Visualização detalhada da Central de Novas Ameaças
O feed da Central de ameaças emergentes oferece uma visão detalhada de campanhas, operações ou relatórios selecionados. Quando você seleciona uma ameaça no feed, o sistema abre uma página que combina informações do Google Threat Intelligence com dados do seu ambiente para ajudar a analisar o impacto e a cobertura da ameaça.
Cada página contém vários painéis expansíveis que mostram inteligência de ameaças, dados de detecção e entidades associadas. Em cada painel, clique em chevron_forward Seta ao lado do nome da seção para abrir e ver mais detalhes.
Terminologia importante
Campanha: uma série coordenada de ataques de agentes de ameaças contra várias organizações com um objetivo em comum.
Operação: um ataque focado em uma única organização, geralmente derivado de investigações diretas e protegido para manter a privacidade da vítima.
Visualização detalhada de novas ameaças
A visualização detalhada da Central de ameaças emergentes inclui os seguintes painéis:
Regras associadas
O painel Regras associadas lista as regras de detecção relacionadas à campanha selecionada e inclui uma visualização da matriz MITRE ATT&CK que mostra a cobertura de regras para táticas, técnicas e procedimentos (TTPs) específicos. As associações de regras se aplicam apenas a campanhas, não a relatórios.
O Emerging Threats ingere continuamente informações do Google Threat Intelligence e as alinha com a telemetria da sua organização. Ele automatiza a descoberta, o enriquecimento e a correlação de campanhas pelos seguintes processos:
- Ingerir inteligência de campanha: o sistema coleta automaticamente informações de campanha ou operação do Google Threat Intelligence, que inclui dados de pesquisas globais, atividades de resposta a incidentes da Mandiant e telemetria do Managed Defense da Mandiant.
- Gerar eventos de registro simulados: em segundo plano, o Gemini produz eventos de registro simulados anônimos e de alta fidelidade que espelham o comportamento real de um adversário.
- Destacar automaticamente a cobertura de detecção: o sistema executa os eventos de registro simulados nas regras de detecção e nos relatórios de cobertura selecionados da Google Cloud Threat Intelligence (GCTI), que mostram onde o Google SecOps tem detecções e onde há lacunas.
- Acelerar a criação de regras: depois que as lacunas são identificadas, o Gemini cria automaticamente novas regras de detecção com base nos padrões testados e fornece um resumo da lógica da regra e do comportamento esperado. A etapa final requer revisão e aprovação humana dessas regras antes de movê-las para a produção.
A tabela a seguir descreve as colunas no painel Regras associadas:
| Nome da coluna | Descrição |
|---|---|
| Nome da regra | Mostra o título da regra e o conjunto de regras ou a categoria de detecção associada. Ao clicar no nome da regra, a página Detections é aberta, mostrando as detecções produzidas por ela. |
| Tags | Lista as tags ou os rótulos aplicados à regra de detecção. |
| Atividades das últimas 4 semanas | Mostra a atividade de alerta ou detecção da regra nas últimas quatro semanas. |
| Última detecção | Mostra o carimbo de data/hora do alerta mais recente gerado pela regra. |
| Gravidade | Indica o nível de gravidade configurado para as detecções geradas pela regra especificada. |
| Alertas | Especifica se os alertas estão ativados ou desativados para a regra. |
| Status ao vivo | Mostra se a regra está ativa ou inativa no seu ambiente. |
Se nenhuma regra estiver associada à campanha ou operação, o painel vai mostrar o texto Nenhuma regra.
Ver a cobertura do MITRE ATT&CK
O painel Regras associadas inclui uma matriz de visualização do MITRE ATT&CK que mostra a cobertura de regras para táticas, técnicas e procedimentos (TTPs) específicos.
Use as seguintes guias para mudar o layout da visualização:
- Cards: veja técnicas como cards detalhados agrupados por tática.
- Visão geral: confira um resumo condensado da sua cobertura.
- Minimapa: confira uma grade de alto nível e codificada por cores da sua matriz de cobertura.
