Vista de detalles del Centro de amenazas emergentes
El feed del Centro de amenazas emergentes proporciona una vista detallada de las campañas, las operaciones o los informes seleccionados. Cuando seleccionas una amenaza en el feed, el sistema abre una página que combina la información de Google Threat Intelligence con los datos de tu entorno para ayudarte a analizar el impacto y la cobertura de la amenaza.
Cada página contiene varios paneles desplegables que muestran inteligencia sobre amenazas, datos de detección y entidades asociadas relacionados. En cada panel, haz clic en la chevron_forward flecha junto al nombre de la sección para expandirla y ver más detalles.
Terminología clave
Campaña: Serie coordinada de ataques de agentes de amenazas dirigidos a varias organizaciones con un objetivo compartido.
Operación: Es un ataque enfocado en una sola organización, que a menudo se deriva de investigaciones directas y se protege para mantener la privacidad de la identidad de la víctima.
Vista detallada de Amenazas emergentes
La vista detallada del Centro de amenazas emergentes incluye los siguientes paneles:
Reglas asociadas
En el panel Reglas asociadas, se enumeran las reglas de detección relacionadas con la campaña seleccionada y se incluye una visualización de la matriz de MITRE ATT&CK que muestra la cobertura de tus reglas para tácticas, técnicas y procedimientos (TTP) específicos. Las asociaciones de reglas solo se aplican a las campañas, no a los informes.
Emerging Threats ingiere continuamente inteligencia de Google Threat Intelligence y la alinea con los datos de telemetría de tu organización. Automatiza el descubrimiento, el enriquecimiento y la correlación de campañas a través de los siguientes procesos:
- Incorporación de inteligencia de campañas: El sistema recopila automáticamente inteligencia de campañas o operaciones de Google Threat Intelligence, que incluye datos de investigaciones globales, investigaciones de respuesta ante incidentes de Mandiant y telemetría de Managed Defense de Mandiant.
- Generar eventos de registro simulados: En segundo plano, Gemini produce eventos de registro simulados anonimizados y de alta fidelidad que reflejan el comportamiento real de los adversarios.
- Destaca automáticamente la cobertura de detección: El sistema ejecuta los eventos de registro simulados en las reglas de detección seleccionadas y los informes de cobertura de Google Cloud Threat Intelligence de Google (GCTI) que muestran dónde Google SecOps tiene detecciones y dónde existen brechas.
- Acelera la creación de reglas: Una vez que se identifican las brechas, Gemini redacta automáticamente nuevas reglas de detección basadas en los patrones probados y proporciona un resumen de la lógica de la regla y el comportamiento esperado. El paso final requiere la revisión y aprobación manual de estas reglas antes de que se pasen a producción.
En la siguiente tabla, se describen las columnas del panel Reglas asociadas:
| Nombre de la columna | Descripción |
|---|---|
| Nombre de la regla | Muestra el título de la regla y el conjunto de reglas o la categoría de detección asociados. Si haces clic en el nombre de la regla, se abrirá la página Detections, en la que
se muestran las detecciones que produjo esta regla. |
| Etiquetas | Enumera las etiquetas de regla o las etiquetas aplicadas a la regla de detección. |
| Actividad de las últimas 4 semanas | Muestra la actividad de detección o alerta de la regla durante las últimas cuatro semanas. |
| Última detección | Muestra la marca de tiempo de la alerta más reciente que generó la regla. |
| Gravedad | Indica el nivel de gravedad configurado para las detecciones que genera la regla determinada. |
| Alertas | Especifica si las alertas están habilitadas o inhabilitadas para la regla. |
| Estado en vivo | Muestra si la regla está activa o inactiva en tu entorno. |
Si no hay reglas asociadas con la campaña o la operación, en el panel se mostrará el texto No hay reglas.
Consulta la cobertura de MITRE ATT&CK
El panel Reglas asociadas incluye una matriz de visualización de MITRE ATT&CK que muestra la cobertura de tus reglas para tácticas, técnicas y procedimientos (TTP) específicos.
Usa las siguientes pestañas para cambiar el diseño de la visualización:
- Tarjetas: Consulta las técnicas como tarjetas detalladas agrupadas por táctica.
- Resumen: Consulta un resumen condensado de tu cobertura.
