應用威脅情報精選偵測規則

支援的服務：

本文概略說明 Google Security Operations Enterprise Plus 中，Applied Threat Intelligence Curated Prioritization 類別的精選偵測規則集。這些規則會使用 Google Threat Intelligence，主動識別高優先順序的威脅並發出警示。

精選偵測規則集

「Curated Prioritization」類別包含下列規則集，可支援 Google SecOps 的 Applied Threat Intelligence 功能：

  • Active Breach Priority Network Indicators：使用 Google Threat Intelligence 偵測事件資料中與網路相關的入侵指標 (IoC)，並優先處理標示為「Active breach」的 IoC。
  • Active Breach Priority Host Indicators：使用 Google Threat Intelligence 偵測事件資料中與主機相關的 IoC，並優先處理標有「Active breach」的 IoC。
  • 高優先順序網路指標：使用 Google Threat Intelligence 識別事件資料中與網路相關的 IoC，並優先標示為「高」。
  • 高優先順序主機指標：使用 Google Threat Intelligence 偵測事件資料中與主機相關的 IoC，並優先標示為「高」。
  • 內送 IP 位址驗證指標：識別在內送網路方向驗證本機基礎架構的 IP 位址，並優先加上「高」標籤。
  • 中優先順序網路指標：使用 Google Threat Intelligence 識別事件資料中與網路相關的 IoC，並加上「中」標籤，排定優先順序。
  • 中優先順序主機指標：使用 Google Threat Intelligence 找出事件資料中與主機相關的 IoC，並加上「中」標籤。

Google SecOps Enterprise Plus 客戶佈建執行個體或這個類別推出新規則集時，系統會預設啟用這些規則集 (狀態設為「啟用」)。

啟用後，Google SecOps 會根據 Google Threat Intelligence 資料評估事件資料。如果規則偵測到與標示為 Active breach 或 High 的 IoC 相符，系統預設會產生快訊。因為警告功能預設為「開啟」。

「中等優先順序」和「傳入 IP 位址驗證」規則集的快訊預設為「關閉」，以便在「IOC 比對」頁面填入 IOC 優先順序，而不會產生快訊干擾。

如果手動停用自動啟用的規則集，該規則集會保持停用狀態，不會自動重新啟用。如要進一步瞭解如何管理這些設定，請參閱「啟用所有規則集」。

支援的裝置和記錄類型

您可以從 Google SecOps 支援的任何記錄類型擷取資料，並使用預設剖析器 (請參閱「支援的記錄類型和預設剖析器」)。

Google SecOps 會根據 Mandiant Threat Intelligence 精選的 IoC 評估 UDM 事件資料，找出相符的網域、IP 位址、檔案雜湊和網址，然後分析儲存這些規則集的 UDM 欄位。

如果將預設剖析器替換為自訂剖析器，並變更儲存網域、IP 位址、檔案雜湊或網址的 UDM 欄位，可能會影響這些規則集的行為。

規則集會使用 Google SecOps 事件中的下列 UDM 欄位。這些欄位與 Google Threat Intelligence 的優先順序功能搭配使用，有助於判斷優先順序等級，例如「主動入侵」、「高」或「中」：

  • network.direction
  • security_result.[]action
  • event_count (僅限有效入侵 IP 位址)

如果是 IP 位址指標，則必須提供 network.direction。如果 UDM 事件中未填入 network.direction 欄位，Applied Threat Intelligence 會根據 RFC 1918 內部 IP 位址範圍檢查 principal.ip 和 target.ip 欄位，判斷網路方向。如果這項檢查無法提供明確資訊，系統會將 IP 位址視為客戶環境外部。

調整 Applied Threat Intelligence 類別傳回的警示

您可以使用規則排除條件，減少規則或規則集產生的偵測項目數量。

在規則排除條件中，定義 UDM 事件的條件，將事件排除在規則集評估範圍之外。如果事件在指定 UDM 欄位中有值，規則集中的規則就不會評估該事件。

舉例來說，您可以根據下列資訊排除事件：

  • principal.hostname
  • principal.ip
  • target.domain.name
  • target.file.sha256
  • target.url

詳情請參閱「設定警告抑制」。

如果規則集使用預先定義的參照清單，參照清單說明會詳細說明要評估的 UDM 欄位。

「傳入 IP 位址驗證」規則集使用三個 UDM 欄位，可用於調整這個規則集的警告：

  • principal.ip
  • principal.asset.ip
  • src.ip

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。