應用威脅情報精選偵測規則

支援的國家/地區：

Google SecOps SIEM

本文概略說明 Google Security Operations Enterprise Plus 中，應用威脅情報精選優先順序類別的精選偵測規則集。這些規則會使用 Google Threat Intelligence，主動識別高優先順序的威脅並發出警報。

精選偵測規則集

「精選優先順序」類別包含下列規則集，可在 Google SecOps 中支援「套用威脅情報」功能：

• Active Breach Priority Network Indicators：使用 Google Threat Intelligence 偵測事件資料中與網路相關的入侵指標 (IoC)，並以「Active breach」標籤標示優先 IoC。
• 主機入侵優先指標：使用 Google 威脅情報偵測事件資料中的主機相關入侵指標，並以「主機入侵」標籤標示優先順序。
• 高優先順序網路指標：使用 Google Threat Intelligence 識別事件資料中的網路相關 IoC，並以「高」標籤標示優先順序。
• 高優先順序主機指標：使用 Google Threat Intelligence 偵測事件資料中與主機相關的 IoC，並以「高」標籤標示優先順序。
• 內送 IP 位址驗證指標：識別在內送網路方向驗證本機基礎架構的 IP 位址，並以「高」標籤優先處理。
• 中等優先順序網路指標：使用 Google Threat Intelligence 識別事件資料中與網路相關的 IoC，並以「中等」標籤排定優先順序。
• 中等優先順序主機指標：使用 Google Threat Intelligence 識別事件資料中與主機相關的 IoC，並以「中等」標籤標示優先順序。

啟用規則集後，Google SecOps 就會開始根據 Google Threat Intelligence 資料評估您的事件資料。如果任何規則偵測到與標示為「Active breach」或「High」的 IoC 相符，系統就會產生快訊。如要進一步瞭解如何啟用精選偵測規則集，請參閱「啟用所有規則集」。

支援的裝置和記錄類型

您可以透過預設剖析器，擷取 Google SecOps 支援的任何記錄類型資料 (請參閱「支援的記錄類型和預設剖析器」)。

Google SecOps 會根據 Mandiant Threat Intelligence 策劃的 IoC 評估 UDM 事件資料，並找出網域、IP 位址、檔案雜湊和網址的相符項目。接著，系統會分析儲存這些規則集的 UDM 欄位。

如果您以自訂剖析器取代預設剖析器，並變更儲存網域、IP 位址、檔案雜湊或網址的 UDM 欄位，這些規則集的行為可能會受到影響。

規則集會使用 Google SecOps 事件中的下列 UDM 欄位。 這些欄位搭配 Google Threat Intelligence 的優先順序功能，有助於判斷優先順序等級，例如「發生中的違規事件」、「高」或「中」：

• network.direction
• security_result.[]action
• event_count (僅限發生違規事件的 IP 位址)

如果是 IP 位址指標，則必須提供 network.direction。如果 UDM 事件中未填入 network.direction 欄位，Applied Threat Intelligence 會根據 RFC 1918 內部 IP 位址範圍檢查 principal.ip 和 target.ip 欄位，判斷網路方向。如果這項檢查無法提供明確資訊，則該 IP 位址會視為位於客戶環境外部。

調整「應用威脅情報」類別傳回的警示

您可以透過規則排除條件，減少規則或規則集產生的偵測項目數量。

在規則排除條件中，定義 UDM 事件的條件，將事件排除在規則集評估範圍之外。如果事件在指定的 UDM 欄位中有值，規則集中的規則就不會評估這類事件。

舉例來說，您可以根據下列資訊排除事件：

• principal.hostname
• principal.ip
• target.domain.name
• target.file.sha256
• target.url

如要瞭解如何建立規則排除條件，請參閱「設定規則排除條件」。

如果規則集使用預先定義的參照清單，參照清單說明會詳細說明要評估的 UDM 欄位。

「Inbound IP Address Authentication」規則集使用三個 UDM 欄位，可用於調整這個規則集的快訊：

• principal.ip
• principal.asset.ip
• src.ip

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。