Detecções especializadas de inteligência contra ameaças aplicada

Com suporte em:

Este documento oferece uma visão geral dos conjuntos de regras de detecção especializadas na categoria de priorização selecionada de inteligência contra ameaças aplicada, disponível no Google Security Operations Enterprise Plus. Essas regras usam o Google Threat Intelligence para identificar e alertar proativamente sobre ameaças de alta prioridade.

Conjuntos de regras de detecção especializadas

A categoria de priorização selecionada inclui os seguintes conjuntos de regras que oferecem suporte ao recurso de inteligência contra ameaças aplicada no Google SecOps:

  • Indicadores de rede de prioridade de violação ativa: detecta indicadores de comprometimento (IoCs) relacionados à rede em dados de eventos usando o Google Threat Intelligence e prioriza os IoCs com o rótulo "Violação ativa".
  • Indicadores de host de prioridade de violação ativa: detecta IoCs relacionados ao host em dados de eventos usando o Google Threat Intelligence e os prioriza com o rótulo "Violação ativa".
  • Indicadores de rede de alta prioridade: identifica IoCs relacionados à rede em dados de eventos usando o Google Threat Intelligence e os prioriza com o rótulo "Alta".
  • Indicadores de host de alta prioridade: detecta IoCs relacionados ao host em dados de eventos usando o Google Threat Intelligence e os prioriza com o rótulo "Alta".
  • Indicadores de autenticação de endereço IP de entrada: identifica endereços IP que estão sendo autenticados na infraestrutura local em uma direção de rede de entrada e os prioriza com o rótulo "Alta".
  • Indicadores de rede de média prioridade: identifica IoCs relacionados à rede em dados de eventos usando o Google Threat Intelligence e os prioriza com o rótulo "Média".
  • Indicadores de host de média prioridade: identifica IoCs relacionados ao host em dados de eventos usando o Google Threat Intelligence e os prioriza com o rótulo "Média".

Para clientes do Google SecOps Enterprise Plus, esses conjuntos de regras são ativados por padrão (o status é definido como Ativado) no provisionamento da instância ou quando novos conjuntos de regras são lançados nessa categoria.

Depois de ativado, o Google SecOps avalia os dados de eventos em relação aos dados do Google Threat Intelligence. Se uma regra detectar uma correspondência com um IoC rotulado como Active breach ou High, um alerta será gerado por padrão. Isso ocorre porque os alertas estão definidos como Ativados por padrão.

Para conjuntos de regras de média prioridade e autenticação de endereço IP de entrada, os alertas são definidos como Desativados por padrão para preencher a priorização de IOCs na página "Correspondências de IOC" sem gerar ruído de alerta.

Se você desativar manualmente um conjunto de regras ativado automaticamente, ele permanecerá desativado e não será reativado automaticamente. Para mais informações sobre como gerenciar essas configurações, consulte Ativar todos os conjuntos de regras.

Dispositivos e tipos de registros com suporte

É possível ingerir dados de qualquer tipo de registro com suporte do Google SecOps com um analisador padrão (consulte Tipos de registros e analisadores padrão com suporte).

O Google SecOps avalia os dados de eventos de UDM em relação aos IoCs selecionados pelo Mandiant Threat Intelligence e identifica correspondências para domínios, endereços IP, hashes de arquivos e URLs. Em seguida, ele analisa os campos de UDM que armazenam esses conjuntos de regras.

Se você substituir um analisador padrão por um analisador personalizado e mudar o campo de UDM em que um domínio, endereço IP, hash de arquivo ou URL está armazenado, isso poderá afetar o comportamento desses conjuntos de regras.

Os conjuntos de regras usam os seguintes campos de UDM de eventos do Google SecOps. Esses campos, combinados com os recursos de priorização do Google Threat Intelligence, ajudam a determinar os níveis de prioridade, como "Violação ativa", "Alta", ou "Média":

  • network.direction
  • security_result.[]action
  • event_count (somente endereço IP de violação ativa)

Para indicadores de endereço IP, o network.direction é obrigatório. Se o campo network.direction não for preenchido no evento de UDM, a inteligência contra ameaças aplicada vai verificar os campos principal.ip e target.ip em relação aos intervalos de endereços IP internos RFC 1918 para determinar a direção da rede. Se essa verificação não fornecer clareza, o endereço IP será considerado externo ao ambiente do cliente.

Ajustar alertas retornados pela categoria de inteligência contra ameaças aplicada

É possível reduzir o número de detecções geradas por uma regra ou conjunto de regras usando exclusões de regras.

Na exclusão de regras, defina os critérios de um evento de UDM que excluem o evento de ser avaliado pelo conjunto de regras. Os eventos com valores no campo de UDM especificado não serão avaliados pelas regras no conjunto de regras.

Por exemplo, é possível excluir eventos com base nas seguintes informações:

  • principal.hostname
  • principal.ip
  • target.domain.name
  • target.file.sha256
  • target.url

Consulte Configurar exclusões de regras para informações sobre como criar exclusões de regras.

Se um conjunto de regras usar uma lista de referência predefinida, a descrição da lista de referência vai fornecer detalhes sobre qual campo de UDM é avaliado.

O conjunto de regras de autenticação de endereço IP de entrada usa três campos de UDM que podem ser usados para ajustar alertas desse conjunto de regras:

  • principal.ip
  • principal.asset.ip
  • src.ip

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.