Eigene Threat Intelligence-Feeds einbinden

Unterstützt in:

Dieser Leitfaden richtet sich an Sicherheitsexperten und Erkennungsexperten, die benutzerdefinierte Indicators of Compromise (IoCs) und Threat Intelligence-Feeds von Drittanbietern in Google Security Operations einbinden möchten. Darin wird beschrieben, wie Sie Threat-Feeds aufnehmen, Indikatoren in den Unified Data Model (UDM) Entity Context Graph (ECG) normalisieren und Indikatorentitäten mit Streaming-Ereignis-Telemetrie korrelieren. Mit dieser Methode automatisieren Sie die Erkennung von Bedrohungen in Ihrer Umgebung und vermeiden manuelle Indikatorsuchen. Durch eine erfolgreiche Integration werden die Zeiten für die Triage von Benachrichtigungen verkürzt und der Sicherheitsstatus Ihrer Organisation durch Echtzeit- und rückwirkende Bedrohungserkennung verbessert.

Durch die Einbindung benutzerdefinierter Threat Intelligence-Feeds kann Ihr Sicherheitsteam externe Indikatorstreams (z. B. Malware Information Sharing Platform (MISP), STIX/TAXII oder kommerzielle Feeds) mit Ihrer internen Sicherheitstelemetrie kombinieren. Nach der Normalisierung im ECG unterstützen Bedrohungsentitäten sowohl den automatischen Indikatorabgleich als auch benutzerdefinierte YARA-L 2.0-Korrelationsregeln für mehrere Ereignisse.

Schlüsselterminologie

  • Entity Context Graph (ECG): Die kontextbezogene Speicherebene in Google SecOps, in der zustandsbehaftete Entitätsdatensätze (z. B. Assets, Nutzer und Bedrohungsindikatoren) zur Korrelation mit Sicherheitsereignisprotokollen gespeichert werden.
  • Einheitliches Datenmodell (Unified Data Model, UDM): Das standardisierte Schema, das Google SecOps zum Normalisieren von Rohereignisprotokollen und kontextbezogenen Entitätsdaten verwendet.
  • Lebenszyklusintervall für Indikatoren (metadata.interval): Das zeitlich begrenzte Gültigkeitsfenster (start_time und end_time), das definiert, wann ein Bedrohungsindikator im EKG aktiv ist.
  • Automatischer IoC-Abgleich: Ein vom System generiertes Ergebnis, das erstellt wird, wenn ein eingehendes Sicherheitsereignis mit einer aktiven Indikatoreinheit im ECG übereinstimmt. Es wird auf der Seite IoC-Abgleiche angezeigt.
  • YARA-L-Retrohunt: Eine bedarfsgesteuerte historische Suche, bei der eine YARA-L 2.0-Erkennungsregel für bis zu 30 Tage alte Sicherheitstelemetrie ausgeführt wird.

Gängige Anwendungsfälle

Die folgenden Anwendungsfälle zeigen, wie Sie mit Ihrer eigenen Threat Intelligence-Lösung allgemeine Ziele für Sicherheitsvorgänge erreichen können.

Automatischer Abgleich von Echtzeitindikatoren

  • Ziel: Streaming-Sicherheitsereignisse automatisch anhand von aufgenommenen Drittanbieterindikatoren auswerten, ohne benutzerdefinierte Korrelationsregeln zu pflegen.
  • Wert: Manuelle Regelwartung für Threat-Feeds mit hohem Volumen wird überflüssig und sofortige Übereinstimmungen werden auf der Seite IoC-Übereinstimmungen angezeigt.

Benutzerdefinierte YARA-L-Korrelationsregeln und Retrohunting

  • Ziel: Threat Intelligence-Entitäten im ECG mit Telemetriedaten mit mehreren Ereignissen verknüpfen und mit Retrohunts bis zu 30 Tage alte Verlaufsdaten scannen.
  • Wert: Erkennt mehrstufige Angriffe und deckt frühere Kompromittierungen auf, die vor dem Hinzufügen eines Indikators zu Ihren Threat-Feeds aufgetreten sind.

