Applied Threat Intelligence のキュレートされた検出

以下でサポートされています。

このドキュメントでは、Google Security Operations Enterprise Plus で使用できる Applied Threat Intelligence のキュレートされた優先度カテゴリのキュレートされた検出ルールセットの概要について説明します。これらのルールでは、 Google Threat Intelligence を使用して、優先度の高い 脅威をプロアクティブに特定し、アラートを生成します。

キュレーテッド検出ルールセット

キュレートされた優先度カテゴリには、Google SecOps の Applied Threat Intelligence 機能をサポートする次のルールセットが含まれています。

  • Active Breach Priority Network Indicators: Google Threat Intelligence を使用して、イベントデータ内のネットワーク関連の セキュリティ侵害インジケーター（IoC）を検出し、[アクティブな侵害] ラベルの IoC に優先順位を付けます。
  • **Active Breach Priority Host Indicators**: Google Threat Intelligence を使用して、 イベントデータ内のホスト関連の IoC を検出し、[アクティブな 侵害] ラベルで優先順位を付けます。
  • High Priority Network Indicators: Google Threat Intelligence を使用して、イベント データ内のネットワーク関連の IoC を特定し、[高] ラベルで優先順位を付けます。
  • [High Priority Host Indicators]: Google Threat Intelligence を使用して、イベントデータ内のホスト関連の IoC を検出し、[高] ラベルで優先順位を付けます。
  • [Inbound IP Address Authentication Indicators]: 受信ネットワークの方向でローカル インフラストラクチャに対して認証を行っている IP アドレスを特定し、[高] ラベルで優先順位を付けます。
  • [Medium Priority Network Indicators]: Google Threat Intelligence を使用して、イベント データ内のネットワーク関連の IoC を特定し、[中] ラベルで優先順位を付けます。
  • [Medium Priority Host Indicators]: Google Threat Intelligence を使用して、イベントデータ内のホスト関連の IoC を特定し、 [中] ラベルで優先順位を付けます。

Google SecOps Enterprise Plus をご利用のお客様の場合、インスタンスのプロビジョニング時、またはこのカテゴリで新しいルールセットがリリースされると、これらのルールセットはデフォルトで有効になります（ステータスは [有効] に設定されます）。

有効にすると、Google SecOps はイベントデータを Google Threat Intelligence データと照合して評価します。ルールで Active breach または High というラベルの IoC との一致が検出されると、デフォルトでアラートが生成されます。これは、[アラート] がデフォルトで [オン] に設定されているためです。

[中] と [受信 IP アドレス認証] のルールセットでは、アラート ノイズを生成せずに [IOC マッチ] ページに IOC の優先順位を設定するため、[アラート] はデフォルトで [オフ] に設定されています。

自動的に有効になったルールセットを手動で無効にすると、無効のままになり、自動的に再度有効になることはありません。これらの設定を管理する方法の詳細については、 すべてのルールセットを有効にするをご覧ください。

サポート対象のデバイスとログタイプ

Google SecOps がデフォルト パーサーでサポートする任意のログタイプからデータを取り込むことができます （サポートされているログタイプとデフォルト パーサーをご覧ください）。

Google SecOps は、Mandiant Threat Intelligence によってキュレートされた IoC と UDM イベントデータを評価し、ドメイン、IP アドレス、ファイル ハッシュ、URL の一致を特定します。次に、これらのルールセットを保存する UDM フィールドを分析します。

デフォルトのパーサーをカスタム パーサーに置き換え、ドメイン、IP アドレス、ファイル ハッシュ、または URL が保存されている UDM フィールドを変更すると、これらのルールセットの動作に影響を与える可能性があります。

ルールセットでは、Google SecOps イベントの次の UDM フィールドを使用します。 これらのフィールドは、 Google Threat Intelligence の優先順位付け機能と組み合わせて、[アクティブな侵害]、[高]、 [中] などの優先度レベルを決定します。

  • network.direction
  • security_result.[]action
  • event_count（アクティブな侵害の IP アドレスのみ）

IP アドレス インジケーターの場合、network.direction が必要です。UDM イベントで network.direction フィールドが入力されていない場合、Applied Threat Intelligence は principal.ip と target.ip フィールドを RFC 1918 の内部 IP アドレス範囲と照合して、ネットワークの方向を決定します。このチェックで明確でない場合、IP アドレスはお客様の環境の外部とみなされます。

Applied Threat Intelligence のカテゴリから返されるアラートの調整

ルール除外を使用して、ルールまたはルールセットが生成する検出数を減らすことができます。

ルールの除外では、ルールセットによる評価からイベントを除外する UDM イベントの条件を定義します。指定した UDM フィールドの値を持つイベントは、ルールセットのルールによって評価されません。

たとえば、次の情報に基づいてイベントを除外できます。

  • principal.hostname
  • principal.ip
  • target.domain.name
  • target.file.sha256
  • target.url

ルール除外を作成する方法については、ルール除外を構成するをご覧ください。

ルールセットで事前定義の参照リストを使用する場合、参照リストの説明では、評価される UDM フィールドの詳細が提供されます。

受信 IP アドレス認証ルールセットでは、このルールセットからのアラートの調整に使用できる 3 つの UDM フィールドを 使用します。

  • principal.ip
  • principal.asset.ip
  • src.ip

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。