Regras recomendadas da Mandiant

Compatível com:

Este guia ajuda os analistas de central de operações de segurança (SOC) e os engenheiros de detecção a estabelecer um valor de referência de detecção de ameaças de alta fidelidade. Ele explica como as regras recomendadas pela Mandiant no Google Security Operations fornecem uma linha de base de detecção de ameaças selecionada, projetada para identificar comportamentos de agentes de ameaças e, ao mesmo tempo, minimizar a fadiga de alertas do SOC.

Casos de uso comuns

Os casos de uso comuns para esse fluxo de trabalho incluem:

Valor de referência de detecção automática de ameaças

Objetivo: estabelecer um valor de referência de detecção de ameaças selecionada que identifique comportamentos de agentes de ameaças sem configuração manual regra por regra.

Valor: uma estratégia arquitetônica central da linha de base recomendada pela Mandiant usa detecções compostas (correlações de vários eventos e várias detecções) com a Inteligência contra Ameaças Aplicada (ATI, na sigla em inglês) de alta precisão. Priorizar a lógica composta de vários estágios em vez de alertas de eventos únicos ruidosos oferece maior confiança de detecção por padrão e reduz os requisitos iniciais de ajuste de regras.

Cobertura de detecção sem cota

Objetivo: maximizar a cobertura de detecção de ameaças no seu ambiente sem consumir cotas de capacidade de regras personalizadas.

Valor: as regras recomendadas pela Mandiant não são contabilizadas nas cotas de capacidade de regras personalizadas, o que permite maximizar a cobertura sem sacrificar a capacidade.

Terminologia importante

  • Regras recomendadas pela Mandiant: regras de detecção especializadas no Google Security Operations que identificam comportamentos de agentes de ameaças e minimizam a fadiga de alertas do SOC.
  • Detecções compostas: correlações de vários eventos e detecções que priorizam a lógica composta de vários estágios em vez de alertas de evento único.
  • Inteligência contra ameaças aplicada (ATI, na sigla em inglês): inteligência contra ameaças de alta precisão usada com detecções compostas na linha de base selecionada.
  • Serviço de assinatura de tags: um serviço em segundo plano que automatiza a implantação de regras e o gerenciamento do ciclo de vida de regras marcadas com google.mandiant.recommended.

Antes de começar

Para gerenciar assinaturas de tags, você precisa ter as seguintes permissões do IAM:

  • chronicle.tagSubscriptions.create
  • chronicle.tagSubscriptions.delete
  • chronicle.tagSubscriptions.get
  • chronicle.tagSubscriptions.list
  • chronicle.tagSubscriptions.update

Principais conceitos e infraestrutura de inclusão de tags de regras

A linha de base recomendada pela Mandiant usa o painel de regras unificadas do Google SecOps e um serviço de assinatura em segundo plano para automatizar a implantação e o gerenciamento do ciclo de vida.

Tags do sistema e personalizadas

O Google SecOps marca automaticamente todas as regras de detecção nessa linha de base selecionada com a tag:

google.mandiant.recommended

Essa tag permite que o Google SecOps identifique, ative e atualize automaticamente as regras recomendadas.

Assinaturas de tags

Em vez de exigir a ativação manual regra por regra, você pode se inscrever na tag usando o serviço de assinatura:

  • Sincronização automática: a inscrição na tag google.mandiant.recommended aciona o serviço de assinatura.
  • Preenchimento de LiveRules: o serviço de assinatura preenche e ativa automaticamente as regras YARA-L correspondentes com as configurações recomendadas de detecção e alerta.

Para gerenciar as assinaturas de tags:

  1. Acesse o painel Regras e detecções, selecione a guia Visão geral e clique em Gerenciar assinaturas de tags.
  2. Localize a tag Recomendado pela Mandiant e ative a assinatura definindo o botão de alternância como ativado. Para cancelar a inscrição, desative o botão.

Quando você se inscreve na tag Recomendado pela Mandiant, todas as regras selecionadas com essa tag são definidas automaticamente para as configurações recomendadas de detecção e alerta. Se você precisar substituir essas configurações, atualize cada regra usando a guia Visão geral. Um aviso indica que você mudou as configurações do valor de referência da assinatura recomendada da Mandiant. É possível usar o recurso de exclusões de regras selecionadas como alternativa para mudar as configurações de regras. Para mais informações, consulte Suprimir exclusões de regras.

Para conferir todas as diferenças entre as configurações recomendadas pela Mandiant e as suas substituições, acesse a guia Visão geral e clique em Ver diferenças e alinhar. Isso abre um painel de visão geral que permite redefinir as substituições para os padrões recomendados pela Mandiant. Esse botão só aparece quando o valor de Alinhamento é menor que 100%.

Visualização salva selecionada

O Google SecOps adiciona uma visualização salva fixada padrão chamada Regras recomendadas da Mandiant ao painel de regras unificadas. A visualização usa os seguintes critérios de filtro: (rule_owner:"*" AND archived=false) AND (tags:"google.mandiant.recommended").

Para mais informações sobre como pesquisar regras, consulte Pesquisar a lista de regras.

Solução de problemas

Nesta seção, você encontra informações para resolver problemas comuns e entender o comportamento das regras recomendadas.

Desativar os alertas padrão em uma regra recomendada pela Mandiant aciona uma mensagem de aviso em vez de uma restrição rígida. Verifique se a equipe mantém a cobertura ativa antes de desativar os alertas nas regras recomendadas.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.