Filtrar e pesquisar na matriz
Use as listas a seguir para filtrar as regras mostradas na matriz:
- Tipo de regra: filtre a matriz por regras "Todas", "Selecionadas" ou "Personalizadas".
- Status ativo: filtre pelo status de implantação atual das regras.
- Status do alerta: filtre as regras por um status de alerta Todos, Ativado ou Desativado.
Para encontrar informações de cobertura específicas, use a opção "Pesquisar por lista" e pesquise na matriz por TTP, Tipo de registro, Origem de dados do MITRE ou Nome da regra.
Personalizar métricas de mapa de calor
Clique em Opções de visualização para personalizar as métricas do mapa de calor:
- Mostrar sub-técnicas: mostra ou oculta sub-técnicas na matriz.
- Modo de agregação: muda a forma como o sistema calcula as cores do mapa de calor:
- Cumulativa: mostra a cobertura total de uma técnica e as respectivas subtécnicas.
- Média normalizada: mostra a cobertura média normalizada de uma técnica e as respectivas subtécnicas.
- Elo mais fraco: mostra o valor de cobertura mais baixo para uma técnica e as respectivas subtécnicas.
Ver detalhes da técnica
Clique em um card específico para abrir um painel de contexto detalhado. Esse painel oferece detalhes sobre a técnica selecionada e inclui as seguintes seções:
- Descrição: uma explicação detalhada da técnica selecionada do MITRE ATT&CK.
- Subtécnicas: uma tabela que lista as subtécnicas relacionadas e o número de regras associadas a cada uma.
- Regras selecionadas: uma tabela que mostra as regras associadas que correspondem aos filtros aplicados. Essa tabela inclui o nome da regra, o status em tempo real, o status do alerta e o TTP específico.
- Tipos de registros: uma tabela que lista os tipos de registros aplicáveis e as fontes de dados do MITRE correspondentes.
Regras desativadas
O painel Regras desativadas lista as regras de detecção relacionadas à campanha ou operação que não estão ativadas no momento, se houver alguma. Isso ajuda a identificar possíveis lacunas na cobertura de ameaças. As associações de regras para uma campanha ou operação são determinadas conforme descrito em Regras associadas.
A tabela a seguir descreve as colunas:
| Nome da coluna | Descrição |
|---|---|
| Nome da regra | Mostra o nome da regra desativada. Clique no nome da regra para abrir uma visualização detalhada que descreve a lógica, a configuração e o conjunto de regras associado, semelhante à visualização na página Curated Detections. |
| Categoria | Mostra o tipo ou a categoria da regra. |
| Conjunto de regras | Identifica a origem da regra, como Ameaças da linha de frente da Mandiant, Regras de busca da Mandiant ou Ameaças emergentes da Mandiant Intel. |
| Precisão | Indica o tipo de precisão da regra (Ampla ou Precisa). |
| Alertas | Mostra se os alertas estão ativados. |
| Última atualização | Mostra o carimbo de data/hora da última modificação da regra. |
Entidades associadas recentes
O painel Entidades associadas recentes lista as entidades do seu ambiente que estão vinculadas à ameaça selecionada e podem ser afetadas por ela.
O painel lista entidades de usuário e de recurso que atendem aos seguintes critérios:
- Apareceu em detecções nos últimos sete dias.
- Apareceu em eventos vinculados a um IoC associado à ameaça.
- Ter uma pontuação de risco atribuída.
A tabela a seguir descreve as colunas no painel Entidades associadas recentes:
| Nome da coluna | Descrição |
|---|---|
| Nome da entidade | Mostra o recurso ou a entidade associada a uma campanha ou operação. Clique no nome da entidade para abrir a página Análise de risco, que mostra detalhes sobre as mudanças recentes na pontuação de risco dessa entidade e as detecções que contribuíram para isso. |
| Tipo de entidade | Indica o tipo de entidade, como recurso ou conta de usuário. |
| Correspondências de IOC | Mostra o número de IoCs da campanha ou operação que correspondem à telemetria da sua organização e estão associados à entidade em detecções recentes. |
| Pontuação de risco da entidade | Mostra a pontuação de risco calculada para a entidade com base em correspondências recentes de IoC. |
IOCs
O painel IOCs mostra as seguintes tabelas:
Correspondências de IOC
A tabela Correspondências de IOC lista os IOCs detectados ou correspondentes no seu ambiente para a campanha ou operação selecionada.
