Règles recommandées par Mandiant

Compatible avec :

Ce guide aide les analystes des centres des opérations de sécurité (SOC) et les ingénieurs en détection à établir une référence de détection des menaces haute fidélité. Il explique comment les règles Mandiant Recommended dans Google Security Operations fournissent une référence de détection des menaces conçue pour identifier les comportements des acteurs malveillants tout en minimisant la fatigue liée aux alertes du SOC.

Cas d'utilisation courants

Voici quelques cas d'utilisation courants de ce workflow :

Base de référence pour la détection automatisée des menaces

Objectif : établir une référence de détection des menaces optimisée qui identifie les comportements des acteurs malveillants sans configuration manuelle règle par règle.

Valeur : une stratégie architecturale de base de la référence recommandée par Mandiant utilise des détections composites (corrélations multi-événements et multi-détections) ainsi que le renseignement sur les menaces appliqué (ATI) de haute précision. En privilégiant la logique composite multi-étapes par rapport aux alertes d'événements uniques bruyantes, vous bénéficiez par défaut d'une plus grande confiance dans la détection et réduisez les exigences initiales d'ajustement des règles.

Couverture de détection sans quota

Objectif : maximiser la couverture de détection des menaces dans votre environnement sans consommer les quotas de capacité des règles personnalisées.

Valeur : les règles recommandées par Mandiant ne sont pas comptabilisées dans vos quotas de capacité de règles personnalisées, ce qui vous permet de maximiser la couverture sans sacrifier la capacité.

Terminologie clé

  • Règles recommandées par Mandiant : règles de détection optimisées dans Google Security Operations qui identifient les comportements des acteurs malveillants tout en minimisant l'accoutumance aux alertes du SOC.
  • Détections composites : corrélations multi-événements et multi-détections qui privilégient la logique composite multi-étapes par rapport aux alertes à événement unique.
  • Applied Threat Intelligence (ATI) : renseignements sur les menaces de haute précision utilisés avec des détections composites dans la référence sélectionnée.
  • Service d'abonnement aux tags : service d'arrière-plan qui automatise le déploiement des règles et la gestion du cycle de vie des règles taguées avec google.mandiant.recommended.

Avant de commencer

Pour gérer les abonnements aux tags, vous devez disposer des autorisations IAM suivantes :

  • chronicle.tagSubscriptions.create
  • chronicle.tagSubscriptions.delete
  • chronicle.tagSubscriptions.get
  • chronicle.tagSubscriptions.list
  • chronicle.tagSubscriptions.update

Concepts clés et infrastructure de taggage des règles

La référence recommandée par Mandiant utilise le tableau de bord des règles unifiées de Google SecOps et un service d'abonnement en arrière-plan pour automatiser le déploiement et la gestion du cycle de vie.

Tags système et personnalisés

Google SecOps ajoute automatiquement le tag suivant à chaque règle de détection de cette référence sélectionnée :

google.mandiant.recommended

Ce tag permet à Google SecOps d'identifier, d'activer et de mettre à jour automatiquement les règles recommandées.

Abonnements aux tags

Au lieu d'exiger une activation manuelle règle par règle, vous pouvez vous abonner au tag à l'aide du service d'abonnement :

  • Synchronisation automatique : l'abonnement au tag google.mandiant.recommended déclenche le service d'abonnement.
  • Remplissage des LiveRules : le service sur abonnement remplit et active automatiquement les règles YARA-L correspondantes avec les paramètres de détection et d'alerte recommandés.

Pour gérer les abonnements aux tags :

  1. Accédez au tableau de bord Règles et détections, sélectionnez l'onglet Présentation, puis cliquez sur Gérer les abonnements aux tags.
  2. Recherchez le tag Recommandé par Mandiant et activez l'abonnement en activant le bouton bascule. Pour vous désabonner, désactivez le bouton.

Lorsque vous vous abonnez au tag Mandiant Recommended, toutes les règles sélectionnées portant ce tag sont automatiquement définies sur leurs paramètres de détection et d'alerte recommandés. Si vous devez remplacer ces paramètres, vous pouvez mettre à jour chaque règle à l'aide de l'onglet Aperçu de la règle. Un avertissement indique que vous avez modifié les paramètres de la référence d'abonnement recommandée par Mandiant. Vous pouvez utiliser la fonctionnalité d'exclusions de règles sélectionnées au lieu de modifier les paramètres des règles. Pour en savoir plus, consultez Supprimer les exclusions de règles.

Pour afficher toutes les différences entre les configurations recommandées par Mandiant et vos remplacements, accédez à l'onglet Aperçu, puis cliquez sur Afficher les différences et aligner. Un panneau de présentation s'ouvre, vous permettant de rétablir les paramètres par défaut recommandés par Mandiant. Ce bouton ne s'affiche que lorsque la valeur Alignement est inférieure à 100%.

Vue enregistrée sélectionnée

Google SecOps ajoute une vue enregistrée épinglée par défaut, appelée Règles recommandées par Mandiant, à votre tableau de bord "Règles unifiées". La vue utilise les critères de filtrage suivants : (rule_owner:"*" AND archived=false) AND (tags:"google.mandiant.recommended").

Pour en savoir plus sur la recherche de règles, consultez Rechercher dans la liste des règles.

Dépannage

Cette section fournit des informations pour résoudre les problèmes courants et comprendre le comportement des règles recommandées.

La désactivation des alertes standards sur une règle recommandée par Mandiant déclenche un message d'avertissement plutôt qu'une restriction stricte. Vérifiez que votre équipe maintient une couverture active avant de désactiver les alertes sur les règles recommandées.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.