Hinweis

Prüfen Sie zuerst, ob die folgenden Voraussetzungen erfüllt sind:

  • Berechtigungen: Sie benötigen Identity and Access Management-Berechtigungen, um Datenfeeds zu verwalten und Erkennungsregeln in Google SecOps zu erstellen (z. B. Chronicle API Admin oder Chronicle API Editor). Weitere Informationen zu den erforderlichen Rollen finden Sie unter Funktionszugriff konfigurieren.
  • Umgebungsprüfung: Prüfen Sie, ob Sie eine aktive Google SecOps-Instanz und gültige API-Anmeldedaten oder Endpunkt-URLs für Ihren externen Anbieter von Threat Intelligence haben (z. B. MISP, STIX/TAXII oder Cloud Storage-Buckets).
  • Funktionsweise von Suche und Regeln: Mit der UDM-Suche können Sie Rohdatensätze von Entitäten, die im ECG gespeichert sind, unabhängig von ihrem aktiven Zeitraum untersuchen. Bei YARA-L-Erkennungsregeln und dem automatischen Abgleich werden nur Indikatoren ausgewertet, deren metadata.interval den Ereignis-Zeitstempel umfasst.
  • Dashboard- und Suchfeldpräfixe: Wenn Sie in der UDM-Suche, in Dashboards oder in YARA-L-Regeln Abfragen für Threat Intelligence-Entitäten ausführen, verwenden Sie das Präfix graph.entity. für Indikatorwerte (z. B. graph.entity.ip) und das Präfix graph.metadata.threat. für Felder zur Zuordnung von Bedrohungen.

Threat-Intelligence-Indikatoren aufnehmen

Wählen Sie einen Aufnahmemechanismus aus und konfigurieren Sie ihn, um externe Indikatorstreams in Google SecOps zu importieren.

Mechanismus für die Feedaufnahme auswählen

Sie können Threat Intelligence-Feeds mit einem der folgenden unterstützten Mechanismen aufnehmen:

  • Vordefinierte Standardparser: Google SecOps enthält Standardparser für viele Threat Intelligence-Plattformen. Eine Liste der unterstützten Parser, die unter IOC kategorisiert sind, finden Sie unter Unterstützte Logtypen und Standardparser. Zu den unterstützten Anbietern gehören MISP, ThreatConnect, Intel471 und Cyjax.
  • Feed Management API: Konfigurieren Sie Feeds in der Google SecOps-Konsole oder mit der Feed Management API, um regelmäßig Indikatoren von externen HTTPS-, Cloud Storage- oder Amazon S3-Endpunkten abzurufen.
  • Ingestion API: Senden Sie vorab strukturierte Nutzlasten für Entitäten direkt an Google SecOps über die Ingestion API.
  • Bindplane-Agent: Mit dem Bindplane-Agent können Sie Indikatorlogs aus lokalen oder Cloud-Umgebungen erfassen und weiterleiten.
  • Cloud Run-Funktionen: Stellen Sie serverlose Erfassungsskripts mit Cloud Run-Funktionen bereit, um Indikatoren aus externen APIs (z. B. STIX/TAXII oder MISP) abzurufen und in Google SecOps zu streamen. Weitere Informationen finden Sie unter Aufnahmeskripts verwenden, die als Cloud Run Functions bereitgestellt werden.
  • Google SecOps-Reaktionsintegrationen: Nehmen Sie Indikatoren über Content Hub-Connectors auf, um Bedrohungslisten als Teil automatisierter Playbooks zu synchronisieren. Weitere Informationen finden Sie unter Content Hub verwenden.

Threat Intelligence-Feeds einbinden

So nehmen Sie Indikatorlogs von Ihrem Anbieter von Bedrohungsinformationen in Google SecOps auf:

  1. Folgen Sie dem Onboarding-Verfahren für Ihr spezifisches Threat-Feed-Format oder Ihren Anbieter:

  2. Weisen Sie den eingehenden Feeddaten den entsprechenden IoC-Logtyp zu, z. B. STIX, MISP_IOC, CSV_CUSTOM_IOC oder THREATCONNECT_IOC, damit der Standardparser Indikatorattribute in UDM-Entitätsfelder extrahiert.

