應用威脅情報優先順序總覽

支援：

Google Security Operations 的 Applied Threat Intelligence (ATI) 警告，是透過精選偵測規則，使用 YARA-L 規則情境化的 IoC 比對結果。背景資訊化功能會運用 Google SecOps 背景資訊實體的 Mandiant 威脅情報，根據情報排定快訊優先順序。

ATI 威脅情報優先順序由「Applied Threat Intelligence - Curated Prioritization」規則套件提供，該套件位於 Google SecOps 代管內容中，可透過 Google SecOps Enterprise Plus 授權取得。

ATI 優先順序功能

最相關的 ATI 優先順序功能包括：

  • Google Threat Intelligence 判定：根據 Google 分析結果，提供統一的威脅情報判定。

  • Google Threat Intelligence 嚴重性：根據 Google 分析計算出的嚴重性評分。

  • 進行中的 IR 行動：來自進行中的事件應變 (IR) 任務。

  • 普及度：Mandiant 經常觀察到。

  • 歸因：與 Mandiant 追蹤的威脅高度相關。

  • 已封鎖：指標未遭安全控管機制封鎖。

  • 網路方向：顯示連入或連出網路流量。

如要查看快訊的 ATI 優先順序功能，請依序前往「IoC 比對結果」>「事件檢視器」頁面。

ATI 優先順序模型

ATI 優先順序模型會使用 Google SecOps 事件和 Mandiant 威脅情報，為 IoC 指派優先順序。這項優先順序是根據與優先等級和 IoC 類型相關的功能，形成分類優先順序的邏輯鏈。接著，ATI 可據以行動的威脅情報模型可協助您回應產生的警示。

優先順序模型用於「Applied Threat Intelligence - Curated prioritization」規則套件提供的精選偵測規則。您也可以透過 Mandiant Fusion Intelligence，使用 Mandiant 威脅情報建立自訂規則，但必須具備 Google SecOps Enterprise Plus 授權。如要進一步瞭解如何編寫 Fusion 動態饋給 YARA-L 規則，請參閱「Applied Threat Intelligence Fusion 動態饋給總覽」。

可用的優先順序模型如下：

主動入侵優先順序

「活動中的入侵事件」模型會優先處理 Mandiant 在活動中或過去入侵事件中觀察到的指標，其中 GTI 判定結果為「惡意」，GTI 嚴重性為「高」。

模型使用的相關特徵包括：GTI 判定、GTI 嚴重性、Active IR、普及度和歸因。

高優先順序

「高」模型會優先處理 Mandiant 調查中未觀察到，但 Google Threat Intelligence 判定與威脅發動者或惡意軟體相關的指標。這個模型中的網路指標只會嘗試比對外傳方向的網路流量。

模型使用的相關特徵包括：GTI 判定、GTI 嚴重性、普及度和歸因。

中優先順序

中等模型會優先處理 Google Threat Intelligence 識別出的指標，這些指標的 GTI 判定結果為「惡意」，GTI 嚴重程度為「高」，即使 Mandiant 調查中未觀察到這些指標也一樣。這個模型中的網路指標只會比對傳出網路流量。

模型使用的相關特徵包括：GTI 判定、GTI 嚴重性、普及度和已封鎖。

傳入 IP 位址驗證

內送 IP 位址驗證模式會優先處理在內送網路方向驗證至本機基礎架構的 IP 位址。事件中必須有 UDM 驗證擴充功能，才能進行比對。雖然這組規則集並非對所有產品類型強制執行，但也會嘗試篩除部分失敗的驗證事件。舉例來說，這組規則集不適用於某些單一登入 (SSO) 驗證類型。

模型使用的相關特徵包括：GTI 判定、已封鎖、網路方向和主動事件應變。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。