Administra las detecciones seleccionadas

Compatible con:

En este documento, se describe cómo usar las páginas de detecciones seleccionadas.

Para los clientes de Google Security Operations, Google Cloud el equipo de inteligencia contra amenazas (GCTI) ofrece análisis de amenazas listos para usar como parte del Google Cloud modelo de destino compartido de seguridad. Como parte de estas detecciones seleccionadas, GCTI proporciona y administra un conjunto de reglas de YARA-L para ayudar a los clientes a identificar amenazas para su empresa. Estas reglas administradas por GCTI hacen lo siguiente:

  • Proporcionan a los clientes inteligencia sobre la que se puede actuar de inmediato y que se puede usar en sus datos transferidos.

  • Aprovechan la inteligencia contra amenazas de Google, ya que proporcionan a los clientes una forma de usarla en Google SecOps.

Antes de comenzar

Para obtener información sobre las políticas de detección de amenazas predefinidas, consulta lo siguiente:

Para verificar que los datos necesarios para cada política tengan el formato correcto, consulta Verifica la transferencia de datos de registro con reglas de prueba.

Funciones de detecciones seleccionadas

Estas son algunas de las funciones clave de las detecciones seleccionadas:

  • Detección seleccionada: Es una detección seleccionada creada y administrada por GCTI para los clientes de Google SecOps.

  • Conjuntos de reglas: Es una colección de reglas administradas por GCTI para los clientes de Google SecOps. GCTI proporciona y mantiene varios conjuntos de reglas. El cliente tiene la opción de habilitar o inhabilitar estas reglas en su cuenta de Google SecOps, así como habilitar o inhabilitar las alertas para estas reglas. GCTI proporcionará periódicamente reglas y conjuntos de reglas nuevos a medida que cambie el panorama de amenazas.

    Cuando Google lanza contenido seleccionado nuevo o actualizado, se aplican los siguientes comportamientos predeterminados:

    • Conjuntos de reglas nuevos (paquetes de reglas): Se inhabilitan de forma predeterminada (el estado es Inhabilitado y las alertas están desactivadas). Sin embargo, los conjuntos de reglas de las categorías de Inteligencia contra amenazas aplicada (ATI) se habilitan automáticamente para las instancias de Enterprise Plus.
    • Reglas nuevas agregadas a un conjunto de reglas existente: Heredan automáticamente el estado actual y la configuración de alertas del conjunto de reglas superior para su nivel de precisión (preciso o general).
    • Reglas actualizadas (revisiones de reglas nuevas): Conservan su estado existente y la configuración de alertas por regla.

Abre la página de detecciones seleccionadas y los conjuntos de reglas

Para abrir la página de detecciones seleccionadas, completa los siguientes pasos:

  1. Selecciona Reglas en el menú principal.

  2. Haz clic en Detecciones seleccionadas para abrir la vista de conjuntos de reglas.

La página Detecciones seleccionadas proporciona información sobre cada uno de los conjuntos de reglas activos para tu cuenta de Google SecOps, incluidos los siguientes:

  • Última actualización: Es la hora en que GCTI actualizó el conjunto de reglas por última vez.

  • Reglas habilitadas: Indica cuáles de las reglas precisas y generales están habilitadas para cada conjunto de reglas. Las reglas precisas encuentran amenazas maliciosas con un alto nivel de confianza. Las reglas generales buscan comportamiento sospechoso que puede ser más común y que produce más falsos positivos. Tanto las reglas precisas como las generales pueden estar disponibles para un conjunto de reglas.

  • Alertas: Indica cuáles de las reglas precisas y generales tienen alertas habilitadas para cada conjunto de reglas.

  • Tácticas de Mitre: Es el identificador de las tácticas de Mitre ATT&CK® cubiertas por cada conjunto de reglas. Las tácticas de Mitre ATT&CK® representan la intención detrás del comportamiento malicioso.