  3. Öffnen Sie das Dashboard Datenaufnahme und prüfen Sie, ob eingehende Logeinträge ohne Fehler für nicht geparste Logs angezeigt werden.

Entitätskontextdiagramm erstellen und validieren

Wenn Threat-Indikatoren in Google SecOps eingehen, werden sie in der Parsing-Pipeline in UDM-Entitätsdatensätze normalisiert und das ECG wird damit gefüllt. Weitere Informationen zur Funktionsweise der Entitätsanreicherung finden Sie unter So reichert Google SecOps Ereignis- und Entitätsdaten an.

Zuordnung von strukturierten und unstrukturierten Daten

Je nachdem, wie Sie Threat Intelligence-Daten an Google SecOps senden, müssen Sie den entsprechenden Workflow für die Feldzuordnung ausführen:

  • Datenaufnahme strukturierter Daten: Wenn Sie vorstrukturierte UDM-Entitätsdatensätze direkt über die Ingestion API senden, formatieren Sie jede Nutzlast vor der Aufnahme gemäß dem UDM-Schema Entity.
  • Aufnahme unstrukturierter und semistrukturierter Daten: Wenn Sie Rohlogs (z. B. CSV, JSON, STIX oder CEF) über Feeds, den Bindplane-Agent oder Forwarder senden, weisen Sie einen vordefinierten Standardparser zu oder erstellen Sie benutzerdefinierte Feldzuordnungen mit Parser-Erweiterungen, um Indikatorwerte zu extrahieren und den erforderlichen UDM-Entitätsfeldern zuzuordnen.

Was macht eine Entität zu einem IoC?

Damit ein Entitätseintrag im ECG durch automatische Abgleichs- und Erkennungsregeln als umsetzbarer IoC erkannt wird, müssen die folgenden fünf UDM-Feldgruppen vom Parser oder der API-Nutzlast ausgefüllt werden:

  • Entitätstyp (metadata.entity_type): Der unterstützte Typ der Indikatorentität, z. B. DOMAIN_NAME, IP_ADDRESS, FILE oder URL.
  • Quelltyp (metadata.source_type): Die Datenquellenklassifizierung, die für vom Kunden aufgenommene Threat Intelligence-Feeds auf ENTITY_CONTEXT festgelegt werden muss.
  • Artefakt-ID (entity.*): Der Indikatorwert selbst, z. B. graph.entity.ip, graph.entity.hostname, graph.entity.domain.name, graph.entity.file.sha256 (oder md5 und sha1) oder graph.entity.url.
  • Bedrohungsmetadaten (metadata.threat): Kontextbezogene Attribute, die die Bedrohung beschreiben, einschließlich threat_feed_name, threat_name, category, severity und confidence.

  • Lebenszyklusintervall (metadata.interval):

    • metadata.interval.start_time: Der Zeitstempel, der angibt, wann der Indikator aktiv wird.
    • metadata.interval.end_time: Der Zeitstempel, zu dem der Indikator abläuft.

Schemadefinitionen finden Sie in der UDM-Feldliste für „Entity“ und unter EntityMetadata.

Indikatoren sind in der UDM-Suche in der Regel 2 bis 5 Minuten nach der Aufnahme und dem Parsen suchbar. Prüfen Sie, ob Ihre Indikatoren im EKG angezeigt werden, indem Sie eine UDM-Suche ausführen:

  1. Wählen Sie im Navigationsmenü von Google SecOps Untersuchung > Suche aus.

  2. Geben Sie im Suchfeld eine Abfrage ein, die auf den Entity-Graphen für einen aufgenommenen Indikatorwert abzielt:

    • IP-Adresse:

      graph.entity.ip = "<var>IP_ADDRESS</var>"

    • Domain:

      graph.entity.hostname = "<var>DOMAIN_NAME</var>"

    • Dateihash (SHA-256):

      graph.entity.file.sha256 = "<var>SHA256_HASH</var>"

    • Quellprodukt:

      graph.metadata.source_product = "<var>SOURCE_PRODUCT_NAME</var>"

  3. Klicken Sie auf Suchen oder drücken Sie die Eingabetaste.

  4. Klicken Sie auf die zurückgegebene Karte für das Rechtssubjekt und prüfen Sie, ob die Felder threat und interval die erwarteten Metadaten und aktiven Zeitstempel enthalten.

