Mandiant 搜尋規則

支援的服務：

本文概略說明 Mandiant Hunt 規則集、必要資料來源，以及在 Google Security Operations 平台中調整警示的設定選項。

Mandiant 搜尋規則可找出與雲端和端點資料相關的安全事件。這些規則是與 Mandiant Threat Defense 團隊合作制定，可做為威脅搜尋作業的基準。這些規則的偵測結果可用於複合規則。這個類別包含下列規則集：

  • 雲端識別規則：根據 Mandiant Threat Defense 對全球雲端事件的調查和應變結果，制定邏輯。這些規則旨在偵測與安全性相關的雲端事件，並供雲端複合規則集中的關聯規則使用。

  • 端點識別規則：根據 Mandiant Threat Defense 對全球事件的調查和應變結果，衍生出的邏輯。這些規則旨在偵測與安全性相關的端點事件，並供端點複合規則集中的關聯規則使用。

支援的裝置和記錄類型

這些規則主要仰賴 Cloud 稽核記錄、端點偵測和應變記錄，以及網路 Proxy 記錄。Google SecOps 統合式資料模型 (UDM) 會自動正規化這些記錄來源。

如需 Google SecOps 支援的所有資料來源清單，請參閱「支援的預設剖析器」。

下列類別列出最重要的記錄來源，這些來源是精選複合內容有效運作的必要條件：

端點識別規則記錄來源

Google Cloud 個識別規則記錄來源

Google Cloud 和端點規則記錄來源

如需可用精選偵測規則的完整清單，請參閱「使用精選偵測規則」。如需使用其他機制啟用偵測來源，請與 Google SecOps 代表聯絡。

Google SecOps 提供預設剖析器，可剖析及正規化原始記錄，建立 UDM 記錄，其中包含複合和精選偵測規則集所需的資料。如需 Google SecOps 支援的所有資料來源清單，請參閱「支援的記錄類型和預設剖析器」。

修改規則集中的規則

您可以根據組織需求，自訂規則集內規則的行為。選取下列其中一種偵測模式，調整各項規則的運作方式，並設定規則是否產生快訊：

  • 廣泛：偵測可能具有惡意或異常的行為，但由於規則較為一般，因此可能產生較多偽陽性。
  • 精確：偵測特定惡意或異常行為。

如要修改設定，請按照下列步驟操作：

  1. 在規則清單中，找出要修改的規則，並勾選旁邊的核取方塊。
  2. 按照下列方式，設定規則的「狀態」和「快訊」：
    • 狀態：將模式 (「精確」或「廣泛」) 套用至所選規則。設為 Enabled，即可將規則狀態設為該模式。
    • 快訊：控制規則是否在「快訊」頁面產生快訊。設為「開啟」即可啟用快訊。

調整規則集的快訊

您可以對基礎精選規則套用規則排除條件，減少規則集產生的警告數量。請勿直接將規則排除條件套用至複合規則。

規則排除條件會指定條件，防止符合條件的事件在精選規則或規則集中觸發偵測。詳情請參閱「設定警告抑制」。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。