Ausgewählte Erkennungen anwenden

Unterstützt in:

Das Google Cloud Threat Intelligence-Team (GCTI) bietet vordefinierte Bedrohungsanalysen. Im Rahmen dieser ausgewählten Erkennungen stellt GCTI eine Reihe von YARA-L-Regeln bereit und verwaltet sie, um Kunden bei der Identifizierung von Bedrohungen für ihr Unternehmen zu unterstützen.

Die von GCTI verwalteten Regeln haben folgende Funktionen:

  • Kunden sofort umsetzbare Informationen zur Verfügung stellen, die für ihre aufgenommenen Daten verwendet werden können.

  • Nutzt Google Threat Intelligence, indem Kunden die Möglichkeit erhalten, diese Informationen durch ausgewählte Erkennungen zu verwenden.

In diesem Dokument werden die erforderlichen Schritte zusammengefasst, um mit ausgewählten Erkennungen Bedrohungen zu identifizieren. Dazu gehört auch, wie Sie ausgewählte Erkennungsregelsätze aktivieren, von den Regelsätzen generierte Erkennungen ansehen und Benachrichtigungen untersuchen.

Erforderliche Daten aufnehmen

Jeder Regelsatz wurde entwickelt, um Muster in bestimmten Datenquellen zu erkennen. Dazu ist möglicherweise ein anderer Datensatz erforderlich, einschließlich der folgenden:

  • Ereignisdaten: Beschreiben Aktivitäten und Ereignisse, die im Zusammenhang mit Diensten aufgetreten sind.
  • Kontextdaten: Beschreiben die in den Ereignisdaten definierten Einheiten, Geräte, Dienste oder Nutzer. Diese werden auch als Entitätsdaten bezeichnet.

Sehen Sie sich in der Dokumentation, in der die einzelnen Regelsätze beschrieben werden, auch die erforderlichen Daten an, die für den jeweiligen Regelsatz benötigt werden.

Datenaufnahme prüfen

Die folgenden Methoden sind verfügbar, um die erfolgreiche Datenaufnahme zu prüfen:

  • Dashboard „Data Ingestion and Health“ (Datenaufnahme und ‑zustand): Hier können Sie die Aufnahme aus allen Quellen überwachen.
  • Testregeln für Managed Detection: Aktivieren Sie Testregeln, um zu prüfen, ob die erforderlichen eingehenden Daten vorhanden sind und in einem Format vorliegen, das für den jeweiligen kuratierten Satz von Erkennungsregeln erforderlich ist.

Ausgewählte Dashboards verwenden

Verwenden Sie die kuratierten Dashboards – vordefinierte Dashboards, die für die Sichtbarkeit in verschiedenen Sicherheitsanwendungsfällen entwickelt wurden. Sie können eine Kopie erstellen und die kuratierten Dashboards an Ihre Anforderungen anpassen. Weitere Informationen finden Sie unter Übersicht über kuratierte Dashboards.

Optional: Testregeln für Managed Detection Testing verwenden

Für bestimmte Kategorien werden auch Testregeln bereitgestellt, mit denen Sie prüfen können, ob die für die einzelnen Regelsätze erforderlichen Daten das richtige Format haben.

Diese Testregeln fallen unter die Kategorie Managed Detection Testing (Verwaltete Erkennungstests). Jeder Regelsatz prüft, ob die vom Testgerät empfangenen Daten in einem Format vorliegen, das von den Regeln für die angegebene Kategorie erwartet wird.

Das ist hilfreich, wenn Sie die Einrichtung der Aufnahme überprüfen oder ein Problem beheben möchten. Eine detaillierte Anleitung zur Verwendung dieser Testregeln finden Sie unter Datenaufnahme mit Testregeln überprüfen.

Regelsätze aktivieren

Ausgewählte Erkennungen sind Bedrohungsanalysen, die als YARA-L-Regelsätze bereitgestellt werden und Ihnen helfen, Bedrohungen für Ihr Unternehmen zu erkennen. Diese Regelsätze haben folgende Funktionen:

  • Sie erhalten sofort umsetzbare Informationen, die auf den aufgenommenen Daten basieren.
  • Google Threat Intelligence bietet Ihnen eine Möglichkeit, diese Informationen zu nutzen.