- Minimapa: Consulta una cuadrícula de alto nivel codificada por colores de tu matriz de cobertura.
Cómo filtrar y buscar en la matriz
Usa las siguientes listas para filtrar las reglas que se muestran en la matriz:
- Tipo de regla: Filtra la matriz por reglas de Todo, Curadas o Personalizadas.
- Estado de publicación: Filtra por el estado de implementación actual de las reglas.
- Estado de las alertas: Filtra las reglas por un estado de alerta de Todas, Activadas o Desactivadas.
Para encontrar información de cobertura específica, usa la lista Search by para buscar en la matriz por TTP, Tipo de registro, Fuente de datos de MITRE o Nombre de la regla.
Personaliza las métricas del mapa de calor
Haz clic en Ver opciones para personalizar las métricas del mapa de calor:
- Mostrar subtécnicas: Muestra u oculta las subtécnicas en la matriz.
- Modo de agregación: Cambia la forma en que el sistema calcula los colores del mapa de calor:
- Acumulativo: Muestra la cobertura total de una técnica y sus subtécnicas.
- Promedio normalizado: Muestra la cobertura promedio normalizada para una técnica y sus subtécnicas.
- Vínculo más débil: Muestra el valor de cobertura más bajo para una técnica y sus subtécnicas.
Ver detalles de la técnica
Haz clic en una tarjeta específica para abrir un panel de contexto detallado. En este panel, se proporcionan detalles exhaustivos sobre la técnica seleccionada y se incluyen las siguientes secciones:
- Descripción: Es una explicación detallada de la técnica de MITRE ATT&CK seleccionada.
- Subtechniques: Una tabla que enumera las sub-técnicas relacionadas y la cantidad de reglas asociadas para cada una.
- Reglas seleccionadas: Es una tabla que muestra las reglas asociadas que coinciden con los filtros que aplicaste. En esta tabla, se incluyen el nombre de la regla, el estado en vivo, el estado de las alertas y la TTP específica.
- Tipos de registros: Una tabla que enumera los tipos de registros aplicables y sus correspondientes fuentes de datos de MITRE.
Reglas inhabilitadas
En el panel Reglas inhabilitadas, se enumeran las reglas de detección relacionadas con la campaña o la operación que no están habilitadas en este momento, si las hay. Esto te ayuda a identificar posibles brechas en la cobertura de amenazas. Las asociaciones de reglas para una campaña o una operación se determinan como se describe en Reglas asociadas.
En la siguiente tabla, se describen las columnas:
| Nombre de la columna | Descripción |
|---|---|
| Nombre de la regla | Muestra el nombre de la regla inhabilitada. Haz clic en el nombre de la regla para abrir una vista detallada que describe la lógica, la configuración y el conjunto de reglas asociado de la regla, de manera similar a la vista de la página Curated Detections. |
| Categoría | Muestra el tipo o la categoría de la regla. |
| Conjunto de reglas | Identifica la fuente de la regla, como Mandiant Frontline Threats, Mandiant Hunt Rules o Mandiant Intel Emerging Threats. |
| Precisión | Indica el tipo de precisión de la regla (General o Precisa). |
| Alertas | Muestra si las alertas están habilitadas. |
| Última actualización | Muestra la marca de tiempo de la última modificación de la regla. |
Entidades asociadas recientes
En el panel Entidades asociadas recientes, se enumeran las entidades de tu entorno que están vinculadas a la amenaza seleccionada y que podrían verse afectadas por ella.
En el panel, se enumeran las entidades de usuarios y activos que cumplen con los siguientes criterios:
- Apareció en las detecciones en los últimos siete días.
- Apareció en eventos vinculados a un IoC asociado con la amenaza.
- Tener una puntuación de riesgo asignada
En la siguiente tabla, se describen las columnas del panel Entidades asociadas recientes:
| Nombre de la columna | Descripción |
|---|---|
| Nombre de entidad | Muestra el recurso o la entidad asociados con una campaña o una operación. Haz clic en el nombre de la entidad para abrir la página Análisis de riesgo, que muestra detalles sobre los cambios recientes en la puntuación de riesgo de esa entidad y las detecciones que contribuyeron a ella. |
| Tipo de entidad | Indica el tipo de entidad, como un recurso o una cuenta de usuario. |
| Coincidencias de IOC | Muestra la cantidad de IoC de la campaña o la operación que coinciden con la telemetría de tu organización y que están asociados con la entidad en las detecciones recientes. |
| Puntuación de riesgo de la entidad | Muestra la puntuación de riesgo calculada para la entidad en función de las coincidencias recientes con los IoC. |
IOC
En el panel IOCs, se muestran las siguientes tablas:
Concordancias de IOC
En la tabla IOC Matches, se enumeran los IOC que se detectan o coinciden en tu entorno para la campaña o la operación seleccionadas.