A tabela a seguir descreve as colunas:
| Nome da coluna | Descrição |
|---|---|
| IOC | Mostra o domínio, o endereço IP, o hash ou o URL. Clicar no IoC abre o painel Entity context, que fornece mais informações sobre o IoC e onde ele foi visto no seu ambiente. |
| Tipo | Mostra a categoria do IoC, como DOMAIN, IP, FILE (HASH_SHA256) ou URL. |
| Pontuação do GTI | Mostra a pontuação de ameaça atribuída pelo GTI em uma escala de 0 a 100. |
| Prioridade do GCTI | Indica o nível de prioridade relativa atribuído pela GCTI. |
| Recursos | Lista os recursos no seu ambiente envolvidos em eventos que correspondem ao IoC. |
| Associações | Mostra entidades relacionadas do GTI para o indicador, como agentes de ameaças ou campanhas. |
| Visto pela primeira vez | Mostra quando o indicador foi detectado pela primeira vez no seu ambiente. |
| Visto pela última vez | Mostra a hora mais recente em que o indicador foi detectado no seu ambiente. |
Quando você clica em um IoC na tabela, o painel de contexto da entidade é aberto para fornecer mais informações sobre o indicador. Para informações gerais sobre como analisar atributos de entidade, alertas e realizar ações rápidas, consulte Usar a pesquisa do UDM para investigar uma entidade.
Você também pode usar o painel de contexto da entidade para analisar os seguintes detalhes avançados de ameaças:
- Estado pontual: use o seletor de data e hora para conferir os atributos da entidade exatamente como aparecem em um momento específico.
- Casos relacionados: confira uma tabela de casos relacionados à entidade em um período de retrospectiva especificado (por exemplo, os últimos 30 dias). Essa tabela inclui o nome, a etapa, a prioridade e o status do caso.
- Inteligência contra ameaças associada: expanda as seções na parte de baixo para ver os dados relacionados do Google Threat Intelligence vinculados à entidade. Essas seções incluem:
- Relatórios: confira os relatórios de ameaças relacionados e as datas de publicação deles.
- Campanhas: veja as campanhas de ameaças associadas e quando elas foram criadas.
- Operações: veja as operações de ameaças associadas e quando elas foram criadas.
- Atores: identifique atores de ameaças conectados e a data da atividade mais recente deles.
- Malware: identifica famílias de malware vinculadas à entidade.
IOCs associados ao GTI
A tabela de IOCs associados ao GTI lista outros IOCs que o GTI associa às campanhas ou operações. Clique na guia Arquivos, URLs, Domínios ou IPs para conferir os indicadores específicos dessa categoria.
A tabela a seguir descreve as colunas:
| Nome da coluna | Descrição |
|---|---|
| IOC | Mostra o domínio, o endereço IP, o hash ou o URL. |
| Tipo | Mostra a categoria do IoC, como DOMAIN, IP, FILE, HASH_SHA256 ou URL. |
| Pontuação do GTI | Mostra a pontuação de ameaça atribuída pelo GTI em uma escala de 0 a 100. |
| Atores associados | Lista os agentes de ameaças conectados ao IoC.
Clique no nome de um ator para ver mais informações no painel |
| Malware associado | Lista as famílias de malware vinculadas ao IoC.
Clique no nome do malware para ver mais informações no painel |
| Descoberto pelo GTI | Mostra o carimbo de data/hora de quando o GTI registrou o IoC pela primeira vez. |
| Última atualização do GTI | Mostra o carimbo de data/hora da última atualização do IoC pela GTI. |
Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.