Telemetriedaten korrelieren und Bedrohungen erkennen

Nachdem die Bedrohungsindikatoren im ECG angezeigt werden, können Sie sie mit eingehenden und historischen Sicherheitsereignissen in Beziehung setzen.

Automatischen IoC-Abgleich aktivieren

Google SecOps umfasst eine automatische Abgleichs-Engine, die unabhängig von benutzerdefinierten Erkennungsregeln funktioniert. Wenn die Ereignis-Telemetrie mit einem aktiven Indikator im EKG übereinstimmt:

  • Systemgenerierte Übereinstimmungen: Die Plattform erstellt automatisch einen IoC-Übereinstimmungseintrag, ohne dass benutzerdefinierte Regeln verwaltet werden müssen.
  • Geschätzter Zeitpunkt nach der Aufnahme (ungefähre Schätzung):
    • Streaming-Ereignisse: Sobald ein Indikator das EKG füllt (in der Regel 5 bis 15 Minuten nach der Aufnahme), wertet Google SecOps eingehende Streaming-Ereignisse aus und zeigt Übereinstimmungen auf der Seite IoC-Übereinstimmungen innerhalb von 5 bis 15 Minuten an.
    • Verlaufsereignisse: Die automatische Abgleichs-Engine vergleicht neu aufgenommene Indikatoren auch rückwirkend mit Verlaufsdaten in Batchzyklen. Erste Übereinstimmungen werden in der Regel innerhalb von 1 bis 4 Stunden angezeigt. Die vollständige Verlaufsübereinstimmung dauert bis zu 24 Stunden.
  • Intervall-Durchsetzung: Die Matching-Engine wertet Ereignisse nur anhand aktiver Indikatoren aus, deren Zeitstempel innerhalb von metadata.interval liegt.

YARA-L 2.0-Korrelationsregeln erstellen

Schreiben Sie YARA-L 2.0-Erkennungsregeln, um Ereignis-Telemetriedaten (z. B. Netzwerkverbindungen, DNS-Abfragen oder Prozessstarts) mit Indikator-Entitäten im ECG zu verknüpfen. Mit benutzerdefinierten Regeln können Sie Indikatorübereinstimmungen mit Verhaltensschwellenwerten, Asset-Kontext und Ausschlusslisten kombinieren:

  1. Wählen Sie im Navigationsmenü von Google SecOps Detection > Rules & Detections aus und klicken Sie dann auf New.
  2. Definieren Sie im Abschnitt events: Ihrer Regel eine Platzhaltervariable, um ein UDM-Ereignisfeld (z. B. $net.target.ip = $ip) mit dem entsprechenden ECG-Entitätsfeld (z. B. $ioc.graph.entity.ip = $ip) zu verknüpfen.

  3. Filtern Sie die Entitätsvariable nach Bedrohungsattributen (z. B. $ioc.graph.metadata.threat.category) und geben Sie im Abschnitt match: ein Korrelationszeitfenster an (z. B. $ip over 5m).

  4. Klicken Sie auf Neue Regel speichern.

Retrohunt ausführen, um frühere Kompromittierungen zu erkennen

Threat Intelligence-Feeds enthalten oft Indikatoren, die von Angreifern Tage oder Wochen vor dem Import des Feeds durch Ihre Organisation verwendet wurden. Während bei Live-Regeln neue eingehende Telemetriedaten ausgewertet werden, wird bei einer YARA-L-Retrohunt die Regellogik rückwirkend auf bis zu 30 Tage alte Sicherheitsereignisse angewendet:

  1. Wählen Sie im Navigationsmenü von Google SecOps Detection > Rules & Detections aus.
  2. Suchen Sie in der Liste der Regeln nach Ihrer benutzerdefinierten Regel für Threat Intelligence.
  3. Klicken Sie auf , um weitere Regeloptionen aufzurufen, und wählen Sie YARA-L-Retrohunt aus.
  4. Wählen Sie im Dialogfeld YARA-L Retrohunt die Start- und Endzeit für die historische Suche aus. Der ausgewählte Zeitraum muss mindestens so lang sein wie das in der Regel angegebene Abgleichszeitfenster.
  5. Klicken Sie auf Ausführen.

