Von Mandiant empfohlene Regeln

Unterstützt in:

Dieser Leitfaden hilft Analysten im Security Operations Center (SOC) und Fachleuten für die Bedrohungserkennung, eine zuverlässige Baseline für die Bedrohungserkennung zu erstellen. Es wird erläutert, wie die von Mandiant empfohlenen Regeln in Google Security Operations eine ausgewählte Bedrohungserkennungsgrundlage bieten, die darauf ausgelegt ist, das Verhalten von Bedrohungsakteuren zu identifizieren und gleichzeitig die SOC-Benachrichtigungsmüdigkeit zu minimieren.

Gängige Anwendungsfälle

Zu den häufigsten Anwendungsfällen für diesen Workflow gehören:

Referenz für die automatisierte Bedrohungserkennung

Ziel: Eine Baseline für die kuratierte Bedrohungserkennung einrichten, die das Verhalten von Bedrohungsakteuren ohne manuelle Konfiguration einzelner Regeln identifiziert.

Wert: Eine zentrale Architekturstrategie der von Mandiant empfohlenen Baseline verwendet zusammengesetzte Erkennungen (Korrelationen mehrerer Ereignisse und Erkennungen) zusammen mit hochpräziser Applied Threat Intelligence (ATI). Wenn Sie mehrstufige zusammengesetzte Logik gegenüber verrauschten Einzelereigniswarnungen priorisieren, erhalten Sie standardmäßig eine höhere Erkennungssicherheit und reduzieren die Anforderungen an die anfängliche Regelabstimmung.

Kontingentfreie Erkennungsabdeckung

Ziel: Maximieren Sie die Abdeckung der Bedrohungserkennung in Ihrer Umgebung, ohne Kontingente für benutzerdefinierte Regeln zu verbrauchen.

Wert: Von Mandiant empfohlene Regeln werden nicht auf Ihre Kontingente für benutzerdefinierte Regeln angerechnet. So können Sie die Abdeckung maximieren, ohne die Kapazität zu beeinträchtigen.

Schlüsselterminologie

  • Von Mandiant empfohlene Regeln: Ausgewählte Erkennungsregeln in Google Security Operations, die das Verhalten von Bedrohungsakteuren identifizieren und gleichzeitig die SOC-Alarmmüdigkeit minimieren.
  • Zusammengesetzte Erkennungen: Korrelationen mit mehreren Ereignissen und Erkennungen, bei denen mehrstufige zusammengesetzte Logik Vorrang vor Benachrichtigungen zu einzelnen Ereignissen hat.
  • Applied Threat Intelligence (ATI): Hochpräzise Threat Intelligence, die zusammen mit zusammengesetzten Erkennungen in der kuratierten Baseline verwendet wird.
  • Tag-Abodienst: Ein Hintergrunddienst, der die Bereitstellung und die Lebenszyklusverwaltung für automatisierte Regeln mit dem Tag google.mandiant.recommended automatisiert.

Hinweis

Zum Verwalten von Tag-Abos benötigen Sie die folgenden IAM-Berechtigungen:

  • chronicle.tagSubscriptions.create
  • chronicle.tagSubscriptions.delete
  • chronicle.tagSubscriptions.get
  • chronicle.tagSubscriptions.list
  • chronicle.tagSubscriptions.update

Wichtige Konzepte und Infrastruktur für das Tagging von Regeln

Die von Mandiant empfohlene Baseline verwendet das Dashboard für einheitliche Regeln von Google SecOps und einen Hintergrund-Abodienst, um die Bereitstellung und das Lebenszyklusmanagement zu automatisieren.

System-Tags und benutzerdefinierte Tags

Google SecOps versieht jede Erkennungsregel in dieser kuratierten Referenz automatisch mit dem Tag:

google.mandiant.recommended

Mit diesem Tag kann Google SecOps empfohlene Regeln automatisch identifizieren, aktivieren und aktualisieren.

Tag-Abos

Anstatt jede Regel manuell zu aktivieren, können Sie das Tag über den Abodienst abonnieren:

  • Automatische Synchronisierung: Wenn Sie das Tag google.mandiant.recommended abonnieren, wird der Abodienst ausgelöst.
  • LiveRules-Befüllung: Der Abodienst füllt die entsprechenden YARA-L-Regeln automatisch mit den empfohlenen Erkennungs- und Benachrichtigungseinstellungen und aktiviert sie.

So verwalten Sie Tag-Abos:

  1. Rufen Sie das Dashboard Regeln und Erkennungen auf, wählen Sie den Tab Übersicht aus und klicken Sie auf Tag-Abos verwalten.
  2. Suchen Sie das Tag Von Mandiant empfohlen und aktivieren Sie das Abo, indem Sie den Schalter auf „Ein“ stellen. Wenn Sie sich abmelden möchten, deaktivieren Sie die Option.

Wenn Sie das Tag Von Mandiant empfohlen abonnieren, werden alle kuratierten Regeln mit diesem Tag automatisch auf die empfohlenen Erkennungs- und Benachrichtigungseinstellungen gesetzt. Wenn Sie diese Einstellungen überschreiben möchten, können Sie jede Regel auf dem Tab Übersicht der Regel aktualisieren. Eine Warnung weist darauf hin, dass Sie Einstellungen der von Mandiant empfohlenen Abo-Referenzversion geändert haben. Alternativ zum Ändern von Regeleinstellungen können Sie die Funktion für Ausschlüsse von vordefinierten Regeln verwenden. Weitere Informationen finden Sie unter Regelausschlüsse unterdrücken.

Wenn Sie alle Unterschiede zwischen den von Mandiant empfohlenen Konfigurationen und Ihren Überschreibungen sehen möchten, rufen Sie den Tab Übersicht auf und klicken Sie auf Unterschiede ansehen und abgleichen. Daraufhin wird ein Übersichtsbereich geöffnet, in dem Sie Ihre Überschreibungen auf die von Mandiant empfohlenen Standardeinstellungen zurücksetzen können. Diese Schaltfläche wird nur angezeigt, wenn der Wert für Ausrichtung kleiner als 100 % ist.

Ausgewählte gespeicherte Ansicht

Google SecOps fügt Ihrem Dashboard für einheitliche Regeln eine standardmäßig angepinnte gespeicherte Ansicht mit dem Namen Von Mandiant empfohlene Regeln hinzu. In der Ansicht werden die folgenden Filterkriterien verwendet: (rule_owner:"*" AND archived=false) AND (tags:"google.mandiant.recommended").

Weitere Informationen zum Suchen von Regeln finden Sie unter In der Regelliste suchen.

Fehlerbehebung

In diesem Abschnitt finden Sie Informationen zur Behebung häufiger Probleme und zum Verhalten empfohlener Regeln.

Wenn Sie die Standardbenachrichtigung für eine von Mandiant empfohlene Regel deaktivieren, wird eine Warnmeldung ausgelöst, aber keine strikte Einschränkung. Prüfen Sie, ob Ihr Team die Abdeckung aufrechterhält, bevor Sie die Benachrichtigungen für empfohlene Regeln deaktivieren.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten