כללים מומלצים של Mandiant

נתמך ב:

המדריך הזה עוזר למנתחים במרכז תפעול אבטחה (SOC) ולמהנדסי זיהוי ליצור בסיס לזיהוי איומים ברמת דיוק גבוהה. הוא מסביר איך הכללים המומלצים של Mandiant ב-Google Security Operations מספקים בסיס מותאם אישית לזיהוי איומים, שנועד לזהות התנהגויות של גורמים זדוניים תוך צמצום העומס של ההתראות ב-SOC.

תרחישים נפוצים לדוגמה

תרחישים נפוצים לשימוש בתהליך העבודה הזה:

בסיס לזיהוי איומים אוטומטי

המטרה: ליצור בסיס לזיהוי איומים שמזהה התנהגויות של גורמים זדוניים בלי להגדיר כלל באופן ידני.

ערך: אסטרטגיית ארכיטקטורה בסיסית של המלצות Mandiant משתמשת בזיהויים מורכבים (מתאמים של כמה אירועים וכמה זיהויים) לצד מודיעין איומי סייבר יישומי (ATI) ברמת דיוק גבוהה. כשנותנים עדיפות ללוגיקה מורכבת עם כמה שלבים על פני התראות רועשות על אירוע יחיד, מקבלים רמת ודאות גבוהה יותר בזיהוי כברירת מחדל, ודרישות ההתאמה הראשוניות של הכללים מצטמצמות.

כיסוי זיהוי ללא מכסה

המטרה: להגדיל את הכיסוי של זיהוי האיומים בסביבה שלכם בלי לנצל את מכסות הקיבולת של הכללים בהתאמה אישית.

הערך: הכללים המומלצים של Mandiant לא נכללים במכסות הקיבולת של הכללים בהתאמה אישית, וכך אתם יכולים למקסם את הכיסוי בלי לפגוע בקיבולת.

מונחים חשובים

  • כללים מומלצים של Mandiant: כללי זיהוי מוכנים מראש ב-Google Security Operations שמזהים התנהגויות של גורמים זדוניים, תוך צמצום עומס ההתראות ב-SOC.
  • זיהויים משולבים: קורלציות של כמה אירועים וכמה זיהויים, שמתעדפות לוגיקה משולבת בכמה שלבים על פני התראות של אירוע יחיד.
  • מודיעין איומים יישומי (ATI): מודיעין איומים מדויק ביותר המשמש לצד גילוי מורכב בתוכנית הבסיסית שנבחרה.
  • שירות מינוי לתגים: שירות שפועל ברקע ומבצע אוטומציה של פריסת כללים וניהול מחזור החיים של כללים שמתויגים עם google.mandiant.recommended.

לפני שמתחילים

כדי לנהל מינויים לתגים, אתם צריכים את ההרשאות הבאות ב-IAM:

  • chronicle.tagSubscriptions.create
  • chronicle.tagSubscriptions.delete
  • chronicle.tagSubscriptions.get
  • chronicle.tagSubscriptions.list
  • chronicle.tagSubscriptions.update

מושגי מפתח ותשתית תיוג כללים

ההמלצה של Mandiant לשימוש ב-baseline מתבססת על לוח הבקרה של הכללים המאוחדים ב-Google SecOps ועל שירות מינויים ברקע, כדי להפוך את הפריסה ואת ניהול מחזור החיים לאוטומטיים.

תגים של המערכת ותגים בהתאמה אישית

מערכת Google SecOps מתייגת באופן אוטומטי כל כלל זיהוי בקו הבסיס שנבחר באמצעות התג:

google.mandiant.recommended

התג הזה מאפשר ל-Google SecOps לזהות, להפעיל ולעדכן באופן אוטומטי כללים מומלצים.

מינויים לתגים

במקום להפעיל כל כלל באופן ידני, אתם יכולים להירשם לתג באמצעות שירות המינויים:

  • סנכרון אוטומטי: הרשמה לתג google.mandiant.recommended מפעילה את שירות המינויים.
  • אכלוס LiveRules: השירות במינוי מאכלס ומפעיל באופן אוטומטי את כללי YARA-L המתאימים, עם הגדרות הזיהוי וההתראה המומלצות.

כדי לנהל את המינויים לתגים:

  1. עוברים למרכז הבקרה Rules & Detections, בוחרים בכרטיסייה Overview ולוחצים על Manage tag subscriptions.
  2. מאתרים את התג Mandiant Recommended ומפעילים את המינוי באמצעות המתג. כדי לבטל את ההרשמה, מעבירים את המתג למצב כבוי.

כשנרשמים לתג Mandiant Recommended, כל הכללים שנבחרו עם התג הזה מוגדרים באופן אוטומטי להגדרות המומלצות לזיהוי ולהתראה. אם אתם צריכים לשנות את ההגדרות האלה, אתם יכולים לעדכן כל כלל בכרטיסייה סקירה כללית של הכלל. אזהרה מציינת ששיניתם את ההגדרות מהמינוי המומלץ הבסיסי של Mandiant. אתם יכולים להשתמש בתכונה "החרגות של כללים שנבחרו" במקום לשנות את הגדרות הכללים. מידע נוסף זמין במאמר החרגות של כללי ביטול.

כדי לראות את כל ההבדלים בין ההגדרות המומלצות של Mandiant לבין ההגדרות שהוחלפו, נכנסים לכרטיסייה Overview ולוחצים על View diff and align. הפעולה הזו פותחת חלונית סקירה כללית שמאפשרת לאפס את ההגדרות ששיניתם בחזרה לברירות המחדל המומלצות של Mandiant. הכפתור הזה מופיע רק כשהערך של התאמה נמוך מ-100%.

תצוגה שמורה שנבחרה

‫Google SecOps מוסיפה למרכז הבקרה של Unified Rules תצוגה שמורה שמוצמדת כברירת מחדל, שנקראת Mandiant Recommended rules. התצוגה משתמשת בקריטריונים הבאים לסינון: (rule_owner:"*" AND archived=false) AND (tags:"google.mandiant.recommended").

מידע נוסף על חיפוש כללים זמין במאמר חיפוש ברשימת הכללים.

פתרון בעיות

בקטע הזה מוסבר איך לפתור בעיות נפוצות ואיך פועלים הכללים המומלצים.

אם משביתים את ההתראות הרגילות בכלל מומלץ של Mandiant, מוצגת הודעת אזהרה במקום הגבלה קשיחה. לפני שמשביתים את ההתראות על כללים מומלצים, חשוב לוודא שהצוות שלכם ממשיך לעקוב באופן פעיל אחרי ההתראות.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.