管理精选检测
本文档介绍了如何使用精选检测页面。
对于 Google Security Operations 客户， Google Cloud 威胁情报 (GCTI) 团队提供开箱即用的威胁分析，作为 Google Cloud 命运共同体模型的一部分。作为这些精选检测的一部分，GCTI 提供并管理一组 YARA-L 规则，以帮助客户识别针对其企业的威胁。 这些 GCTI 管理的规则：
为客户提供可立即采取行动的情报，这些情报可用于针对客户的提取数据采取行动。
通过为客户提供在 Google SecOps 中使用 Google 威胁情报的方式，充分利用 Google 的威胁情报。
准备工作
如需了解预定义的威胁检测政策，请参阅以下内容：
- Cloud Threats 类别概览
- Chrome Enterprise Threats 类别概览
- Windows Threats 类别概览
- Linux Threats 类别概览
- macOS Threats 类别概览
- Risk Analytics for UEBA 类别概览
- Applied Threat Intelligence 类别概览
如需验证每项政策所需的数据是否采用正确的格式，请参阅使用测试规则验证日志数据注入。
精选检测功能
以下是一些关键的精选检测功能：
精选检测：由 GCTI 为 Google SecOps 客户创建和管理的精选检测。
规则集：由 GCTI 为 Google SecOps 客户管理的一组规则。GCTI 提供并维护多个规则集。客户可以选择在其 Google SecOps 账号中启用或停用这些规则，并为这些规则启用或停用提醒。随着威胁形势的变化，GCTI 会定期提供新规则和规则集。
当 Google 发布新的或更新的精选内容时，系统会应用以下默认行为：
- 新规则集（规则包）：默认处于“已停用”状态（“状态”为已停用 ，提醒为关闭 ）。不过，对于企业 Plus 版实例，系统会自动启用“实用威胁情报 (ATI)”类别下的规则集。
- 添加到现有规则集的新规则：自动继承父规则集当前的状态和提醒配置，以确定其精确度级别（精确或宽泛）。
- 更新后的规则（新规则修订版本）：保留其现有的每条规则的状态和提醒配置。
打开精选检测页面和规则集
如需打开精选检测页面，请完成以下步骤：
从主菜单中选择规则 。
点击精选检测 以打开规则集视图。
在“精选检测”页面上，您可以查看为您的 Google SecOps 账号启用的每个规则集的信息，包括：
上次更新时间：GCTI 上次更新规则集的时间。
已启用的规则：每个规则集启用了哪些精确规则和宽泛规则。精确规则可发现恶意威胁，且可信度高。宽泛规则可搜索更常见的可疑行为，但会产生更多误报。一个规则集可能同时包含精确规则和宽泛规则。
提醒：指明每个规则集中启用了提醒功能的精确规则和宽泛规则。
Mitre 策略：每个规则集涵盖的 Mitre ATT&CK® 策略的标识符。Mitre ATT&CK® 策略代表恶意行为背后的意图。
Mitre 技术：每个规则集涵盖的 Mitre ATT&CK® 技术的标识符。Mitre ATT&CK® 技术代表恶意行为的具体做法。
在此页面中，您还可以为规则启用或停用规则和提醒。您可以对宽泛规则或精确规则执行此操作。
打开精选检测信息中心
精选检测信息中心会显示有关每个精选检测的信息，这些检测已针对 Google SecOps 账号中的日志数据生成检测结果。具有检测结果的规则按规则集分组。
如需打开精选检测信息中心，请完成以下步骤：
从主菜单中选择规则 。默认标签页是“精选检测”，默认视图是“规则集”。
点击信息中心 。
图 2：精选检测信息中心
“精选检测”信息中心会显示可用于您的 Google SecOps 账号的每个规则集。每个显示内容都包含以下信息：
图表，用于跟踪与规则集关联的每条规则的当前活动。
上次检测的时间。
每条规则的状态。
近期检测的严重程度。
提醒是启用还是停用。
您可以点击菜单图标 或规则集名称来修改规则设置。
点击规则集 以切换回规则集视图。规则集视图提供有关为您的 Google SecOps 账号启用的每个规则集的信息。
查看有关规则集的详细信息
您可以修改任何精选检测的设置，方法是点击规则集的菜单图标 ，然后选择 查看和修改规则设置。
您可以在设置 部分下启用或停用规则集。 借助状态 和提醒 切换开关，您可以启用或停用规则集中的精确规则和宽泛规则。您还可以开启或关闭提醒。
您还可以查看为规则集配置的所有排除项。您可以点击查看 来修改排除项。如需了解详情，请参阅配置规则排除项。
图 3：规则设置
修改规则集中的所有规则
设置 部分会显示规则集中所有规则的设置。您可以修改设置，以创建特定于组织使用情况和需求的精选检测。
精确规则：由于规则的性质更具体，因此可以发现恶意行为，且可信度更高， 误报更少。
宽泛规则：由于规则的性质更通用，因此可以发现可能有恶意的行为或异常情况， 但误报通常较多。
状态：将相应的 状态选项设置为已启用，以将规则的状态激活为精确或宽泛。
提醒：将提醒选项设置为开启，以启用提醒功能，接收由相应的精确规则 或宽泛规则创建的检测结果。
配置规则排除项
如需管理 GCTI 精选检测发出的提醒数量，您可以配置规则排除项。如需了解详情，请参阅 配置规则排除项。
查看精选检测
您可以在“精选检测”视图中查看任何精选检测。在此视图中，您可以检查与规则关联的任何检测，并从时间轴透视到其他视图，例如资产视图。
如需打开“精选检测”视图，请完成以下步骤：
点击信息中心 。
点击“规则”列中的规则名称链接。
后续步骤
需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。