Aturan yang Direkomendasikan Mandiant

Didukung di:

Panduan ini membantu analis pusat operasi keamanan (SOC) dan engineer deteksi untuk menetapkan dasar pengukuran deteksi ancaman fidelitas tinggi. Laporan ini menjelaskan cara aturan Mandiant Recommended di Google Security Operations memberikan dasar pengukuran deteksi ancaman yang dikurasi dan dirancang untuk mengidentifikasi perilaku pelaku ancaman sekaligus meminimalkan kelelahan SOC akibat pemberitahuan.

Kasus penggunaan umum

Kasus penggunaan umum untuk alur kerja ini mencakup:

Dasar pengukuran deteksi ancaman otomatis

Tujuan: Menetapkan dasar pengukuran deteksi ancaman pilihan yang mengidentifikasi perilaku pelaku ancaman tanpa konfigurasi aturan per aturan secara manual.

Nilai: Strategi arsitektur inti dari Mandiant Recommended baseline menggunakan deteksi gabungan (korelasi multi-peristiwa dan multi-deteksi) bersama dengan Applied Threat Intelligence (ATI) presisi tinggi. Memprioritaskan logika komposit multi-level daripada pemberitahuan peristiwa tunggal yang bising akan memberikan keyakinan deteksi yang lebih tinggi secara default dan mengurangi persyaratan penyesuaian aturan awal.

Cakupan deteksi bebas kuota

Tujuan: Memaksimalkan cakupan deteksi ancaman di seluruh lingkungan Anda tanpa menghabiskan kuota kapasitas aturan kustom.

Nilai: Aturan yang Direkomendasikan Mandiant tidak mengurangi kuota kapasitas aturan kustom, sehingga Anda dapat memaksimalkan cakupan tanpa mengorbankan kapasitas.

Terminologi utama

  • Aturan Mandiant Recommended: Aturan pendeteksian terseleksi di Google Security Operations yang mengidentifikasi perilaku pelaku ancaman sekaligus meminimalkan kelelahan SOC dalam merespons pemberitahuan.
  • Deteksi gabungan: Korelasi multiperistiwa dan multideteksi yang memprioritaskan logika gabungan multi-level daripada pemberitahuan peristiwa tunggal.
  • Applied Threat Intelligence (ATI): Threat intelligence presisi tinggi yang digunakan bersama deteksi gabungan dalam dasar pengukuran yang diseleksi.
  • Layanan langganan tag: Layanan latar belakang yang mengotomatiskan deployment aturan dan pengelolaan siklus proses untuk aturan yang diberi tag dengan google.mandiant.recommended.

Sebelum memulai

Untuk mengelola langganan tag, Anda harus memiliki izin IAM berikut:

  • chronicle.tagSubscriptions.create
  • chronicle.tagSubscriptions.delete
  • chronicle.tagSubscriptions.get
  • chronicle.tagSubscriptions.list
  • chronicle.tagSubscriptions.update

Konsep utama dan infrastruktur pemberian tag aturan

Baseline yang Direkomendasikan Mandiant menggunakan dasbor Aturan Terpadu Google SecOps dan layanan langganan latar belakang untuk mengotomatiskan deployment dan pengelolaan siklus proses.

Tag sistem dan kustom

Google SecOps otomatis memberi tag pada setiap aturan deteksi di dasar pengukuran yang diseleksi ini dengan tag:

google.mandiant.recommended

Tag ini memungkinkan Google SecOps mengidentifikasi, mengaktifkan, dan mengupdate aturan yang direkomendasikan secara otomatis.

Langganan tag

Daripada mengaktifkan aturan satu per satu secara manual, Anda dapat berlangganan ke tag menggunakan layanan langganan:

  • Sinkronisasi otomatis: Berlangganan ke tag google.mandiant.recommended akan memicu layanan langganan.
  • Pengisian LiveRules: Layanan langganan otomatis mengisi dan mengaktifkan aturan YARA-L yang sesuai dengan setelan deteksi dan pemberitahuan yang direkomendasikan.

Untuk mengelola langganan tag:

  1. Buka dasbor Rules & Detections, pilih tab Overview, lalu klik Manage tag subscriptions.
  2. Temukan tag Mandiant Recommended dan aktifkan langganan dengan mengaktifkan tombolnya. Untuk berhenti berlangganan, nonaktifkan tombolnya.

Saat Anda berlangganan tag Mandiant Recommended, semua aturan yang diseleksi dengan tag tersebut akan otomatis ditetapkan ke setelan deteksi dan pemberitahuan yang direkomendasikan. Jika perlu mengganti setelan tersebut, Anda dapat memperbarui setiap aturan menggunakan tab Ringkasan aturan. Peringatan menunjukkan bahwa Anda mengubah setelan dari dasar pengukuran langganan Mandiant Recommended. Anda dapat menggunakan fitur pengecualian aturan yang diseleksi sebagai alternatif untuk mengubah setelan aturan. Untuk mengetahui informasi selengkapnya, lihat Pengecualian aturan penekanan.

Untuk melihat semua perbedaan antara konfigurasi yang Direkomendasikan Mandiant dan penggantian Anda, buka tab Overview, lalu klik View diff and align. Tindakan ini akan membuka panel ringkasan yang memungkinkan Anda mereset penggantian kembali ke default Mandiant Recommended. Tombol ini hanya muncul jika nilai Penyelarasan kurang dari 100%.

Tampilan tersimpan pilihan

Google SecOps menambahkan tampilan tersimpan yang disematkan secara default yang disebut Mandiant Recommended rules ke dasbor Unified Rules Anda. Tampilan menggunakan kriteria filter berikut: (rule_owner:"*" AND archived=false) AND (tags:"google.mandiant.recommended").

Untuk mengetahui informasi selengkapnya tentang cara menelusuri aturan, lihat Menelusuri daftar aturan.

Pemecahan masalah

Bagian ini memberikan informasi untuk menyelesaikan masalah umum dan memahami perilaku aturan yang direkomendasikan.

Menonaktifkan pemberitahuan standar pada aturan yang Direkomendasikan Mandiant akan memicu pesan peringatan, bukan pembatasan ketat. Pastikan tim Anda mempertahankan cakupan aktif sebelum menonaktifkan pemberitahuan pada aturan yang direkomendasikan.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.