  6. Öffnen Sie den Tab Erkennungen für die Regel, um den Fortschritt zu beobachten und frühere Übereinstimmungen zu prüfen.

Weitere Informationen finden Sie unter Regel mit Verlaufsdaten ausführen.

Übereinstimmungen und Benachrichtigungen untersuchen

Prüfen Sie die Ergebnisse, die durch automatisches Abgleichen und benutzerdefinierte Korrelationsregeln in dedizierten Ansichten in Google SecOps generiert wurden.

Automatische Treffer auf der Seite „IoC-Übereinstimmungen“ ansehen

So untersuchen Sie automatische Indikatorübereinstimmungen:

  1. Wählen Sie im Navigationsmenü von Google SecOps Detection > IoC matches aus.
  2. Mit den Filterfunktionen können Sie die Ergebnisse nach Indikatortyp (Domains, IP-Adressen, Datei-Hashes oder URLs) eingrenzen.
  3. Klicken Sie auf eine beliebige Zeile mit einem Indikator, um den Bereich mit den Spielanalysedetails zu öffnen. Dort werden folgende Informationen angezeigt:
    • Zugehörige interne Assets und Nutzernamen.
    • Zeitstempel für das erste und letzte Ereignis.
    • Quelle des Threat Intelligence-Feeds und Zuweisung des Konfidenzniveaus.
  4. Klicken Sie auf In UDM Search ansehen, um alle Rohdaten-Telemetrieereignisse im Zusammenhang mit dem Indikator zu prüfen.

Weitere Informationen finden Sie unter IoCs mit Applied Threat Intelligence ansehen.

Regeltreffer auf den Seiten „Warnungen“ und „Erkennungen“ priorisieren

Erkennungen, die durch benutzerdefinierte YARA-L-Regeln generiert werden, werden auf den Seiten Benachrichtigungen und Erkennungen angezeigt:

  1. Wählen Sie im Navigationsmenü von Google SecOps Detection > Alerts & IoCs aus, um priorisierte Regelbenachrichtigungen aufzurufen.
  2. Klicken Sie auf einen Benachrichtigungsnamen, um die Seite Benachrichtigungsdetails zu öffnen und die Tabelle Erkennungen zu prüfen. Dort sind korrelierte Ereigniszeilen und Attribute von ECG-Entitäten aufgeführt.
  3. Bei stillen Regeln (bei denen Benachrichtigungen deaktiviert sind) oder abgeschlossenen Retrohunts öffnen Sie Detection > Rules & Detections (Erkennung > Regeln und Erkennungen), klicken Sie auf den Regelnamen und sehen Sie sich den Tab Detections (Erkennungen) an.

Benutzerdefinierte Indikatoren mit dem Emerging Threats Center in Beziehung setzen

Sie können auch das Emerging Threats Center verwenden, um zu untersuchen, wie Ihre benutzerdefinierten IoC-Übereinstimmungen mit umfassenderen Kampagnen von Angreifern und Malware-Familien zusammenhängen:

  1. Wählen Sie im Navigationsmenü von Google SecOps Detection > Emerging Threats aus.
  2. Prüfen Sie aktive Bedrohungskampagnen und Warnungen und wechseln Sie zur UDM-Suche, um zu prüfen, ob sich Indikatoren aus Ihren benutzerdefinierten Bedrohungsfeeds mit beobachteten Kampagnenaktivitäten überschneiden.

Weitere Informationen finden Sie unter Emerging Threats Center – Übersicht.

Auf erweiterte Assets und Referenzen zugreifen

Verwenden Sie die folgenden YARA-L 2.0-Snippets und Referenzressourcen, wenn Sie benutzerdefinierte Regeln für Threat Intelligence erstellen.

