Mandiant 搜寻规则

支持范围：

本文档简要介绍了 Mandiant Hunt 规则集、所需的数据源，以及用于在 Google Security Operations 平台中调整其生成的提醒的配置选项。

Mandiant Hunt 规则可识别云端和端点数据中与安全相关的事件。这些规则是与 Mandiant Threat Defense 团队合作制定的，为威胁搜寻操作提供了基准。这些规则的检测结果可用于复合规则。 此类别包含以下规则集：

  • 云识别规则：基于 Mandiant Threat Defense 对全球云突发事件的调查和响应而得出的逻辑。这些规则旨在检测与安全相关的云事件，并供云复合规则集中的关联规则使用。

  • 端点识别规则：根据 Mandiant Threat Defense 对全球突发事件的调查和响应得出的逻辑。这些规则旨在检测与安全相关的端点事件，并供端点复合规则集中的关联规则使用。

支持的设备和日志类型

这些规则主要依赖于 Cloud Audit Logs 日志、端点检测和响应日志以及网络代理日志。Google SecOps 统一数据模型 (UDM) 会自动对这些日志来源进行标准化。

如需查看 Google SecOps 支持的所有数据源的列表，请参阅支持的默认解析器。

以下类别概述了精选复合内容有效运行所需的最重要日志来源：

端点识别规则日志来源

Google Cloud 个标识规则日志源

Google Cloud 和端点规则日志来源

如需查看可用精选检测的完整列表，请参阅使用精选检测。 如果您需要使用其他机制启用检测来源，请与您的 Google SecOps 代表联系。

Google SecOps 提供默认解析器，用于解析和标准化原始日志，以创建包含复合和精选检测规则集所需数据的 UDM 记录。如需查看 Google SecOps 支持的所有数据源的列表，请参阅支持的日志类型和默认解析器。

修改规则集中的规则

您可以自定义规则集中规则的行为，以满足贵组织的需求。选择以下检测模式之一，调整每条规则的运作方式，并配置规则是否生成提醒：

  • 宽泛：检测潜在的恶意或异常行为，但由于规则的通用性，可能会产生更多误报。
  • 精确：检测特定的恶意或异常行为。

如需修改设置，请执行以下操作：

  1. 从规则列表中，选中要修改的每条规则旁边的复选框。
  2. 按如下方式配置规则的状态和提醒设置：
    • 状态：将模式（精确或宽泛）应用于所选规则。设置为 Enabled 可将规则的状态激活为该模式。
    • 提醒：控制规则是否在提醒页面上生成提醒。设置为开启即可启用提醒。

调整规则集中的提醒

您可以通过对基础底层精选规则应用规则排除项，减少规则集生成的提醒数量。请勿将规则排除项直接应用于复合规则。

规则排除项指定了条件，用于防止匹配事件在精选规则或规则集中触发检测。如需了解详情，请参阅配置提醒抑制。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。