Détecter les menaces avec des règles unifiées
Ce guide s'adresse aux ingénieurs en détection qui souhaitent détecter les menaces pour leur organisation. Il explique comment exploiter l'interface Règles unifiées pour accélérer vos capacités de détection des menaces.
Cas d'utilisation courants
Voici quelques cas d'utilisation courants de ce workflow :
Déploiement accéléré des règles
Objectif : Identifier et activer rapidement les détections optimisées pour des tactiques d'adversaire spécifiques (par exemple, Initial Access).
Valeur : réduit le délai moyen de détection des vecteurs d'attaque courants sans nécessiter de développement manuel de règles.
Gestion centralisée du cycle de vie des règles
Objectif : surveiller l'exécution, l'état et l'historique de déploiement des règles depuis une seule console.
Valeur : améliore la supervision opérationnelle et garantit que les détections actives fonctionnent comme prévu.
Terminologie clé
Détections optimisées : ensembles de détection prédéfinis gérés par les experts en sécurité de Google Cloud.
Interface de règles unifiée : console de gestion consolidée pour les règles YARA-L personnalisées et le contenu organisé.
Déploiement de la règle : état d'une règle (active ou archivée) et configuration d'alerte associée.
Recherche rétroactive : processus qui exécute une règle sur des données historiques pour trouver les instances passées d'une menace.
Avant de commencer
Si votre équipe utilise des rôles IAM personnalisés, assurez-vous de disposer des autorisations suivantes pour utiliser le tableau de bord et l'éditeur Règles unifiées.
Si votre organisation utilise le contrôle des accès basé sur les rôles pour les données (RBAC pour les données), vous devez également avoir accès aux niveaux d'accès associés aux règles que vous souhaitez gérer. Pour en savoir plus, consultez la présentation du RBAC pour les données.
Autorisations du tableau de bord des règles unifiées
| Autorisation | Autorisation IAM requise |
|---|---|
View
|
|
Edit
|
|
Vues enregistrées : lister et créer des vues de règles enregistrées
Cette section liste les autorisations requises pour créer des vues enregistrées. Les vues enregistrées vous permettent de créer et d'enregistrer un ensemble personnalisé de filtres de règles, d'ensembles de colonnes et d'ordres de tri pour y accéder rapidement dans votre tableau de bord Règles unifiées.
| Autorisation | Autorisation IAM requise |
|---|---|
Manage
|
|
Autorisations de l'éditeur de règles
| Composant | Autorisation IAM (si vous utilisez IAM) | Autorisation "Analyste" (si vous utilisez l'ancien RBAC) |
|---|---|---|
| Page de l'éditeur de règles |
|
detectRulesView
|
| Section de la liste des références associées |
|
referenceListView
|
| Section du tableau de données associées |
|
N/A |
| Bouton Créer une règle |
|
detectRulesCreate
|
| Bouton Tester la règle | chronicle.legacies.legacyRunTestRule
|
detectRulesRun
|
| Menu Champ d'application de la règle | chronicle.rules.update
|
detectRulesEdit
|
| Bouton Enregistrer la règle | chronicle.rules.update
|
detectRulesEdit
|
| Bouton Enregistrer en tant que nouvelle règle | chronicle.rules.create
|
detectRulesCreate
|
| Bouton Recherche RetroHunt par règle | chronicle.retrohunts.create
|
detectRulesRun
|
| Bouton d'activation/de désactivation de la règle en direct | chronicle.ruleDeployments.update
|
detectRulesEdit
|
| Bouton d'activation/de désactivation des alertes de règles | chronicle.ruleDeployments.update
|
detectRulesEdit
|
| Bouton Fréquence d'exécution de la règle | chronicle.ruleDeployments.update
|
detectRulesEdit
|
| Bouton Archiver et désarchiver les règles | chronicle.ruleDeployments.update
|
detectRulesEdit
|
| Afficher une règle sélectionnée dans l'éditeur | chronicle.featuredContentRules.list
|
N/A |
Gérer vos préférences concernant l'interface unifiée
Vous pouvez basculer entre l'expérience unifiée et l'ancienne vue pour le tableau de bord Règles unifiées et l'éditeur de règles. Une fois que vous avez fait votre choix, votre instance enregistre votre préférence et charge cette version spécifique par défaut.
Tableau de bord "Règles unifiées" : pour activer le tableau de bord Règles unifiées, accédez au tableau de bord Règles, puis cliquez sur Essayez notre nouvelle page "Règles unifiées". Pour le désactiver, cliquez sur Revenir à l'ancien tableau de bord des règles.
Éditeur de règles : pour activer le nouvel éditeur de règles, accédez à la page de l'éditeur de règles et cliquez sur Nouvelle page de l'éditeur de règles. Pour le désactiver, cliquez sur Ancienne page de l'éditeur de règles.
