Règles de chasse Mandiant

Compatible avec :

Ce document présente les ensembles de règles de chasse Mandiant, les sources de données requises et les options de configuration permettant d'ajuster les alertes qu'ils génèrent dans la plate-forme Google Security Operations.

Les règles de recherche Mandiant identifient les événements liés à la sécurité pour les données cloud et de points de terminaison. Ces règles sont élaborées en coordination avec l'équipe Mandiant Threat Defense et fournissent une base pour les opérations de chasse aux menaces. Les détections issues de ces règles peuvent être utilisées dans des règles composites. Cette catégorie inclut les ensembles de règles suivants :

  • Règles d'identification du cloud : logique dérivée de l'investigation et de la réponse de Mandiant Threat Defense aux incidents cloud dans le monde entier. Ces règles sont conçues pour détecter les événements cloud liés à la sécurité et pour être utilisées par les règles de corrélation dans l'ensemble de règles composites cloud.

  • Règles d'identification des points de terminaison : logique dérivée de l'investigation et de la réponse de Mandiant Threat Defense aux incidents dans le monde entier. Ces règles sont conçues pour détecter les événements de point de terminaison pertinents pour la sécurité et pour être utilisées par les règles de corrélation dans l'ensemble de règles composites de point de terminaison.

Appareils et types de journaux compatibles

Ces règles s'appuient principalement sur les journaux Cloud Audit Logs, les journaux de détection et de réponse des points de terminaison, et les journaux de proxy réseau. Le modèle de données unifié (UDM) Google SecOps normalise automatiquement ces sources de journaux.

Pour obtenir la liste de toutes les sources de données compatibles avec Google SecOps, consultez Analyseurs par défaut compatibles.

Les catégories suivantes décrivent les sources de journaux les plus importantes requises pour que le contenu composite organisé fonctionne efficacement :

Sources de journaux des règles d'identification des points de terminaison

Sources de journaux des règles d'identificationGoogle Cloud

Sources de journaux des règles de point de terminaison etGoogle Cloud

Pour obtenir la liste complète des détections optimisées disponibles, consultez Utiliser les détections optimisées. Contactez votre représentant Google SecOps si vous avez besoin d'activer les sources de détection à l'aide d'un autre mécanisme.

Google SecOps fournit des analyseurs par défaut qui analysent et normalisent les journaux bruts pour créer des enregistrements UDM avec les données requises par les ensembles de règles de détection composites et organisés. Pour obtenir la liste de toutes les sources de données compatibles avec Google SecOps, consultez Types de journaux et analyseurs par défaut acceptés.

Modifier des règles dans un ensemble de règles

Vous pouvez personnaliser le comportement des règles d'un ensemble de règles pour répondre aux besoins de votre organisation. Ajustez le fonctionnement de chaque règle en sélectionnant l'un des modes de détection suivants, et configurez si les règles génèrent des alertes :

  • Générales : détectent les comportements potentiellement malveillants ou anormaux, mais peuvent générer plus de faux positifs en raison de la nature générale de la règle.
  • Précise : détecte les comportements malveillants ou anormaux spécifiques.

Pour modifier les paramètres :

  1. Dans la liste des règles, cochez la case à côté de chaque règle à modifier.
  2. Configurez les paramètres État et Alertes des règles comme suit :
    • État : applique le mode (Précis ou Large) à la règle sélectionnée. Définissez la valeur sur Enabled pour activer l'état de la règle sur le mode.
    • Alertes : indique si la règle génère une alerte sur la page Alertes. Définissez la valeur sur Activé pour activer les alertes.

Ajuster les alertes des ensembles de règles

Vous pouvez réduire le nombre d'alertes générées par une règle composite en utilisant des exclusions de règles.

Une exclusion de règle spécifie des critères qui empêchent certains événements d'être évalués par une règle ou un ensemble de règles. Utilisez des exclusions pour réduire le volume de détection. Pour en savoir plus, consultez Configurer des exclusions de règles.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.