Detecções especializadas da inteligência contra ameaças aplicada

Compatível com:

Neste documento, apresentamos uma visão geral dos conjuntos de regras de detecção especializadas na categoria de priorização selecionada da inteligência contra ameaças aplicada, disponível no Google Security Operations Enterprise Plus. Essas regras usam o Google Threat Intelligence para identificar e alertar proativamente sobre ameaças de alta prioridade.

Conjuntos de regras de detecção especializadas

A categoria Priorização selecionada inclui os seguintes conjuntos de regras que dão suporte ao recurso de inteligência contra ameaças aplicada no Google SecOps:

  • Indicadores de rede prioritários de violação ativa: detecta indicadores de comprometimento (IoCs) relacionados à rede em dados de eventos usando o Google Threat Intelligence e prioriza os IoCs com o rótulo "Violação ativa".
  • Indicadores de host prioritários de violação ativa: detecta IoCs relacionados ao host em dados de eventos usando o Google Threat Intelligence e os prioriza com o rótulo "Violação ativa".
  • Indicadores de rede de alta prioridade: identifica IoCs relacionados à rede em dados de eventos usando o Google Threat Intelligence e os prioriza com o rótulo "Alta".
  • Indicadores de host de alta prioridade: detecta IoCs relacionados ao host em dados de eventos usando o Google Threat Intelligence e os prioriza com o rótulo "Alta".
  • Indicadores de autenticação de endereço IP de entrada: identifica os endereços IP que estão se autenticando na infraestrutura local em uma direção de rede de entrada e os prioriza com o rótulo "Alto".
  • Indicadores de rede de prioridade média: identifica IoCs relacionados à rede em dados de eventos usando o Google Threat Intelligence e os prioriza com o rótulo "Médio".
  • Indicadores de host de prioridade média: identifica IoCs relacionados ao host em dados de eventos usando o Google Threat Intelligence e os prioriza com o rótulo "Médio".

Para clientes do Google SecOps Enterprise Plus, esses conjuntos de regras são ativados por padrão (o status é definido como Ativado) no provisionamento da instância ou quando novos conjuntos de regras são lançados nessa categoria.

Depois de ativado, o Google SecOps avalia os dados de eventos em relação aos dados do Google Threat Intelligence. Se uma regra detectar uma correspondência com um IoC rotulado como Active breach ou High, um alerta será gerado por padrão. Isso ocorre porque o Alerta é definido como Ativado por padrão.

Para os conjuntos de regras de Prioridade média e Autenticação de endereço IP de entrada, os alertas são definidos como Desativados por padrão para preencher a priorização de IOCs na página "Correspondências de IOC" sem gerar ruído de alerta.

Se você desativar manualmente um conjunto de regras ativado automaticamente, ele vai permanecer desativado e não será reativado de forma automática. Para mais informações sobre como gerenciar essas configurações, consulte Ativar todos os conjuntos de regras.

Dispositivos e tipos de registro compatíveis

É possível ingerir dados de qualquer tipo de registro compatível com o Google SecOps com um analisador padrão (consulte Tipos de registro compatíveis e analisadores padrão).

O Google SecOps avalia os dados de eventos de UDM em relação aos IoCs selecionados pela Mandiant Threat Intelligence e identifica correspondências para domínios, endereços IP, hashes de arquivos e URLs. Em seguida, ele analisa os campos de UDM que armazenam esses conjuntos de regras.

Se você substituir um analisador padrão por um analisador personalizado e alterar o campo UDM em que um domínio, endereço IP, hash de arquivo ou URL é armazenado, isso poderá afetar o comportamento desses conjuntos de regras.

Os conjuntos de regras usam os seguintes campos de UDM de eventos do Google SecOps. Esses campos, combinados com os recursos de priorização do Google Threat Intelligence, ajudam a determinar os níveis de prioridade, como Violação ativa, Alta ou Média:

  • network.direction
  • security_result.[]action
  • event_count (somente endereço IP de violação ativa)

Para indicadores de endereço IP, o network.direction é obrigatório. Se o campo network.direction não estiver preenchido no evento do UDM, a Inteligência contra Ameaças Aplicada vai verificar os campos principal.ip e target.ip em relação aos intervalos de endereços IP internos RFC 1918 para determinar a direção da rede. Se essa verificação não fornecer clareza, o endereço IP será considerado externo ao ambiente do cliente.

Ajustar os alertas retornados pela categoria de inteligência contra ameaças aplicada

É possível reduzir o número de detecções que uma regra ou um conjunto de regras gera usando exclusões de regras.

Na exclusão de regra, defina os critérios de um evento de UDM que excluem o evento da avaliação pelo conjunto de regras. Os eventos com valores no campo de UDM especificado não serão avaliados pelas regras no conjunto de regras.

Por exemplo, é possível excluir eventos com base nas seguintes informações:

  • principal.hostname
  • principal.ip
  • target.domain.name
  • target.file.sha256
  • target.url

Para mais informações, consulte Configurar a supressão de alertas.

Se um conjunto de regras usar uma lista de referência predefinida, a descrição da lista de referência fornecerá detalhes sobre qual campo UDM é avaliado.

O conjunto de regras de autenticação de endereço IP de entrada usa três campos de UDM que podem ser usados para ajustar os alertas desse conjunto de regras:

  • principal.ip
  • principal.asset.ip
  • src.ip

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.