实用威胁情报精选检测

支持范围：

本文档简要介绍了 Google Security Operations Enterprise Plus 中“Applied Threat Intelligence 精选优先级”类别下的精选检测规则集。这些规则使用 Google Threat Intelligence 主动识别高优先级威胁并发出提醒。

精选检测规则集

“精选优先级”类别包含以下规则集，这些规则集支持 Google SecOps 中的 Applied Threat Intelligence 功能：

  • Active Breach Priority Network Indicators：使用 Google Threat Intelligence 检测事件数据中与网络相关的失陷指标 (IoC)，并优先处理带有“Active breach”（活跃入侵）标签的 IoC。
  • Active Breach Priority Host Indicators：使用 Google Threat Intelligence 检测事件数据中与主机相关的 IoC，并使用“Active breach”标签确定其优先级。
  • 高优先级网络指标：使用 Google Threat Intelligence 识别事件数据中与网络相关的 IoC，并使用“高”标签确定其优先级。
  • 高优先级主机指标：使用 Google Threat Intelligence 检测事件数据中与主机相关的 IoC，并使用“高”标签确定其优先级。
  • 入站 IP 地址身份验证指标：识别在入站网络方向上向本地基础设施进行身份验证的 IP 地址，并使用“高”标签确定其优先级。
  • 中优先级网络指标：使用 Google Threat Intelligence 识别事件数据中与网络相关的 IoC，并为其分配“中”优先级标签。
  • 中优先级主机指标：使用 Google Threat Intelligence 识别事件数据中与主机相关的 IoC，并为其分配“中”优先级标签。

对于 Google SecOps 企业 Plus 版客户，在配置实例时或在此类别中发布新规则集时，这些规则集会默认启用（状态设置为已启用）。

启用后，Google SecOps 会根据 Google Threat Intelligence 数据评估您的事件数据。如果规则检测到与标记为 Active breach 或 High 的 IoC 匹配，系统会默认生成提醒。这是因为“提醒”功能默认设置为开启。

对于中等优先级和入站 IP 地址身份验证规则集，提醒功能默认设置为关闭，以便在“IOC 匹配网页”页面上填充 IOC 优先级，而不会产生提醒干扰。

如果您手动停用自动启用的规则集，该规则集将保持停用状态，不会自动重新启用。如需详细了解如何管理这些设置，请参阅启用所有规则集。

支持的设备和日志类型

您可以使用默认解析器从 Google SecOps 支持的任何日志类型中注入数据（请参阅支持的日志类型和默认解析器）。

Google SecOps 会根据 Mandiant Threat Intelligence 整理的 IoC 评估您的 UDM 事件数据，并识别域名、IP 地址、文件哈希和网址的匹配项。然后，它会分析存储这些规则集的 UDM 字段。

如果您将默认解析器替换为自定义解析器，并更改存储网域、IP 地址、文件哈希或网址的 UDM 字段，则可能会影响这些规则集的行为。

规则集使用 Google SecOps 事件中的以下 UDM 字段。 这些字段与 Google Threat Intelligence 的优先级排序功能相结合，有助于确定优先级，例如“活跃入侵”“高”或“中”：

  • network.direction
  • security_result.[]action
  • event_count（仅限活跃的违规 IP 地址）

对于 IP 地址指示器，network.direction 是必需的。如果 UDM 事件中未填充 network.direction 字段，则 Applied Threat Intelligence 会根据 RFC 1918 内部 IP 地址范围检查 principal.ip 和 target.ip 字段，以确定网络方向。如果此检查无法提供明确结果，则该 IP 地址会被视为客户环境外部的 IP 地址。

调整“实用威胁情报”类别返回的提醒

您可以使用规则排除项来减少规则或规则集生成的检测数量。

在规则排除项中，定义 UDM 事件的条件，以排除规则集对该事件进行评估。规则集中的规则不会评估指定 UDM 字段中包含值的事件。

例如，您可以根据以下信息排除事件：

  • principal.hostname
  • principal.ip
  • target.domain.name
  • target.file.sha256
  • target.url

如需了解详情，请参阅配置提醒抑制。

如果规则集使用预定义的参考列表，则参考列表说明会详细说明要评估哪个 UDM 字段。

“入站 IP 地址身份验证”规则集使用三个 UDM 字段，这些字段可用于调整此规则集发出的提醒：

  • principal.ip
  • principal.asset.ip
  • src.ip

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。