Présentation de la priorisation Applied Threat Intelligence

Compatible avec :

Les alertes Applied Threat Intelligence (ATI) dans Google Security Operations sont des correspondances d'IoC qui ont été contextualisées par des règles YARA-L à l'aide de la détection optimisée. La contextualisation exploite les renseignements sur les menaces de Mandiant à partir des entités de contexte Google SecOps, ce qui permet de hiérarchiser les alertes en fonction des renseignements.

Les priorités ATI sont fournies dans le pack de règles Applied Threat Intelligence - Curated Prioritization, disponible dans le contenu géré Google SecOps avec la licence Google SecOps Enterprise Plus.

Fonctionnalités de priorisation de l'ATI

Voici les fonctionnalités de priorisation ATI les plus pertinentes :

  • Verdict Google Threat Intelligence : verdict unifié sur les renseignements sur les menaces basé sur l'analyse de Google.

  • Gravité Google Threat Intelligence : niveau de gravité calculé en fonction de l'analyse de Google.

  • Réponse aux incidents active : provient d'un engagement de réponse aux incidents actif.

  • Prévalence : couramment observée par Mandiant.

  • Attribution : fortement associée à une menace suivie par Mandiant.

  • Bloqué : l'indicateur n'a pas été bloqué par les contrôles de sécurité.

  • Direction du réseau : affiche le trafic réseau entrant ou sortant.

Vous pouvez afficher la fonctionnalité de priorité ATI pour une alerte sur la page Correspondances d'IoC > Visionneuse d'événements.

Modèles prioritaires ATI

Les modèles de priorité ATI utilisent les événements Google SecOps et les renseignements sur les menaces de Mandiant pour attribuer des niveaux de priorité aux IoC. Cette priorisation est basée sur des caractéristiques pertinentes à la fois pour le niveau de priorité et le type d'IoC, formant des chaînes logiques qui classent la priorité. Les modèles de renseignements exploitables sur les menaces d'ATI peuvent ensuite vous aider à répondre aux alertes générées.

Les modèles de priorité sont utilisés dans les règles de détection optimisées fournies dans le pack de règles Applied Threat Intelligence - Curated prioritization. Vous pouvez également créer des règles personnalisées à l'aide des renseignements sur les menaces Mandiant via Mandiant Fusion Intelligence, ce qui nécessite la licence Google SecOps Enterprise Plus. Pour en savoir plus sur l'écriture de règles YARA-L pour les flux Fusion, consultez Présentation du flux Fusion Applied Threat Intelligence.

Les modèles de priorité suivants sont disponibles :

Priorité de la violation active

Le modèle de violation active donne la priorité aux indicateurs observés par Mandiant dans des compromissions actives ou passées, où le verdict GTI est Malveillant et la gravité GTI est Élevée.

Les caractéristiques pertinentes utilisées par le modèle incluent : Verdict GTI, Gravité GTI, IR actif, Prévalence et Attribution.

Priorité élevée

Le modèle "Élevé" donne la priorité aux indicateurs qui n'ont pas été observés lors des enquêtes Mandiant, mais qui ont été identifiés par Google Threat Intelligence comme étant associés à des acteurs malveillants ou à des logiciels malveillants. Les indicateurs réseau de ce modèle tentent de ne faire correspondre que le trafic réseau sortant.

Les caractéristiques pertinentes utilisées par le modèle incluent : Verdict GTI, Gravité GTI, Prévalence et Attribution.

Priorité moyenne

Le modèle "Moyen" donne la priorité aux indicateurs identifiés par Google Threat Intelligence avec un verdict GTI Malveillant et une gravité GTI Élevée, même s'ils n'ont pas été observés dans les enquêtes Mandiant. Les indicateurs réseau de ce modèle ne correspondent qu'au trafic réseau sortant.

Les caractéristiques pertinentes utilisées par le modèle incluent : Verdict GTI, Gravité GTI, Prévalence et Bloqué.

Authentification de l'adresse IP entrante

Le modèle d'authentification par adresse IP entrante donne la priorité aux adresses IP qui s'authentifient auprès de l'infrastructure locale dans une direction réseau entrante. L'extension d'authentification UDM doit exister dans les événements pour qu'une correspondance se produise. Bien qu'il ne soit pas appliqué à tous les types de produits, cet ensemble de règles tente également de filtrer certains événements d'échec d'authentification. Par exemple, cet ensemble de règles n'est pas limité à certains types d'authentification SSO.

Les caractéristiques pertinentes utilisées par le modèle incluent : Verdict GTI, Bloqué, Direction du réseau et IR actif.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.