Regras de Hunting da Mandiant

Compatível com:

Este documento apresenta uma visão geral dos conjuntos de regras de verificação da Mandiant, as fontes de dados necessárias e as opções de configuração para ajustar os alertas gerados na plataforma Google Security Operations.

As regras do Mandiant Hunt identificam eventos relevantes para a segurança de dados de nuvem e de endpoints. Essas regras são desenvolvidas em coordenação com a equipe de Defesa contra Ameaças da Mandiant e fornecem uma base para operações de busca de ameaças. As detecções dessas regras podem ser usadas em regras compostas. Essa categoria inclui os seguintes conjuntos de regras:

  • Regras de identificação na nuvem: lógica derivada da investigação e resposta da Mandiant Threat Defense a incidentes na nuvem em todo o mundo. Essas regras foram projetadas para detectar eventos de nuvem relevantes para a segurança e são usadas por regras de correlação no conjunto de regras compostas de nuvem.

  • Regras de identificação de endpoints: lógica derivada da investigação e resposta da Mandiant Threat Defense a incidentes em todo o mundo. Essas regras foram criadas para detectar eventos de endpoint relevantes para a segurança e para serem usadas por regras de correlação no conjunto de regras composto de endpoint.

Dispositivos e tipos de registro compatíveis

Essas regras dependem principalmente dos registros de auditoria do Cloud, de detecção e resposta de endpoint e de proxy de rede. O modelo de dados unificado (UDM) do Google SecOps normaliza automaticamente essas fontes de registro.

Para uma lista de todas as fontes de dados compatíveis com o Google SecOps, consulte Analisadores padrão compatíveis.

As categorias a seguir descrevem as fontes de registro mais importantes necessárias para que o conteúdo composto selecionado funcione de maneira eficaz:

Fontes de registro de regras de identificação de endpoints

Google Cloud origens de registro de regras de identificação

Google Cloud e fontes de registro de regras de endpoint

Para uma lista completa das detecções especializadas disponíveis, consulte Usar detecções especializadas. Entre em contato com seu representante do Google SecOps se precisar ativar as fontes de detecção usando um mecanismo diferente.

O Google SecOps fornece analisadores padrão que analisam e normalizam registros brutos para criar registros de UDM com os dados exigidos por conjuntos de regras de detecção compostas e selecionadas. Para uma lista de todas as fontes de dados compatíveis com o Google SecOps, consulte Tipos de registros compatíveis e analisadores padrão.

Modificar regras em um conjunto de regras

É possível personalizar o comportamento das regras em um conjunto de regras para atender às necessidades da sua organização. Ajuste como cada regra opera selecionando um dos seguintes modos de detecção e configure se as regras geram alertas:

  • Ampla: detecta comportamentos potencialmente mal-intencionados ou anômalos, mas pode produzir mais falsos positivos devido à natureza geral da regra.
  • Preciso: detecta comportamentos maliciosos ou anômalos específicos.

Para modificar as configurações, faça o seguinte:

  1. Na lista de regras, marque a caixa de seleção ao lado de cada regra que você quer modificar.
  2. Defina as configurações de Status e Alerta para as regras da seguinte maneira:
    • Status: aplica o modo (Preciso ou Amplo) à regra selecionada. Defina como Enabled para ativar o status da regra no modo.
    • Alertas: controla se a regra gera um alerta na página Alertas. Defina como Ativado para ativar os alertas.

Ajustar alertas de conjuntos de regras

É possível reduzir o número de alertas gerados por um conjunto de regras aplicando exclusões de regras às regras selecionadas fundamentais. Não aplique uma exclusão de regra diretamente a uma regra composta.

Uma exclusão de regra especifica critérios que impedem que eventos correspondentes acionem detecções em uma regra ou conjunto de regras selecionado. Para mais informações, consulte Configurar a supressão de alertas.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.