Visão geral da Central de novas ameaças

Compatível com:

O Centro de Ameaças Emergentes no Google Security Operations oferece inteligência contra ameaças com tecnologia de IA que ajuda você a entender como as campanhas ou operações de ameaças atuais e emergentes podem afetar sua organização. Ela se baseia na inteligência aplicada sobre ameaças (ATI, na sigla em inglês) e é alimentada pela Google Threat Intelligence (GTI) e pelos modelos do Gemini.

A Central de ameaças emergentes oferece uma visão selecionada das ameaças globais mais críticas da GTI que representam riscos para seu ambiente, incluindo IoCs, correspondências de detecção e entidades afetadas. Ele usa o Gemini para transformar grandes volumes de feeds de inteligência bruta em insights úteis, permitindo que você operacionalize dados de ameaças diretamente nos fluxos de trabalho de investigação.

Para mais detalhes sobre as permissões do IAM necessárias para acessar a página Ameaças emergentes, consulte Ameaças emergentes: threatCollections e iocAssociations.

O que é uma campanha?

Uma campanha é uma série de ataques em grande escala e coordenados realizados por agentes de ameaças com um objetivo específico. Em vez de se concentrar em apenas um alvo, os invasores visam várias organizações em diferentes setores ou regiões dentro de um período específico. O rastreamento de campanhas no Google SecOps ajuda você a entender o cenário geral da atividade dos adversários, oferecendo visibilidade das táticas, ferramentas e malware compartilhados que estão sendo usados globalmente para que você possa preparar suas defesas de forma proativa.

O que é uma operação?

Uma operação é uma versão menor e mais focada de uma campanha. Em vez de rastrear um ataque global em muitas vítimas, uma operação se concentra em uma missão específica contra uma única organização. Essas informações geralmente são derivadas de investigações de primeira linha, como as conduzidas pelas equipes da Mandiant Threat Defense. Como as operações envolvem vítimas específicas do mundo real, elas vêm com proteções de privacidade integradas para manter as identidades organizacionais ocultas, mas ainda fornecem pistas de ameaças valiosas e personalizadas e estratégias de defesa localizadas.

Principais vantagens

O Emerging Threats Center aumenta a visibilidade da sua organização em campanhas ou operações de ameaças ativas e em desenvolvimento.
Ele oferece os seguintes benefícios:

  • Visibilidade contínua de ameaças: os dados de campanhas ou operações da GTI são refletidos continuamente no seu espaço de trabalho. Assim, você sempre fica sabendo das ameaças relevantes à medida que elas se desenvolvem.
  • Insights úteis: você recebe resultados enriquecidos e contextuais em vez de navegar manualmente pelos relatórios de ameaças.
  • Validação de detecção mais rápida: os processos automatizados ajudam a validar a cobertura de detecção e analisar os dados da campanha ou operação com menos esforço manual.
  • Redução da sobrecarga operacional: a geração de detecção pronta para uso reduz o esforço manual na análise de relatórios de ameaças para oportunidades de detecção.

Feed da Central de Novas Ameaças

O feed do Centro de Ameaças Emergentes no Google SecOps mostra inteligência contra ameaças em tempo real com base em IA do Google Threat Intelligence (GTI). Ele ajuda a identificar possíveis comprometimentos no seu ambiente ao expor campanhas ou operações de ameaças ativas e emergentes mais relevantes para sua organização.

Esse feed oferece uma visão selecionada de campanhas, operações e relatórios, além dos agentes de ameaças e famílias de malware associados. Com ele, é possível analisar as relações entre ameaças e investigar detalhes de campanhas ou operações de ameaças.

Os relatórios mostrados no feed são restritos aos produzidos pela GTI e não incluem os relatórios de crowdsourcing visíveis na própria GTI.

Aplicar filtros e ver campanhas e operações

É possível filtrar o feed da Central de Ameaças Emergentes para conferir a lista de campanhas, operações e relatórios com base em critérios específicos.

Para aplicar filtros:

  1. Clique em filter_alt Filtrar no feed da Central de ameaças emergentes.
  2. Na caixa de diálogo Filtros, selecione o operador lógico:
    • OR: corresponde a qualquer um dos filtros selecionados.
    • E: corresponde a todos os filtros selecionados.
  3. Selecione uma categoria de filtro:
    • Malware associado: filtre por famílias de malware específicas vinculadas à ameaça.
    • Ferramentas associadas: filtre por ferramentas específicas usadas na campanha ou operação.
    • Regiões de origem: filtre pela região geográfica de origem da ameaça.
    • Setores segmentados: filtre por setores segmentados pela campanha ou operação.
    • Regiões segmentadas: filtre pela região geográfica segmentada.
    • Atores de ameaças associados: filtre por atores de ameaças específicos conectados à campanha ou operação.
    • Tem correspondências de IoC: veja campanhas ou operações que contêm IoCs correspondentes ao seu ambiente.
    • Tipos de objetos: veja campanhas, operações ou relatórios, dependendo do foco da sua investigação.

Os filtros selecionados aparecem como ícones acima da tabela.

Entender os cards de ameaças

Cada ameaça no feed aparece como um card que contém o seguinte:

  • Título e resumo da ameaça: uma breve descrição da atividade da ameaça.
  • Metadados associados: uma visão geral dos setores e regiões alvo, malware relacionado e agentes de ameaças.
  • Selos: indicadores rápidos que mostram correspondências de IoC e regras associadas.
    • Para campanhas, operações e relatórios, o selo IOCs mostra se algum IoC no relatório, na campanha ou na operação corresponde aos dados do seu ambiente.
    • Para campanhas ou operações, o selo Regras mostra o número de regras de detecção associadas ativadas no seu ambiente. Por exemplo, um selo com o rótulo 1/2 rules indica que apenas uma das duas regras disponíveis para essa campanha ou operação está ativada no seu ambiente.

Mantenha o ponteiro sobre o selo para mostrar o detalhamento do número de regras amplas e precisas e se elas estão ativadas ou desativadas.

Ver atores e malware associados

Para conferir os atores e malwares associados, clique em um card de ameaça para revelar o contexto detalhado, incluindo:

  • Atores associados: mostra o painel Detalhes do ator, que inclui seções para nome do ator, resumo, país de origem conhecido, datas da primeira e da última vez em que foi visto e campanhas, operações, malware e indicadores relacionados.

  • Malware associado: mostra o painel Detalhes do malware, que inclui seções para família de malware, resumo, sistema operacional, aliases informados e campanhas, operações, agentes ou indicadores relacionados.

Em cada painel, clique em keyboard_arrow_down ao lado do nome de uma seção para abrir e conferir mais detalhes. Ou abra esses detalhes diretamente no GTI para mais informações.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.