Vues enregistrées sélectionnées
Le tableau de bord Règles unifiées inclut des vues enregistrées par défaut qui vous permettent de filtrer et d'organiser rapidement les règles. Le tableau suivant décrit ces vues enregistrées sélectionnées par défaut :
| Vue enregistrée | Description | Critères de filtrage |
|---|---|---|
| Règles non conformes | Affiche les règles qui présentent des problèmes d'exécution ou qui ne sont pas dans un état d'exécution par défaut. | Règles non archivées dont execution_state n'est pas égal à default. |
| Règles Google en direct et d'alerte | Affiche les règles sélectionnées créées par Google, qui sont actives et configurées pour générer des alertes. | Règles avec rule_owner défini sur GOOGLE, archived défini sur false, alerting_enabled défini sur true et live_mode_enabled défini sur true. |
| Règles utilisant l'ECG | Affiche les règles qui exploitent les données du graphique contextuel des entités (ECG). | Règles non archivées qui utilisent graph.entity. |
| Règles de persistance et d'élévation des privilèges | Affiche les règles liées aux tactiques de persistance et d'élévation des privilèges. | Règles non archivées taguées avec TA0003 (Persistance) ou TA0004 (Élévation des privilèges). |
| Règles recommandées par Mandiant | Affiche les règles validées par des experts et présentant un haut niveau de confiance, sélectionnées par Mandiant. Pour en savoir plus, consultez Règles recommandées par Mandiant. | Règles non archivées taguées avec google.mandiant.recommended. |
Accélérer la détection des menaces avec des règles sélectionnées
Vous pouvez utiliser l'interface Règles unifiées pour identifier les détections de tactiques MITRE ATT&CK spécifiques. Pour trouver les règles pour lesquelles les alertes sont activées et qui sont liées à l'accès initial, procédez comme suit :
Accédez au tableau de bord Règles unifiées.
Utilisez la barre de recherche pour filtrer les menaces spécifiques.
Par exemple, pour trouver des règles sélectionnées liées à l'accès initial (tactique MITRE ATT&CK
TA0001), utilisez la requête de recherche suivante :alerting_enabled = true AND tags:"TA0001"Pour un filtrage complexe, consultez la syntaxe avancée sur la page des règles de recherche.
Facultatif : Sélectionnez une règle dans les résultats de recherche pour afficher ses détails.
Cliquez sur le menu à côté de la règle que vous souhaitez déployer.
Cliquez sur les boutons bascule Règle en direct et Alertes pour commencer à détecter activement les menaces.
Vous pouvez suivre l'exécution, l'état et l'historique des alertes de la règle depuis votre tableau de bord.
Utiliser les vues enregistrées
Le tableau de bord Règles unifiées est compatible avec les vues enregistrées. Les vues enregistrées vous permettent de créer et d'enregistrer un ensemble personnalisé de filtres de règles, d'ensembles de colonnes et d'ordres de tri pour y accéder rapidement dans votre tableau de bord Règles unifiées.
Créer une vue personnalisée
Accédez au tableau de bord Règles unifiées.
Cliquez sur le menu Vues enregistrées, puis sélectionnez Enregistrer en tant que nouvelle vue.
Saisissez le nom de la vue, puis cliquez sur Enregistrer.
Configurez vos filtres de cibles, vos colonnes et l'ordre de tri dans le tableau de bord Règles unifiées.
Appliquer une vue enregistrée
Pour mettre à jour le tableau de bord avec une configuration enregistrée, procédez comme suit :
Accédez au tableau de bord Règles unifiées.
Cliquez sur le menu Vues enregistrées, puis sélectionnez la vue enregistrée requise dans la liste.
Cliquez sur Enregistrer.
Gérer les vues enregistrées
Pour modifier, renommer, masquer ou supprimer une vue enregistrée :
Cliquez sur le menu Vues enregistrées, puis sélectionnez Gérer les vues.
Cliquez sur Enregistrer.
Dépannage
Cette section fournit des informations pour résoudre les problèmes courants et comprendre les limites de l'interface Règles unifiées.
Latence et limites
Exécution des règles : il peut y avoir un court délai de propagation (généralement quelques minutes) entre l'enregistrement d'une règle et l'affichage de ses premières métriques d'exécution dans le tableau de bord.
Limites des chasses rétro : Les détections organisées ne peuvent pas être exécutées en tant que chasses rétro. De plus, les recherches rétroactives sont soumises à des limites de période d'analyse en fonction de votre niveau de conservation des données.
Correction des erreurs
| Code d'erreur | Description du problème | Corriger |
|---|---|---|
| 403 Interdit | Autorisations manquantes pour afficher le contenu sélectionné. | Assurez-vous que chronicle.featuredContentRules.list est ajouté à votre rôle IAM.
|
| Échec du déploiement | Erreur de syntaxe ou conflit de règles. | Utilisez le bouton Tester la règle dans l'éditeur de règles pour valider la syntaxe YARA-L. |
user does not have access to scope <scope_name>
|
L'utilisateur ne dispose pas des autorisations RBAC pour les données nécessaires pour le champ d'application attribué à la règle. | Assurez-vous d'avoir accès au champ d'application requis. Pour en savoir plus, consultez Configurer le RBAC des données pour les utilisateurs. |
The rule has been modified by someone else
|
Un autre utilisateur a enregistré une nouvelle version de la règle depuis que vous l'avez ouverte. | Copiez vos modifications, actualisez la page pour charger la dernière version, puis réappliquez et enregistrez vos modifications. |
rules editing not enabled
|
La modification des règles est désactivée pour votre instance Google SecOps. | Contactez votre administrateur pour activer la modification des règles. |
Étapes suivantes
Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.