Ausgehende Netzwerkverbindung, die einer schädlichen IP-Adresse entspricht

Mit dieser Regel werden ausgehende NETWORK_CONNECTION-Ereignisse mit aktiven IP-Indikatoren im ECG in Beziehung gesetzt:

rule custom_ioc_network_connection {
  meta:
    author = "Security Operations"
    description = "Detects connections to IPs matching custom threat intel"
    severity = "HIGH"
    priority = "HIGH"

  events:
    $net.metadata.event_type = "NETWORK_CONNECTION"
    $net.target.ip = $ip

    $ioc.graph.entity.ip = $ip
    $ioc.graph.metadata.threat.category = "SUSPICIOUS_NETWORK"

  match:
    $ip over 5m

  outcome:
    $risk_score = max(85)
    $threat_name = array_distinct($ioc.graph.metadata.threat.threat_name)
    $source_feed = array_distinct($ioc.graph.metadata.source_product)
    $principal_hostname = array_distinct($net.principal.asset.hostname)

  condition:
    $net and $ioc
}

DNS-Abfrage, die einer schädlichen Domain entspricht

Mit dieser Regel werden NETWORK_DNS-Lookups für Domains erkannt, die in Ihren aufgenommenen Threat Feeds als schädlich gekennzeichnet sind:

rule custom_ioc_malicious_domain_query {
  meta:
    author = "Security Operations"
    description = "Detects DNS queries for domains matching threat intel"
    severity = "MEDIUM"
    priority = "MEDIUM"

  events:
    $dns.metadata.event_type = "NETWORK_DNS"
    $dns.network.dns.questions.name = $domain

    $ioc.graph.entity.hostname = $domain

  match:
    $domain over 10m

  outcome:
    $threat_name = array_distinct($ioc.graph.metadata.threat.threat_name)
    $source_feed = array_distinct($ioc.graph.metadata.source_product)
    $client_ip = array_distinct($dns.principal.ip)

  condition:
    $dns and $ioc
}

Prozessausführung, die einem schädlichen SHA-256-Dateihash entspricht

Diese Regel wird ausgelöst, wenn ein PROCESS_LAUNCH-Ereignis mit einem bekannten schädlichen SHA-256-Dateihash übereinstimmt, der im ECG gespeichert ist:

rule custom_ioc_malicious_file_execution {
  meta:
    author = "Security Operations"
    description = "Detects process launches matching malicious file hashes"
    severity = "CRITICAL"
    priority = "HIGH"

  events:
    $process.metadata.event_type = "PROCESS_LAUNCH"
    $process.target.process.file.sha256 = $sha256

    $ioc.graph.entity.file.sha256 = $sha256

  match:
    $sha256 over 5m

  outcome:
    $threat_name = array_distinct($ioc.graph.metadata.threat.threat_name)
    $file_path = array_distinct($process.target.process.file.full_path)
    $hostname = array_distinct($process.principal.asset.hostname)
    $user = array_distinct($process.principal.user.userid)

  condition:
    $process and $ioc
}

Community-Blogs und zusätzliche Ressourcen

Weitere Beispiele zum Erstellen von YARA-L-Regeln und zum Korrelieren benutzerdefinierter Feeds für Threat Intelligence finden Sie in den folgenden Google Cloud Community-Ressourcen:

Fehlerbehebung

In diesem Abschnitt erfahren Sie, wie Sie Leistungserwartungen verwalten und häufige Probleme beheben können, wenn Sie Threat Intelligence-Feeds einbinden und Korrelationsregeln erstellen.