  • Técnicas de Mitre: Es el identificador de las técnicas de Mitre ATT&CK® cubiertas por cada conjunto de reglas. Las técnicas de Mitre ATT&CK® representan acciones específicas del comportamiento malicioso.

Desde esta página, también puedes habilitar o inhabilitar la regla y las alertas para la regla. Puedes hacerlo para las reglas generales o precisas.

Abre el panel de detecciones seleccionadas

El panel de detecciones seleccionadas muestra información sobre cada detección seleccionada que produjo una detección en los datos de registro de tu cuenta de Google SecOps. Las reglas con detecciones se agrupan por conjunto de reglas.

Para abrir el panel de detecciones seleccionadas, completa los siguientes pasos:

  1. Selecciona Reglas en el menú principal. La pestaña predeterminada es detecciones seleccionadas y la vista predeterminada es conjuntos de reglas.

  2. Haz clic en Panel.

    Detecciones seleccionadas

    Figura 2: Panel de detecciones seleccionadas

  3. El panel de detecciones seleccionadas muestra cada uno de los conjuntos de reglas disponibles para tu cuenta de Google SecOps. Cada pantalla incluye lo siguiente:

    • Gráfico que hace un seguimiento de la actividad actual de cada una de las reglas asociadas con un conjunto de reglas

    • Hora de la última detección

    • Estado de cada regla

    • Gravedad de las detecciones recientes

    • Si las alertas están habilitadas o inhabilitadas

  4. Para editar la configuración de la regla, haz clic en el ícono de menú o en el nombre del conjunto de reglas.

  5. Haz clic en Conjuntos de reglas para volver a la vista de conjuntos de reglas. La vista de conjuntos de reglas proporciona información sobre cada conjunto de reglas activo para tu cuenta de Google SecOps.

Consulta los detalles de un conjunto de reglas

Para modificar la configuración de cualquier detección seleccionada, haz clic en el ícono de menú del conjunto de reglas y, luego, selecciona Ver y editar la configuración de la regla.

Puedes habilitar o inhabilitar el conjunto de reglas en la sección Configuración. Los botones de activación Estado y Alertas te permiten habilitar o inhabilitar las reglas precisas y generales del conjunto de reglas. También puedes activar o desactivar las alertas.

También puedes ver todas las exclusiones configuradas para el conjunto de reglas. Para editar las exclusiones, haz clic en Ver. Consulta Configura las exclusiones de reglas para obtener más información.

Configuración de la regla

Figura 3: Configuración de la regla

Modificación de todas las reglas de un conjunto de reglas

En la sección Configuración , se muestran los parámetros de configuración de todas las reglas de un conjunto de reglas. Puedes modificar la configuración para crear detecciones seleccionadas específicas para el uso y las necesidades de tu organización.

  • Reglas precisas: Encuentran comportamiento malicioso con un mayor grado de confianza y con menos falsos positivos debido a la naturaleza más específica de la regla.

  • Reglas generales: Encuentran comportamientos que podrían ser maliciosos o anómalos, pero suelen producir más falsos positivos debido a la naturaleza más general de la regla.

  • Estado: Activa el estado de una regla como preciso o general configurando la opción Estado correspondiente en Habilitado.

  • Alertas: Habilita las alertas para recibir detecciones creadas por las reglas precisas o generales correspondientes configurando la opción Alertas en Activado.

Configura las exclusiones de reglas

Para administrar el volumen de alertas de las detecciones seleccionadas de GCTI, puedes configurar exclusiones de reglas. Para obtener más información, consulta Configura las exclusiones de reglas.

Consulta las detecciones seleccionadas

Puedes ver cualquiera de las detecciones seleccionadas en la vista Detección seleccionada. Esta vista te permite examinar cualquiera de las detecciones asociadas con la regla y pasar a otras vistas, como la vista de recursos Asset view de la ruta.

Para abrir la vista Detección seleccionada, completa los siguientes pasos:

  1. Haz clic en Panel.

  2. Haz clic en el vínculo del nombre de la regla en la columna Regla.

¿Qué sigue?

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.