Jeder Regelsatz identifiziert ein bestimmtes Muster verdächtiger Aktivitäten. So aktivieren Sie Regelsätze und rufen Details dazu auf:

  1. Wählen Sie im Hauptmenü Erkennungen > Regeln und Erkennungen aus. Der Standardtab ist ausgewählte Erkennungen und die Standardansicht sind Regelsätze.
  2. Klicken Sie auf Kuratierte Erkennungen, um die Ansicht Regelsätze zu öffnen.
  3. Wählen Sie in der Kategorie „Cloud-Bedrohungen“ ein Regelset aus, z. B. CDIR SCC Enhanced Exfiltration Alerts (CDIR SCC-Benachrichtigungen zu verstärkter Exfiltration).
  4. Setzen Sie Status für sowohl Allgemeine- als auch Exakte-Regeln auf Aktiviert und Benachrichtigungen auf Ein. Die Regeln werten eingehende Daten auf Muster aus, die der Regellogik entsprechen. Wenn Status = Aktiviert ist, wird durch die Regeln eine Erkennung generiert, wenn eine Musterübereinstimmung gefunden wird. Wenn Benachrichtigungen = Ein, wird für die Regeln auch eine Benachrichtigung generiert, wenn eine Musterübereinstimmung gefunden wird.

Weitere Informationen zur Seite „Ausgewählte Erkennungen“ finden Sie hier:

Wenn Sie nach dem Aktivieren eines Regelsatzes keine Erkennungen oder Benachrichtigungen erhalten, können Sie Schritte ausführen, um eine oder mehrere Testregeln auszulösen. So lässt sich prüfen, ob die für den Regelsatz erforderlichen Daten empfangen werden und das richtige Format haben. Weitere Informationen finden Sie unter Logdatenaufnahme prüfen.

Von Regelsatz erstellte Erkennungen identifizieren

Das Dashboard für ausgewählte Erkennungen enthält Informationen zu jeder Regel, die eine Erkennung für Ihre Daten generiert hat. So öffnen Sie das Dashboard für kuratierte Erkennung:

  1. Wählen Sie im Hauptmenü Erkennungen > Regeln und Erkennungen aus.
  2. Klicken Sie auf Curated Detections > Dashboard, um die Dashboardansicht zu öffnen. Sie sehen eine Liste mit Regelsätzen und einzelnen Regeln, die Erkennungen generiert haben. Regeln werden nach Regelsatz gruppiert.
  3. Rufen Sie den gewünschten Regelsatz auf, z. B. CDIR SCC Enhanced Exfiltration Alerts (CDIR SCC-Benachrichtigungen zu erweitertem Daten-Exfiltration).
  4. Wenn Sie die von einer bestimmten Regel generierten Erkennungen aufrufen möchten, klicken Sie auf die Regel. Dadurch wird die Seite Erkennungen geöffnet, auf der die Erkennungen sowie die Entitäts- oder Ereignisdaten angezeigt werden, die die Erkennung ausgelöst haben.
  5. Sie können die Daten in dieser Ansicht filtern und durchsuchen.

Weitere Informationen finden Sie unter Ausgewählte Erkennungen ansehen und Dashboard für ausgewählte Erkennungen öffnen.

Von einem oder mehreren Regelsätzen zurückgegebene Benachrichtigungen optimieren

Möglicherweise werden durch die ausgewählten Erkennungen zu viele Erkennungen oder Benachrichtigungen generiert. Sie können die Anzahl der Erkennungen, die durch eine Regel oder einen Regelsatz generiert werden, mithilfe von Regelausschlüssen reduzieren. Regelausschlüsse werden nur bei ausgewählten Erkennungen und nicht bei benutzerdefinierten Regeln verwendet.

Mit einem Regelausschluss werden die Kriterien definiert, mit denen ein Ereignis aus der Auswertung durch den Regelsatz oder durch bestimmte Regeln im Regelsatz ausgeschlossen wird. Erstellen Sie einen oder mehrere Regelausschlüsse, um die Anzahl der erkannten Verstöße zu verringern. Sie können beispielsweise Ereignisse auf Grundlage der folgenden Unified Data Model-Felder (UDM) ausschließen:

  • metadata.product_event_type
  • principal.user.userid
  • target.resource.name
  • target.resource.product_object_id
  • additional.fields["recipientAccountId"]
  • principal.ip
  • network.http.user_agent

Von Regelsatz erstellte Warnungen untersuchen

Auf der Seite Benachrichtigungen und IOCs finden Sie Kontextinformationen zur Benachrichtigung und zugehörigen Entitäten. Sie können Details zu einer Benachrichtigung ansehen, die Benachrichtigung verwalten und Beziehungen zu Einheiten aufrufen.