Latenz, Dienstkontingent und Limits

  • Aufnahme und UDM-Suchindexierung: Neu aufgenommene Indikatoren werden in der Regel innerhalb von 2 bis 5 Minuten in der UDM-Suche angezeigt. Warten Sie nach der Aufnahme des Feeds mindestens 5 Minuten, bevor Sie mit der Fehlerbehebung bei fehlenden Datensätzen für Rechtssubjekte beginnen.
  • Latenz beim automatischen IoC-Abgleich: Sobald ein Indikator im ECG angezeigt wird, werden Übereinstimmungen mit eingehenden Streamingereignissen innerhalb von 5 bis 15 Minuten auf der Seite IoC-Übereinstimmungen angezeigt. Der rückwirkende Batch-Abgleich mit historischen Ereignissen dauert in der Regel 1 bis 4 Stunden (und bis zu 24 Stunden für die vollständige historische Korrelation).
  • Korrelationszeitraum für den Kontextgraphen von Entitäten: Beim automatischen Abgleich von IoCs und bei YARA-L-Korrelationsregeln werden Indikatoren nur innerhalb des aktiven metadata.interval-Zeitraums ausgewertet. Für Indikatoren mit abgelaufenen end_time-Werten werden keine Übereinstimmungen generiert.
  • Retrohunt-Suchzeitraum: YARA-L-Retrohunts scannen pro Ausführung bis zu 30 Tage alte Telemetriedaten. Die Dauer hängt von der Komplexität der Regel und der Verfügbarkeit von Systemressourcen ab.

Fehlerbehebung

In dieser Tabelle finden Sie Informationen zur Diagnose und Behebung von Problemen bei der Einrichtung von Threat Intelligence und beim Erstellen von Erkennungsregeln.

Problem Problembeschreibung Korrigieren
Nicht geparste IoC-Logs Der Feedstatus zeigt eingehende Daten an, aber Protokolle können nicht in UDM-Entitäten geparst werden. Prüfen Sie, ob der Feed-Log-Typ mit Ihrem Parser übereinstimmt (z. B. STIX, MISP_IOC oder CSV_CUSTOM_IOC). Suchen Sie im Dashboard Datenaufnahme nach Fehlern im Rohschema.
Fehlende UDM-Suchergebnisse Indikatorprotokolle werden ohne Fehler geparst, aber die UDM-Suche gibt keine Entitätsdatensätze zurück. Prüfen Sie, ob Ihre Abfrage auf graph.entity.*-Felder (z. B. graph.entity.ip) und nicht auf udm.principal.*-Ereignisfelder ausgerichtet ist.
Regel wird bei bekanntem Indikator nicht ausgelöst Sowohl das Ereignis als auch der Indikator sind in der UDM-Suche vorhanden, aber die YARA-L-Regel liefert keine Erkennungen. Prüfen Sie, ob metadata.interval.start_time und metadata.interval.end_time auf dem Indikator den Ereigniszeitstempel einschließen.
Warnung vor Überschwemmungen während der Rückwärtssuche Wenn Sie eine Retrohunt ausführen, werden Hunderte von doppelten SOAR-Fällen und ‑Benachrichtigungen erstellt. Deaktivieren Sie den Benachrichtigungsschalter der Regel, bevor Sie mit der Suche beginnen. Sehen Sie sich die erkannten Ereignisse auf der Seite Erkannte Ereignisse an, bevor Sie Live-Benachrichtigungen wieder aktivieren.
Hohe Anzahl an Fehlalarmen Rauschanfällige Indikatoren lösen Erkennungen auf harmlosen internen Scannern oder Administratorhosts aus. Fügen Sie Ihrer Regel einen Ausschluss für die Referenzliste hinzu (z. B. not $net.principal.ip in %benign_scanner_ips) und fordern Sie den Kontext des Verhaltensereignisses an.

Validierung und Tests

Bevor Sie eine benutzerdefinierte Regel für die Bedrohungsanalyse im Live-Benachrichtigungsmodus aktivieren, sollten Sie die Logik mit der integrierten Funktion Regel testen überprüfen:

  1. Öffnen Sie Erkennung > Regeln und Erkennungen und klicken Sie auf Ihre Regel, um den Regeleditor zu öffnen.
  2. Klicken Sie im unteren Bereich auf Regel testen, um die Regel anhand von aktuellen historischen Ereignisdaten und aktiven ECG-Entitäten zu testen, ohne Benachrichtigungen oder SOAR-Vorgänge zu generieren.
  3. Prüfen Sie die zurückgegebenen Testerkennungen, um zu bestätigen, dass outcome-Variablen (z. B. $threat_name und $source_feed) wie erwartet ausgefüllt werden.

Nächste Schritte

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten