Mandiant 建議規則
本指南可協助資安營運中心 (SOC) 分析師和偵測工程師，建立高準確度的威脅偵測基準。並說明 Google Security Operations 中的 Mandiant Recommended 規則如何提供精心設計的威脅偵測基準，找出威脅發動者的行為，同時盡量減少 SOC 警報疲乏。
常見用途
這個工作流程的常見用途包括：
自動威脅偵測基準
目標：建立精選的威脅偵測基準，識別威脅發動者的行為，不必手動逐一設定規則。
價值：Mandiant 建議基準的核心架構策略，是搭配高精確度的應用威脅情報 (ATI) 使用複合式偵測 (多事件和多偵測關聯)。相較於雜亂的單一事件快訊，多階段複合邏輯會優先處理，因此預設偵測信賴度較高，且可減少初始規則調整需求。
免配額偵測涵蓋範圍
目標：在不耗用自訂規則容量配額的情況下，盡可能擴大環境中的威脅偵測範圍。
價值：Mandiant 建議規則不會計入自訂規則容量配額，因此您可盡量擴大涵蓋範圍，而不必犧牲容量。
重要術語
- Mandiant Recommended 規則：Google Security Operations 中精心設計的偵測規則，可找出威脅行為人的行為，同時盡量減少 SOC 警告疲乏。
- 複合式偵測：多事件和多偵測關聯性，優先處理多級式複合式邏輯，而非單一事件快訊。
- 應用威脅情報 (ATI)：與精選基準中的複合式偵測功能搭配使用，可提供高精確度的威脅情報。
- 標記訂閱服務：這項背景服務會自動部署規則，並管理標記為
google.mandiant.recommended的規則生命週期。
事前準備
如要管理標記訂閱項目，您必須具備下列 IAM 權限：
chronicle.tagSubscriptions.createchronicle.tagSubscriptions.deletechronicle.tagSubscriptions.getchronicle.tagSubscriptions.listchronicle.tagSubscriptions.update
重要概念和規則標記基礎架構
Mandiant 建議的基準會使用 Google SecOps Unified Rules 資訊主頁和背景訂閱服務，自動執行部署和生命週期管理作業。
系統和自訂標記
Google SecOps 會自動為這個精選基準中的每項偵測規則加上以下標記：
google.mandiant.recommended
Google SecOps 可透過這個標記自動識別、啟用及更新建議規則。
標記訂閱
您可以使用訂閱服務訂閱代碼，不必手動逐一啟用規則：
- 自動同步：訂閱
google.mandiant.recommended標記會觸發訂閱服務。 - LiveRules 填入：訂閱服務會自動填入並啟用相應的 YARA-L 規則，並採用建議的偵測和警報設定。
如要管理標記訂閱項目，請按照下列步驟操作：
- 前往「規則與偵測」資訊主頁，選取「總覽」分頁，然後按一下「管理標記訂閱項目」。
- 找到「Mandiant Recommended」標記，然後將切換按鈕設為開啟，啟用訂閱功能。如要取消訂閱，請將切換鈕設為關閉。
訂閱「Mandiant 建議」標記後，系統會自動將所有具有該標記的精選規則，設為建議的偵測和快訊設定。如要覆寫這些設定，請使用規則的「總覽」分頁更新每項規則。警告表示您已變更設定，不再使用 Mandiant 建議的訂閱方案基準。您可以改用精選規則排除條件功能，不必變更規則設定。詳情請參閱「禁止規則排除項目」。
如要查看 Mandiant 建議設定與您覆寫設定的所有差異，請前往「總覽」分頁，然後按一下「查看差異並對齊」。系統會開啟總覽抽屜，讓您將覆寫內容重設為 Mandiant 建議的預設值。只有在「對齊」值小於 100% 時，才會顯示這個按鈕。
精選已儲存的檢視畫面
Google SecOps 會在「統合規則」資訊主頁中，新增名為「Mandiant 建議規則」的預設已釘選儲存檢視畫面。這個檢視畫面使用下列篩選條件：(rule_owner:"*" AND archived=false) AND (tags:"google.mandiant.recommended")。
如要進一步瞭解如何搜尋規則，請參閱「搜尋規則清單」。
疑難排解
本節提供相關資訊，協助您解決常見問題，並瞭解建議規則的行為。
建議規則的警告通知
停用 Mandiant 建議規則的標準警報功能時，系統會觸發警告訊息，而非強制限制。停用建議規則的快訊前，請先確認團隊維持有效涵蓋範圍。
還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。