  1. Wählen Sie im Hauptmenü Erkennungen > Benachrichtigungen und IOCs aus. In der Ansicht Benachrichtigungen wird eine Liste der Benachrichtigungen angezeigt, die von allen Regeln generiert wurden.
  2. Wählen Sie den Zeitraum aus, nach dem die Liste der Benachrichtigungen gefiltert werden soll.
  3. Filtern Sie die Liste nach dem Namen des Regelsatzes, z. B. CDIR SCC Enhanced Exfiltration. Sie können die Liste auch nach dem Namen der Regel filtern, z. B. SCC: BigQuery Exfiltration to Google Drive with DLP Context (SCC: BigQuery-Exfiltration zu Google Drive mit DLP-Kontext).
  4. Klicken Sie in der Liste auf eine Benachrichtigung, um die Seite Benachrichtigungen und IOCs zu öffnen.
  5. Auf dem Tab Benachrichtigungen und IOCs > Übersicht werden Details zur Benachrichtigung angezeigt.

Kontext für die Untersuchung mithilfe des Entitätsdiagramms erfassen

Auf dem Tab Alerts & IOCs > Graph (Benachrichtigungen & IOCs > Diagramm) wird ein Benachrichtigungsdiagramm angezeigt, in dem Beziehungen zwischen einer Benachrichtigung und anderen Benachrichtigungen oder zwischen einer Benachrichtigung und anderen Entitäten visuell dargestellt werden.

  1. Wählen Sie im Hauptmenü Erkennungen > Benachrichtigungen und IOCs aus. In der Ansicht Benachrichtigungen wird eine Liste der Benachrichtigungen angezeigt, die von allen Regeln generiert wurden.
  2. Wählen Sie den Zeitraum aus, nach dem die Liste der Benachrichtigungen gefiltert werden soll.
  3. Filtern Sie die Liste nach dem Namen des Regelsatzes, z. B. CDIR SCC Enhanced Exfiltration. Sie können die Liste auch nach dem Namen der Regel filtern, z. B. SCC: BigQuery Exfiltration to Google Drive with DLP Context (SCC: BigQuery-Exfiltration zu Google Drive mit DLP-Kontext).
  4. Klicken Sie in der Liste auf eine Benachrichtigung, um die Seite Benachrichtigungen und IOCs zu öffnen.
  5. Auf dem Tab Benachrichtigungen und IOCs > Diagramm wird das Benachrichtigungsdiagramm angezeigt.
  6. Wählen Sie einen Knoten im Benachrichtigungsdiagramm aus, um Details dazu aufzurufen.

Sie können die UDM-Suchfunktion während Ihrer Untersuchung verwenden, um zusätzlichen Kontext zu Ereignissen zu erhalten, die mit der ursprünglichen Benachrichtigung zusammenhängen. Mit der UDM-Suche können Sie UDM-Ereignisse und Benachrichtigungen finden, die von Regeln generiert wurden. Die UDM-Suche bietet eine Vielzahl von Suchoptionen, mit denen Sie Ihre UDM-Daten durchsuchen können. Sie können sowohl nach einzelnen UDM-Ereignissen als auch nach Gruppen von UDM-Ereignissen suchen, die sich auf bestimmte Suchbegriffe beziehen.

Wählen Sie im Hauptmenü Suchen aus, um die Seite UDM-Suche zu öffnen.

Informationen zu UDM Search-Abfragen finden Sie unter UDM-Suche eingeben. Hinweise zum Schreiben von UDM Search-Abfragen, die für Leistung und Funktionen der Funktion optimiert sind, finden Sie unter Best Practices für UDM Search.

Antwort aus einer Benachrichtigung erstellen

Wenn für eine Benachrichtigung oder Erkennung eine Incident Response erforderlich ist, können Sie die Reaktion mit SOAR-Funktionen einleiten. Weitere Informationen finden Sie unter Übersicht über Fälle und Übersicht über den Bildschirm „Playbooks“.

Nächste Schritte

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten