Descripción general de la priorización de Applied Threat Intelligence
Las alertas de inteligencia contra amenazas aplicada (ATI) en Google Security Operations son coincidencias de IoC que se contextualizaron con reglas de YARA-L a través de la detección seleccionada. La contextualización aprovecha la inteligencia contra amenazas de Mandiant de las entidades de contexto de Google SecOps, lo que permite priorizar las alertas en función de la inteligencia.
Las prioridades de ATI se proporcionan en el paquete de reglas Applied Threat Intelligence - Curated Prioritization, que está disponible en el contenido administrado de Google SecOps con la licencia de Google SecOps Enterprise Plus.
Funciones de priorización de ATI
Estas son las funciones de priorización de ATI más relevantes:
Veredicto de Google Threat Intelligence: Es un veredicto unificado de inteligencia contra amenazas basado en el análisis de Google.
Gravedad de Google Threat Intelligence: Es una calificación de gravedad calculada según el análisis de Google.
IR activa: Se obtiene de una participación activa de respuesta ante incidentes (IR).
Prevalencia: Mandiant la observa con frecuencia.
Atribución: Se asocia de forma sólida con una amenaza a la que Mandiant hace un seguimiento.
Bloqueado: Los controles de seguridad no bloquearon el indicador.
Dirección de red: Muestra el tráfico de red entrante o saliente.
Puedes ver la función de prioridad de ATI para una alerta en la página Coincidencias de IoC > Visualizador de eventos.
Modelos de prioridad de ATI
Los modelos de prioridad de ATI usan eventos de Google SecOps y la inteligencia contra amenazas de Mandiant para asignar niveles de prioridad a los IoC. Esta priorización se basa en características relevantes tanto para el nivel de prioridad como para el tipo de IoC, lo que forma cadenas lógicas que clasifican la prioridad. Luego, los modelos de inteligencia contra amenazas procesable de ATI pueden ayudarte a responder a las alertas generadas.
Los modelos de prioridad se usan en las reglas de detección seleccionadas que se proporcionan en el paquete de reglas Inteligencia contra amenazas aplicada: Priorización seleccionada. También puedes crear reglas personalizadas con la inteligencia contra amenazas de Mandiant a través de Mandiant Fusion Intelligence, que requiere la licencia de Google SecOps Enterprise Plus. Para obtener más información sobre cómo escribir reglas de YARA-L para el feed de Fusion, consulta Descripción general del feed de Applied Threat Intelligence Fusion.
Están disponibles los siguientes modelos de prioridad:
Prioridad de la violación de la seguridad activa
El modelo de incumplimiento activo prioriza los indicadores que Mandiant observó en vulneraciones activas o pasadas, en las que el veredicto de GTI es Malicioso y la gravedad de GTI es Alta.
Entre los atributos relevantes que usa el modelo, se incluyen los siguientes: Veredicto de GTI, Gravedad de GTI, Respuesta a incidentes activa, Prevalencia y Atribución.
Prioridad alta
El modelo High prioriza los indicadores que no se observaron en las investigaciones de Mandiant, pero que Google Threat Intelligence identificó como asociados con agentes de amenazas o malware. Los indicadores de red de este modelo intentan coincidir solo con el tráfico de red de dirección saliente.
Entre los atributos relevantes que usa el modelo, se incluyen los siguientes: Veredicto de GTI, Gravedad de GTI, Prevalencia y Atribución.
Prioridad media
El modelo Medio prioriza los indicadores identificados por Google Threat Intelligence con un veredicto de GTI Malicioso y una gravedad de GTI Alta, incluso si no se observaron en las investigaciones de Mandiant. Los indicadores de red de este modelo solo coinciden con el tráfico de red saliente.
Entre los atributos relevantes que usa el modelo, se incluyen los siguientes: Veredicto de GTI, Gravedad de GTI, Prevalencia y Bloqueado.
Autenticación de direcciones IP entrantes
El modelo de autenticación de direcciones IP entrantes prioriza las direcciones IP que se autentican en la infraestructura local en una dirección de red entrante. La extensión de autenticación de UDM debe existir en los eventos para que se produzca una coincidencia. Aunque no se aplica a todos los tipos de productos, este conjunto de reglas también intenta filtrar algunos eventos de autenticación fallidos. Por ejemplo, este conjunto de reglas no tiene alcance para algunos tipos de autenticación de SSO.
Entre los atributos relevantes que usa el modelo, se incluyen los siguientes: Veredicto de GTI, Bloqueado, Dirección de red y IR activo.
¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.