Ameaças ao macOS

Compatível com:

Neste documento, apresentamos uma visão geral dos conjuntos de regras na categoria de ameaças do macOS, as fontes de dados necessárias e a configuração que pode ser usada para ajustar os alertas gerados por esses conjuntos de regras.

Os conjuntos de regras na categoria Ameaças do macOS ajudam a identificar ameaças em ambientes do macOS usando o CrowdStrike Falcon, o sistema de auditoria do macOS (AuditD) e os registros do sistema Unix. Essa categoria inclui os seguintes conjuntos de regras:

  • Ameaças emergentes da Mandiant Intel: esse conjunto de regras contém regras derivadas de campanhas de inteligência e eventos significativos da Mandiant, que abrangem atividades geopolíticas e de ameaças de alto impacto, conforme avaliado pela Mandiant. Essa atividade pode incluir conflitos geopolíticos, exploração, phishing, malvertising, ransomware e comprometimentos da cadeia de suprimentos.

Dispositivos e tipos de registro compatíveis

Nesta seção, listamos os dados necessários para cada conjunto de regras. Entre em contato com seu representante do Google Security Operations se estiver coletando dados de endpoint usando um software de EDR diferente.

Para uma lista de todas as fontes de dados compatíveis com o Google SecOps, consulte Analisadores padrão compatíveis.

Conjuntos de regras de ameaças de linha de frente da Mandiant e de novas ameaças da Mandiant Intel

Esses conjuntos de regras foram testados e são compatíveis com as seguintes fontes de dados de EDR do Google SecOps:

  • Carbon Black (CB_EDR)
  • SentinelOne (SENTINEL_EDR)
  • Crowdstrike Falcon (CS_EDR)

Esses conjuntos de regras estão sendo testados e otimizados para as seguintes fontes de dados de EDR compatíveis com o Google SecOps:

  • Tanium
  • Cybereason EDR (CYBEREASON_EDR)
  • Lima Charlie (LIMACHARLIE_EDR)
  • OSQuery
  • Zeek
  • Cylance (CYLANCE_PROTECT)

Para ingerir esses registros no Google SecOps, consulte Ingerir dados do Google Cloud no Google SecOps. Entre em contato com seu representante do Google SecOps se precisar coletar esses registros usando um mecanismo diferente.

Para uma lista de todas as fontes de dados compatíveis com o Google SecOps, consulte Analisadores padrão compatíveis.

Ajuste de alertas retornados pela categoria de ameaças do macOS

É possível reduzir o número de detecções que uma regra ou um conjunto de regras gera usando exclusões de regras.

Na exclusão de regra, você define os critérios de um evento de UDM que exclui o evento da avaliação pelo conjunto de regras.

Crie uma ou mais exclusões de regras para identificar critérios em um evento de UDM que excluem o evento da avaliação por esse conjunto de regras ou por regras específicas no conjunto de regras. Para mais informações, consulte Configurar a supressão de alertas.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.