Mengidentifikasi alamat IP yang melakukan autentikasi ke infrastruktur lokal dalam arah jaringan masuk dan memprioritaskannya dengan label 'Tinggi'.
  • Indikator Jaringan Prioritas Sedang: Mengidentifikasi IoC terkait jaringan dalam data peristiwa menggunakan Google Threat Intelligence dan memprioritaskannya dengan label 'Sedang'.
  • Indikator Host Prioritas Sedang: Mengidentifikasi IoC terkait host dalam data peristiwa menggunakan Google Threat Intelligence dan memprioritaskannya dengan label 'Sedang'.

Saat Anda mengaktifkan set aturan, Google SecOps akan mulai mengevaluasi data peristiwa Anda berdasarkan data Google Threat Intelligence. Jika ada aturan yang mendeteksi kecocokan dengan IoC yang diberi label 'Pelanggaran aktif' atau 'Tinggi', pemberitahuan akan dibuat. Untuk mengetahui informasi selengkapnya tentang cara mengaktifkan kumpulan aturan deteksi pilihan, lihat Mengaktifkan semua kumpulan aturan.

Perangkat dan jenis log yang didukung

Anda dapat menyerap data dari jenis log apa pun yang didukung Google SecOps dengan parser default (lihat Jenis log dan parser default yang didukung).

Google SecOps mengevaluasi data peristiwa UDM Anda terhadap IoC yang dikurasi oleh Mandiant Threat Intelligence dan mengidentifikasi kecocokan untuk domain, alamat IP, hash file, dan URL. Kemudian, Google SecOps menganalisis kolom UDM yang menyimpan set aturan ini.

Jika Anda mengganti parser default dengan parser kustom, dan Anda mengubah kolom UDM tempat domain, alamat IP, hash file, atau URL disimpan, hal ini dapat memengaruhi perilaku set aturan ini.

Set aturan menggunakan kolom UDM berikut dari peristiwa Google SecOps. Kolom ini, jika digabungkan dengan fitur penentuan prioritas dari Google Threat Intelligence, akan membantu menentukan tingkat prioritas, seperti Pelanggaran aktif, Tinggi, atau Sedang:

  • network.direction
  • security_result.[]action
  • event_count (khusus alamat IP pelanggaran aktif)

Untuk indikator alamat IP, network.direction diperlukan. Jika kolom network.direction tidak diisi dalam peristiwa UDM, maka Applied Threat Intelligence akan memeriksa kolom principal.ip dan target.ip terhadap rentang alamat IP internal RFC 1918 untuk menentukan arah jaringan. Jika pemeriksaan ini tidak memberikan kejelasan, alamat IP dianggap berada di luar lingkungan pelanggan.

Menyesuaikan peringatan yang ditampilkan oleh kategori Applied Threat Intelligence

Anda dapat mengurangi jumlah deteksi yang dihasilkan oleh aturan atau set aturan menggunakan pengecualian aturan.

Dalam pengecualian aturan, tentukan kriteria peristiwa UDM yang mengecualikan peristiwa agar tidak dievaluasi oleh set aturan. Peristiwa dengan nilai di kolom UDM yang ditentukan tidak akan dievaluasi oleh aturan dalam set aturan.

Misalnya, Anda dapat mengecualikan peristiwa berdasarkan informasi berikut:

  • principal.hostname
  • principal.ip
  • target.domain.name
  • target.file.sha256
  • target.url

Lihat Mengonfigurasi pengecualian aturan untuk mengetahui informasi tentang cara membuat pengecualian aturan.

Jika set aturan menggunakan daftar referensi yang telah ditentukan sebelumnya, deskripsi daftar referensi memberikan detail tentang kolom UDM mana yang dievaluasi.

Set aturan Autentikasi Alamat IP Masuk menggunakan tiga kolom UDM yang dapat digunakan untuk menyesuaikan pemberitahuan dari set aturan ini:

  • principal.ip
  • principal.asset.ip
  • src.ip

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.