Visão geral da priorização da inteligência contra ameaças aplicada

Compatível com:

Os alertas de inteligência contra ameaças aplicada (ATI, na sigla em inglês) no Google Security Operations são correspondências de IoC que foram contextualizadas por regras YARA-L usando detecção especializada. A contextualização aproveita a inteligência contra ameaças da Mandiant das entidades de contexto do Google SecOps, o que permite a priorização de alertas com base em inteligência.

As prioridades da ATI são fornecidas no pacote de regras Applied Threat Intelligence - Curated Prioritization, que está disponível no conteúdo gerenciado do Google SecOps com a licença do Google SecOps Enterprise Plus.

Recursos de priorização de ATI

Os recursos de priorização de ATI mais relevantes incluem:

  • Veredicto do Google Threat Intelligence: um veredicto unificado de inteligência contra ameaças com base na análise do Google.

  • Gravidade do Google Threat Intelligence: uma classificação de gravidade calculada com base na análise do Google.

  • Resposta a incidentes (IR) ativa: proveniente de um engajamento ativo de resposta a incidentes (IR).

  • Prevalência: comumente observada pela Mandiant.

  • Atribuição: fortemente associado a uma ameaça rastreada pela Mandiant.

  • Bloqueado: o indicador não foi bloqueado pelos controles de segurança.

  • Direção da rede: mostra o tráfego de rede de entrada ou saída.

É possível conferir o recurso de prioridade da ATI para um alerta na página Correspondências de IoC > Visualizador de eventos.

Modelos de prioridade de ATI

Os modelos de prioridade da ATI usam eventos do Google SecOps e inteligência contra ameaças da Mandiant para atribuir níveis de prioridade aos IoCs. Essa priorização se baseia em recursos relevantes para o nível de prioridade e o tipo de IoC, formando cadeias lógicas que classificam a prioridade. Os modelos de inteligência contra ameaças acionáveis da ATI podem ajudar você a responder aos alertas gerados.

Os modelos de prioridade são usados nas regras de detecção especializadas fornecidas no pacote de regras Applied Threat Intelligence - Curated prioritization. Também é possível criar regras personalizadas usando a inteligência contra ameaças da Mandiant com o Mandiant Fusion Intelligence, que requer a licença do Google SecOps Enterprise Plus. Para mais informações sobre como escrever regras YARA-L de feed do Fusion, consulte Visão geral do feed de fusão da Applied Threat Intelligence.

Os seguintes modelos de prioridade estão disponíveis:

Prioridade de violação ativa

O modelo de violação ativa prioriza os indicadores que a Mandiant observou em comprometimentos ativos ou passados, em que o veredito da GTI é Malicioso e a gravidade da GTI é Alta.

Os recursos relevantes usados pelo modelo incluem: Veredito do GTI, Gravidade do GTI, IR ativo, Prevalência e Atribuição.

Prioridade alta

O modelo High prioriza indicadores que não foram observados em investigações da Mandiant, mas que foram identificados pelo Google Threat Intelligence como associados a agentes de ameaças ou malware. Os indicadores de rede neste modelo tentam corresponder apenas ao tráfego de rede de saída.

Os recursos relevantes usados pelo modelo incluem: Veredito do GTI, Gravidade do GTI, Prevalência e Atribuição.

Prioridade média

O modelo Médio prioriza os indicadores identificados pelo Google Threat Intelligence com um veredito de GTI Mal-intencionado e uma gravidade de GTI Alta, mesmo que não tenham sido observados em investigações da Mandiant. Os indicadores de rede nesse modelo correspondem apenas ao tráfego de rede de saída.

Os recursos relevantes usados pelo modelo incluem: Veredito do GTI, Gravidade do GTI, Prevalência e Bloqueado.

Autenticação de endereço IP de entrada

O modelo de autenticação de endereço IP de entrada prioriza os endereços IP que se autenticam na infraestrutura local em uma direção de rede de entrada. A extensão de autenticação do UDM precisa existir nos eventos para que uma correspondência ocorra. Embora não seja aplicado a todos os tipos de produtos, esse conjunto de regras também tenta filtrar alguns eventos de autenticação com falha. Por exemplo, esse conjunto de regras não tem escopo para alguns tipos de autenticação de SSO.

Os recursos relevantes usados pelo modelo incluem: Veredito do GTI, Bloqueado, Direção da rede e IR ativo.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.