管理精選偵測規則

支援：

Google SecOps SIEM

本文說明如何使用精選偵測規則頁面。

Google Security Operations 客戶可透過 Google Cloud 威脅情報 (GCTI) 團隊，取得現成的威脅分析功能，這是 Google Cloud 資安命運共同體模式的一部分。GCTI 會提供並管理一組 YARA-L 規則，協助客戶識別企業威脅，這些規則是精選偵測規則的一部分。這些 GCTI 代管規則：

• 提供客戶可立即採取行動的情報，用於處理擷取的資料。

• 運用 Google 的威脅情報，讓客戶在 Google SecOps 中使用。

事前準備

如要瞭解預先定義的威脅偵測政策，請參閱下列文章：

• 雲端威脅類別總覽
• Chrome Enterprise 威脅類別總覽
• Windows 威脅類別總覽
• Linux 威脅類別總覽
• macOS 威脅類別總覽
• UEBA 類別的風險分析總覽
• 應用威脅情報類別總覽

如要確認各項政策所需的資料格式正確，請參閱「使用測試規則驗證記錄資料擷取作業」。

精選偵測規則功能

以下列舉幾項重要的精選偵測規則功能：

• 精選偵測規則：由 GCTI 建立及管理，供 Google SecOps 客戶使用。

• 規則集：由 GCTI 管理，供 Google SecOps 客戶使用的一組規則。GCTI 提供並維護多個規則集。客戶可以在 Google SecOps 帳戶中啟用或停用這些規則，以及啟用或停用這些規則的快訊。隨著威脅情勢變化，GCTI 會定期提供新規則和規則集。

  Google 發布新的或更新的精選內容時，會套用下列預設行為：

  • 新規則集 (規則包)：預設為「已停用」(狀態為「已停用」，且「警告」為「關閉」)。不過，系統會為 Enterprise Plus 執行個體自動啟用「已套用威脅情報 (ATI)」類別下的規則集。
  • 新增至現有規則集的新規則：自動沿用父項規則集目前的狀態和警告設定，以符合其精確度等級 (精確或廣泛)。
  • 更新規則 (新規則修訂版本)：保留現有的個別規則狀態和快訊設定。

開啟精選偵測規則頁面和規則集

如要開啟精選偵測規則頁面，請完成下列步驟：

1. 從主選單中選取「規則」。

2. 按一下「精選偵測規則」，開啟規則集檢視畫面。

「精選偵測規則」頁面提供 Google SecOps 帳戶中每組有效規則集的相關資訊，包括：

• 上次更新時間：GCTI 上次更新規則集的時間。

• 已啟用的規則：指出每個規則集已啟用哪些精確和廣泛規則。精確規則可找出惡意威脅，且可信度高。廣泛規則會搜尋較常見的可疑行為，因此誤判的機率較高。規則集可能同時提供精確和廣泛規則。

• 警告：指出每組規則集中，哪些精確規則和廣泛規則已啟用警告功能。

• Mitre 戰術：各規則集涵蓋的 Mitre ATT&CK® 戰術識別碼。Mitre ATT&CK® 戰術代表惡意行為的意圖。

• Mitre Techniques：各規則集涵蓋的 Mitre ATT&CK® 技術 ID。Mitre ATT&CK® 技術代表惡意行為的特定動作

  注意： 如要進一步瞭解 Mitre 策略和技術，請前往 MITRE ATT&CK 官方頁面：https://attack.mitre.org/。

您也可以在這個頁面啟用或停用規則，以及規則的警告功能。您可以對廣泛或精確規則執行這項操作。

開啟精選偵測規則資訊主頁

精選偵測資訊主頁會顯示每項精選偵測的相關資訊，這些偵測項目已根據 Google SecOps 帳戶中的記錄資料產生偵測結果。有偵測結果的規則會依規則集分組。

如要開啟精選偵測資訊主頁，請完成下列步驟：

1. 從主選單中選取「規則」。預設分頁是精選偵測規則，預設檢視畫面則是規則集。

2. 點選「Dashboard」(資訊主頁)。

   

   圖 2：精選偵測項目資訊主頁

3. 「精選偵測規則」資訊主頁會顯示 Google SecOps 帳戶可用的各個規則集。每個螢幕都包含下列項目：

   • 圖表會追蹤與規則集相關聯的每項規則目前活動。

   • 上次偵測的時間。

   • 每項規則的狀態。

   • 近期偵測到的嚴重程度。

   • 是否啟用快訊功能。

4. 如要編輯規則設定，請按一下選單圖示 或規則集名稱。

5. 按一下「規則集」，切換回規則集檢視畫面。規則集檢視畫面會提供 Google SecOps 帳戶中，每組有效規則集的相關資訊。

查看規則集詳細資料

如要修改任何精選偵測的設定，請點選規則集的選單圖示 ，然後選取「查看及編輯規則設定」。

您可以在「設定」部分啟用或停用規則集。 您可以使用「狀態」和「警告」切換鈕，啟用或停用規則集中的精確和廣泛規則。您也可以開啟或關閉快訊。

您也可以查看為規則集設定的所有排除條件。如要編輯排除條件，請按一下「查看」。詳情請參閱「設定規則排除條件」。

圖 3：規則設定

修改規則集中的所有規則

「Settings」(設定) 區段會顯示規則集中所有規則的設定。您可以修改設定，根據機構的使用情況和需求，建立精選偵測規則。

• 精確規則：找出惡意行為，且可信度高，誤判的情形較少，因為規則更具體。

• 廣泛規則：找出可能具有惡意的行為或異常狀況，但由於規則較為一般，偽陽性的機率通常較高。

• 狀態：將相應的「狀態」選項設為「已啟用」，即可將規則狀態設為精確或廣泛。

• 警告：將「警告」選項設為「開啟」，即可啟用警告功能，接收相應精確或廣泛規則建立的偵測結果。

設定規則排除條件

如要管理 GCTI 精選偵測規則產生的快訊數量，可以設定規則排除條件。詳情請參閱「設定規則排除條件」。

查看精選偵測規則

您可以在「精選偵測」檢視畫面中查看任何精選偵測規則。您可以在這個檢視畫面中檢查與規則相關聯的任何偵測結果，並從時間軸樞轉至其他檢視畫面，例如「資產檢視畫面」。

如要開啟「精選偵測」檢視畫面，請完成下列步驟：

1. 點選「Dashboard」(資訊主頁)。

2. 在「規則」欄中，按一下規則名稱連結。

注意： 精選偵測規則只能由 Google SecOps 編輯，因此不會顯示所有一般規則編輯選項。

後續步驟

• 調查 GCTI 警告
• 調整這個類別中規則集傳回的警告

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。