Reglas de búsqueda de Mandiant

Compatible con:

En este documento, se proporciona una descripción general de los conjuntos de reglas de Mandiant Hunt, las fuentes de datos requeridas y las opciones de configuración para ajustar las alertas que generan en la plataforma de Google Security Operations.

Las reglas de Mandiant Hunt identifican eventos relevantes para la seguridad de los datos de la nube y de los extremos. Estas reglas se desarrollan en coordinación con el equipo de Mandiant Threat Defense y proporcionan un modelo de referencia para las operaciones de búsqueda de amenazas. Las detecciones de estas reglas se pueden usar en reglas compuestas. Esta categoría incluye los siguientes conjuntos de reglas:

  • Reglas de identificación de la nube: Es la lógica derivada de la investigación y respuesta de Mandiant Threat Defense ante incidentes en la nube en todo el mundo. Estas reglas están diseñadas para detectar eventos de la nube relevantes para la seguridad y están diseñadas para que las usen las reglas de correlación en el conjunto de reglas compuestas de la nube.

  • Reglas de identificación de endpoints: Lógica derivada de la investigación y respuesta de Mandiant Threat Defense ante incidentes en todo el mundo. Estas reglas están diseñadas para detectar eventos de extremos relevantes para la seguridad y para que las usen las reglas de correlación en el conjunto de reglas compuestas de extremos.

Dispositivos y tipos de registros compatibles

Estas reglas se basan principalmente en los registros de auditoría de Cloud, los registros de detección y respuesta de extremos, y los registros de proxy de red. El modelo de datos unificado (UDM) de Google SecOps normaliza automáticamente estas fuentes de registros.

Para obtener una lista de todas las fuentes de datos compatibles con Google SecOps, consulta Analizadores predeterminados compatibles.

En las siguientes categorías, se describen las fuentes de registro más importantes que se requieren para que el contenido compuesto seleccionado funcione de manera eficaz:

Fuentes de registro de reglas de identificación de extremos

Google Cloud fuentes de registro de reglas de identificación

Fuentes de registro de reglas deGoogle Cloud y de extremos

Para obtener una lista completa de las detecciones seleccionadas disponibles, consulta Usa detecciones seleccionadas. Comunícate con tu representante de Google SecOps si necesitas habilitar las fuentes de detección con un mecanismo diferente.

Google SecOps proporciona analizadores predeterminados que analizan y normalizan los registros sin procesar para crear registros de UDM con los datos que requieren los conjuntos de reglas de detección compuestos y seleccionados. Para obtener una lista de todas las fuentes de datos compatibles con Google SecOps, consulta Tipos de registros admitidos y analizadores predeterminados.

Modifica las reglas de un conjunto de reglas

Puedes personalizar el comportamiento de las reglas dentro de un conjunto de reglas para satisfacer las necesidades de tu organización. Para ajustar el funcionamiento de cada regla, selecciona uno de los siguientes modos de detección y configura si las reglas generan alertas:

  • Amplia: Detecta comportamientos potencialmente maliciosos o anómalos, pero puede producir más falsos positivos debido a la naturaleza general de la regla.
  • Preciso: Detecta comportamientos maliciosos o anómalos específicos.

Para modificar la configuración, haz lo siguiente:

  1. En la lista de reglas, selecciona la casilla de verificación junto a cada regla que quieras modificar.
  2. Establece la configuración de Estado y Alertas para las reglas de la siguiente manera:
    • Estado: Aplica el modo (Preciso o Amplio) a la regla seleccionada. Establece el valor en Enabled para activar el estado de la regla en el modo.
    • Alertas: Controla si la regla genera una alerta en la página Alertas. Establece el parámetro en Activado para habilitar las alertas.

Ajusta las alertas de los conjuntos de reglas

Puedes reducir la cantidad de alertas que genera un conjunto de reglas aplicando exclusiones de reglas a las reglas seleccionadas subyacentes fundamentales. No apliques una exclusión de regla directamente a una regla compuesta.

Una exclusión de regla especifica criterios que evitan que los eventos coincidentes activen detecciones en una regla o un conjunto de reglas seleccionados. Para obtener más información, consulta Configura la supresión de alertas.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.