En la siguiente tabla, se describen las columnas:
| Nombre de la columna | Descripción |
|---|---|
| IOC | Muestra el dominio, la dirección IP, el hash o la URL. Si haces clic en el IoC, se abre el panel Entity context, que proporciona información adicional sobre el IoC y dónde se detectó en tu entorno. |
| Tipo | Muestra la categoría del IoC, como DOMAIN, IP, FILE (HASH_SHA256) o URL. |
| Puntuación de GTI | Muestra la puntuación de amenaza que asigna GTI en una escala de 0 a 100. |
| Prioridad de GCTI | Indica el nivel de prioridad relativa que asigna GCTI. |
| Recursos | Enumera los recursos de tu entorno que participan en eventos que coinciden con el IoC. |
| Asociaciones | Muestra las entidades de la GTI relacionadas con el indicador, como los agentes de amenazas o las campañas. |
| Visto por primera vez | Muestra cuándo se detectó el indicador por primera vez en tu entorno. |
| Visto por última vez | Muestra la fecha y hora más recientes en que se detectó el indicador en tu entorno. |
Cuando haces clic en un IoC en la tabla, se abre el panel Contexto de la entidad para proporcionar información adicional sobre el indicador. Para obtener información general sobre cómo revisar los atributos de entidades y las alertas, y realizar acciones rápidas, consulta Usa la búsqueda de UDM para investigar una entidad.
También puedes usar el panel Contexto de la entidad para revisar los siguientes detalles de amenazas avanzadas:
- Estado en un momento determinado: Usa el selector de fecha y hora para ver los atributos de la entidad exactamente como aparecen en un momento específico.
- Casos relacionados: Consulta una tabla de casos relacionados con la entidad dentro de un período de visualización específico (por ejemplo, los últimos 30 días). En esta tabla, se incluyen el nombre, la etapa, la prioridad y el estado del caso.
- Inteligencia contra amenazas asociada: Expande las secciones inferiores para ver los datos relacionados de Google Threat Intelligence vinculados a la entidad. Estas secciones incluyen lo siguiente:
- Informes: Consulta los informes de amenazas relacionados y sus fechas de publicación.
- Campañas: Consulta las campañas de amenazas asociadas y cuándo se crearon.
- Operaciones: Consulta las operaciones de amenazas asociadas y cuándo se crearon.
- Actores: Identifica a los actores de amenazas conectados y la fecha de su actividad más reciente.
- Software malicioso: Identifica las familias de software malicioso vinculadas a la entidad.
IOC asociados a GTI
En la tabla de IOCs asociados al GTI, se enumeran los IOCs adicionales que el GTI asocia con las campañas o las operaciones. Haz clic en las pestañas Archivos, URLs, Dominios o IPs para ver los indicadores específicos de cada categoría.
En la siguiente tabla, se describen las columnas:
| Nombre de la columna | Descripción |
|---|---|
| IOC | Muestra el dominio, la dirección IP, el hash o la URL. |
| Tipo | Muestra la categoría del IoC, como DOMAIN, IP, FILE, HASH_SHA256 o URL. |
| Puntuación de GTI | Muestra la puntuación de amenaza que GTI asigna en una escala de 0 a 100. |
| Actores asociados | Enumera los agentes de amenazas conectados al IoC.
Puedes hacer clic en el nombre de un actor para ver más información en el panel |
| Software malicioso asociado | Enumera las familias de malware vinculadas al IoC.
Puedes hacer clic en el nombre del software malicioso para ver más información en el panel |
| Se detectó un GTI | Muestra la marca de tiempo del momento en que GTI registró el IoC por primera vez. |
| Última actualización de GTI | Muestra la marca de tiempo de la última actualización del IoC por parte de GTI. |
¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.