כללי Mandiant Hunting

נתמך ב:

במסמך הזה מפורטת סקירה כללית על ערכות הכללים של Mandiant Hunting, על מקורות הנתונים הנדרשים ועל אפשרויות ההגדרה לשינוי ההתראות שנוצרות בפלטפורמת Google Security Operations.

כללי החיפוש של Mandiant מזהים אירועים שרלוונטיים לאבטחה בנתונים של נקודות קצה ושל Cloud. הכללים האלה פותחו בשיתוף עם צוות Mandiant Threat Defense, והם מספקים בסיס לפעולות של איתור איומים. אפשר להשתמש בזיהויים מהכללים האלה בכללים מורכבים. הקטגוריה הזו כוללת את קבוצות הכללים הבאות:

  • כללי זיהוי בענן: לוגיקה שמבוססת על חקירה ותגובה של Mandiant Threat Defense לאירועים בענן ברחבי העולם. הכללים האלה נועדו לזהות אירועים בענן שרלוונטיים לאבטחה, והם מיועדים לשימוש בכללי קורלציה בקבוצת הכללים המורכבת בענן.

  • כללי זיהוי של נקודות קצה: לוגיקה שמבוססת על חקירה ותגובה של Mandiant Threat Defense לאירועים ברחבי העולם. הכללים האלה נועדו לזהות אירועים בנקודות קצה שרלוונטיים לאבטחה, והם מיועדים לשימוש בכללי קורלציה בקבוצת הכללים המורכבת של נקודות הקצה.

מכשירים נתמכים וסוגי יומנים

הכללים האלה מסתמכים בעיקר על יומנים של Cloud Audit Logs, יומנים של זיהוי נקודות קצה ותגובה, ויומנים של שרתי proxy ברשת. מודל הנתונים המאוחד (UDM) של Google SecOps מתקנן באופן אוטומטי את מקורות היומן האלה.

רשימה של כל מקורות הנתונים הנתמכים ב-Google SecOps זמינה במאמר בנושא מנתחי ברירת מחדל נתמכים.

הקטגוריות הבאות מתארות את המקורות הכי חשובים של יומני רישום שנדרשים כדי שהתוכן המורכב שנבחר בקפידה יפעל בצורה יעילה:

מקורות יומן של כללים לזיהוי נקודות קצה

Google Cloud מקורות של יומני כללי זיהוי

‫Google Cloud ומקורות יומן של כללים בנקודות קצה

רשימה מלאה של הזיהויים המותאמים זמינה במאמר שימוש בזיהויים מותאמים. אם אתם צריכים להפעיל את מקורות הזיהוי באמצעות מנגנון אחר, פנו לנציג Google SecOps שאחראי על החשבון שלכם.

‫Google SecOps מספק מנתחי נתונים שמוגדרים כברירת מחדל, שמנתחים ומנרמלים יומנים גולמיים כדי ליצור רשומות UDM עם נתונים שנדרשים על ידי קבוצות מורכבות ומסוננות של כללי זיהוי. במאמר סוגי יומנים נתמכים ומנתחי ברירת מחדל מפורטת רשימה של כל מקורות הנתונים הנתמכים ב-Google SecOps.

שינוי כללים בקבוצת כללים

אתם יכולים להתאים אישית את אופן הפעולה של הכללים בתוך קבוצת כללים כדי לענות על הצרכים של הארגון. כדי לשנות את אופן הפעולה של כל כלל, בוחרים באחד ממצבי הזיהוי הבאים ומגדירים אם הכללים ייצרו התראות:

  • רחב: מזהה התנהגות חריגה או התנהגות שיכולה להיות זדונית, אבל יכול להיות שיופיעו יותר תוצאות חיוביות שגויות בגלל האופי הכללי של הכלל.
  • מדויק: מזהה התנהגות זדונית או חריגה ספציפית.

כדי לשנות את ההגדרות:

  1. ברשימת הכללים, מסמנים את התיבה לצד כל כלל שרוצים לשנות.
  2. מגדירים את ההגדרות Status ו-Alerting של הכללים באופן הבא:
    • סטטוס: הסטטוס מחיל את המצב (מדויק או רחב) על הכלל שנבחר. הערך Enabled מפעיל את הסטטוס של הכלל במצב.
    • התראות: קובע אם הכלל יוצר התראה בדף התראות. כדי להפעיל את ההתראות, בוחרים באפשרות מופעל.

שינוי ההתראות מקבוצות כללים

כדי לצמצם את מספר ההתראות שנוצרות על ידי כלל מורכב, אפשר להשתמש בהחרגות של כללים.

החרגה של כלל מציינת קריטריונים שמונעים מאירועים מסוימים להיבדק על ידי כלל או קבוצת כללים. כדי לצמצם את נפח הזיהוי, אפשר להשתמש בהחרגות. מידע נוסף זמין במאמר הגדרת החרגות של כללים.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.