Reglas recomendadas de Mandiant

Compatible con:

Esta guía ayuda a los analistas del centro de operaciones de seguridad (SOC) y a los ingenieros de detección a establecer un modelo de referencia de detección de amenazas de alta fidelidad. Se explica cómo las reglas de Mandiant Recommended en Google Security Operations proporcionan un modelo de referencia de detección de amenazas seleccionado y diseñado para identificar los comportamientos de los agentes de amenazas y, al mismo tiempo, minimizar la fatiga por alertas del SOC.

Casos de uso habituales

Entre los casos de uso comunes para este flujo de trabajo, se incluyen los siguientes:

Modelo de referencia de detección de amenazas automatizada

Objetivo: Establecer un modelo de referencia de detección de amenazas seleccionado que identifique los comportamientos de los agentes de amenazas sin una configuración manual regla por regla.

Valor: Una estrategia de arquitectura principal de la base de referencia recomendada de Mandiant usa detecciones compuestas (correlaciones de varios eventos y detecciones) junto con la inteligencia contra amenazas aplicada (ATI) de alta precisión. Priorizar la lógica compuesta de varias etapas por sobre las alertas ruidosas de un solo evento proporciona una mayor confianza en la detección de forma predeterminada y reduce los requisitos iniciales de ajuste de reglas.

Cobertura de detección sin cuota

Objetivo: Maximizar la cobertura de detección de amenazas en tu entorno sin consumir cuotas de capacidad de reglas personalizadas.

Valor: Las reglas recomendadas por Mandiant no se descuentan de tus cuotas de capacidad de reglas personalizadas, lo que te permite maximizar la cobertura sin sacrificar la capacidad.

Terminología clave

  • Reglas recomendadas de Mandiant: Son reglas de detección seleccionadas en Google Security Operations que identifican los comportamientos de los agentes de amenazas y, al mismo tiempo, minimizan la fatiga por alertas del SOC.
  • Detecciones compuestas: Correlaciones de varios eventos y detecciones que priorizan la lógica compuesta de varias etapas por sobre las alertas de un solo evento.
  • Inteligencia contra amenazas aplicada (ATI): Inteligencia contra amenazas de alta precisión que se usa junto con las detecciones compuestas en el modelo de referencia seleccionado.
  • Servicio de suscripción de etiquetas: Es un servicio en segundo plano que automatiza la implementación de reglas y la administración del ciclo de vida de las reglas etiquetadas con google.mandiant.recommended.

Antes de comenzar

Para administrar las suscripciones a etiquetas, debes tener los siguientes permisos de IAM:

  • chronicle.tagSubscriptions.create
  • chronicle.tagSubscriptions.delete
  • chronicle.tagSubscriptions.get
  • chronicle.tagSubscriptions.list
  • chronicle.tagSubscriptions.update

Conceptos clave y la infraestructura de etiquetado de reglas

El modelo de referencia recomendado por Mandiant usa el panel de reglas unificadas de Google SecOps y un servicio mediante suscripción en segundo plano para automatizar la implementación y la administración del ciclo de vida.

Etiquetas del sistema y personalizadas

Google SecOps etiqueta automáticamente cada regla de detección de esta línea de base seleccionada con la siguiente etiqueta:

google.mandiant.recommended

Esta etiqueta permite que Google SecOps identifique, habilite y actualice automáticamente las reglas recomendadas.

Suscripciones a etiquetas

En lugar de requerir la activación manual regla por regla, puedes suscribirte a la etiqueta con el servicio mediante suscripción:

  • Sincronización automática: La suscripción a la etiqueta google.mandiant.recommended activa el servicio mediante suscripción.
  • Propagación de LiveRules: El servicio mediante suscripción propaga y habilita automáticamente las reglas de YARA-L correspondientes con los parámetros de configuración de detección y alerta recomendados.

Para administrar las suscripciones a etiquetas, sigue estos pasos:

  1. Ve al panel Reglas y detecciones, selecciona la pestaña Descripción general y haz clic en Administrar suscripciones a etiquetas.
  2. Busca la etiqueta Mandiant Recommended y activa el botón de activación para habilitar la suscripción. Para cancelar la suscripción, desactiva el interruptor.

Cuando te suscribes a la etiqueta Recomendada por Mandiant, todas las reglas seleccionadas con esa etiqueta se configuran automáticamente con sus parámetros de detección y alerta recomendados. Si necesitas anular esa configuración, puedes actualizar cada regla en la pestaña Descripción general de la regla. Una advertencia indica que cambiaste la configuración de la línea de base de la suscripción recomendada de Mandiant. Puedes usar la función de exclusiones de reglas seleccionadas como alternativa para cambiar la configuración de las reglas. Para obtener más información, consulta Exclusiones de reglas de supresión.

Para ver todas las diferencias entre los parámetros de configuración recomendados por Mandiant y tus anulaciones, ve a la pestaña Descripción general y haz clic en Ver diferencias y alinear. Se abrirá un panel de descripción general que te permitirá restablecer las anulaciones a los valores predeterminados recomendados por Mandiant. Este botón solo aparece cuando el valor de Alineación es inferior al 100%.

Vista guardada seleccionada

Google SecOps agrega una vista guardada fijada predeterminada llamada Reglas recomendadas de Mandiant a tu panel de reglas unificadas. La vista usa los siguientes criterios de filtro: (rule_owner:"*" AND archived=false) AND (tags:"google.mandiant.recommended").

Para obtener más información sobre la búsqueda de reglas, consulta Busca en la lista de reglas.

Soluciona problemas

En esta sección, se proporciona información para resolver problemas comunes y comprender el comportamiento de las reglas recomendadas.

Inhabilitar las alertas estándar en una regla recomendada por Mandiant activa un mensaje de advertencia en lugar de una restricción estricta. Verifica que tu equipo mantenga una cobertura activa antes de inhabilitar las alertas en las reglas recomendadas.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.