Übersicht über die Priorisierung von angewandten Threat Intelligence-Erkenntnissen

Unterstützt in:

ATI-Benachrichtigungen (Applied Threat Intelligence) in Google Security Operations sind IoC-Übereinstimmungen, die durch YARA-L-Regeln mit kuratierter Erkennung in den Kontext gesetzt wurden. Die Kontextualisierung nutzt Mandiant Threat Intelligence aus Google SecOps-Kontextentitäten, was eine intelligente Priorisierung von Warnmeldungen ermöglicht.

ATI-Prioritäten sind im Regelpaket Applied Threat Intelligence – Curated Prioritization enthalten, das in Google SecOps Managed Content mit der Google SecOps Enterprise Plus-Lizenz verfügbar ist.

Funktionen zur ATI-Priorisierung

Zu den wichtigsten Funktionen für die Priorisierung von ATI gehören:

  • Google Threat Intelligence Verdict: Ein einheitliches Threat Intelligence-Ergebnis basierend auf der Analyse von Google.

  • Google Threat Intelligence – Schweregrad: Ein berechneter Schweregrad basierend auf der Analyse von Google.

  • Aktive IR: Stammt aus einer aktiven Incident Response (IR).

  • Häufigkeit: Häufig von Mandiant beobachtet.

  • Zuordnung: Stark mit einer von Mandiant verfolgten Bedrohung verknüpft.

  • Blockiert: Der Indikator wurde nicht durch Sicherheitskontrollen blockiert.

  • Network Direction (Netzwerkrichtung): Zeigt ein- oder ausgehenden Netzwerktraffic an.

Sie können die ATI-Prioritätsfunktion für eine Benachrichtigung auf der Seite IoC-Übereinstimmungen > Ereignisanzeige aufrufen.

ATI-Prioritätsmodelle

In ATI-Prioritätsmodellen werden Google SecOps-Ereignisse und Mandiant Threat Intelligence verwendet, um IoCs Prioritätsstufen zuzuweisen. Diese Priorisierung basiert auf Funktionen, die sowohl für die Prioritätsstufe als auch für den IoC-Typ relevant sind. Es werden Logikketten gebildet, die die Priorität klassifizieren. Die ATI-Modelle für umsetzbare Threat Intelligence können Ihnen dann helfen, auf die generierten Benachrichtigungen zu reagieren.

Prioritätsmodelle werden in den abgestimmten Erkennungsregeln verwendet, die im Regelpaket Applied Threat Intelligence – Abgestimmte Priorisierung enthalten sind. Sie können auch benutzerdefinierte Regeln mit Mandiant-Threat Intelligence über Mandiant Fusion Intelligence erstellen. Dazu ist die Google SecOps Enterprise Plus-Lizenz erforderlich. Weitere Informationen zum Schreiben von YARA-L-Regeln für Fusion-Feeds finden Sie unter Übersicht über Applied Threat Intelligence-Fusion-Feeds.

Die folgenden Prioritätsmodelle sind verfügbar:

Priorität aktiver Sicherheitsverstöße

Das Modell für aktive Sicherheitsverletzungen priorisiert Indikatoren, die Mandiant bei aktiven oder früheren Sicherheitsverletzungen beobachtet hat, bei denen das GTI-Urteil Schadsoftware und der GTI-Schweregrad Hoch ist.

Zu den relevanten Funktionen, die vom Modell verwendet werden, gehören: GTI-Urteil, GTI-Schweregrad, Aktive Reaktion auf Sicherheitsvorfall, Verbreitung und Zuordnung.

Hohe Priorität

Im Modell „Hoch“ werden Indikatoren priorisiert, die nicht in Mandiant-Untersuchungen beobachtet, aber von Google Threat Intelligence als mit Bedrohungsakteuren oder Malware in Verbindung stehend identifiziert wurden. Netzwerkindikatoren in diesem Modell versuchen, nur Netzwerkverkehr in ausgehender Richtung abzugleichen.

Zu den relevanten Funktionen, die vom Modell verwendet werden, gehören: GTI-Urteil, GTI-Schweregrad, Prävalenz und Attribution.

Mittlere Priorität

Beim Modell „Mittel“ werden Indikatoren, die von Google Threat Intelligence mit dem GTI-Urteil Schädlich und dem GTI-Schweregrad Hoch identifiziert wurden, priorisiert, auch wenn sie nicht in Mandiant-Untersuchungen beobachtet wurden. Netzwerkindikatoren in diesem Modell beziehen sich nur auf ausgehenden Netzwerkverkehr.

Zu den relevanten Funktionen, die vom Modell verwendet werden, gehören: GTI-Urteil, GTI-Schweregrad, Prävalenz und Blockiert.

Authentifizierung eingehender IP-Adressen

Beim Authentifizierungsmodell für eingehende IP-Adressen werden IP-Adressen priorisiert, die sich in Richtung eines eingehenden Netzwerks bei der lokalen Infrastruktur authentifizieren. Die UDM-Authentifizierungserweiterung muss in Ereignissen vorhanden sein, damit eine Übereinstimmung erfolgt. Dieser Regelsatz wird zwar nicht für alle Produkttypen erzwungen, es wird aber auch versucht, einige fehlgeschlagene Authentifizierungsereignisse herauszufiltern. Diese Regelgruppe ist beispielsweise nicht für einige SSO-Authentifizierungstypen festgelegt.

Zu den relevanten Funktionen, die vom Modell verwendet werden, gehören: GTI Verdict, Blocked, Network Direction und Active IR.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten