Ausgewählte Erkennungen anwenden

Unterstützt in:

Das Google Threat Intelligence-Team (GCTI) bietet vordefinierte Bedrohungsanalysen. Im Rahmen dieser ausgewählten Erkennungen stellt das GCTI eine Reihe von YARA-L-Regeln bereit und verwaltet sie, um Kunden dabei zu helfen, Bedrohungen für ihr Unternehmen zu erkennen.

Die vom GCTI verwalteten Regeln haben folgende Funktionen:

  • Sie liefern Kunden sofort umsetzbare Informationen, die für ihre aufgenommenen Daten verwendet werden können.

  • Sie nutzen Google Threat Intelligence, indem sie Kunden die Möglichkeit bieten, diese Informationen über ausgewählte Erkennungen zu verwenden.

In diesem Dokument werden die Schritte zusammengefasst, die erforderlich sind, um Bedrohungen mithilfe von ausgewählten Erkennungen zu erkennen. Dazu gehört auch, wie Sie Regelsätze für ausgewählte Erkennungen aktivieren, von den Regelsätzen generierte Erkennungen ansehen und Benachrichtigungen untersuchen.

Erforderliche Daten aufnehmen

Jeder Regelsatz wurde entwickelt, um Muster in bestimmten Datenquellen zu erkennen. Dazu ist möglicherweise ein anderer Datensatz erforderlich, einschließlich der folgenden:

  • Ereignisdaten: beschreiben Aktivitäten und Ereignisse, die im Zusammenhang mit Diensten aufgetreten sind.
  • Kontextdaten: beschreiben die Entitäten, Geräte, Dienste oder Nutzer, die in den Ereignisdaten definiert sind. Diese werden auch als Entitätsdaten bezeichnet.

In der Dokumentation, in der die einzelnen Regelsätze beschrieben werden, finden Sie auch die erforderlichen Daten für den jeweiligen Regelsatz.

Aufnahme von Daten prüfen

Die folgenden Methoden stehen zur Verfügung, um die erfolgreiche Datenaufnahme zu prüfen:

  • Dashboard „Data Ingestion and Health“ (Datenaufnahme und Systemdiagnose): Hier können Sie die Aufnahme aus allen Quellen beobachten.
  • Testregeln für Managed Detection Testing: Aktivieren Sie Testregeln, um zu prüfen, ob die erforderlichen eingehenden Daten vorhanden sind und in einem Format vorliegen, das für den jeweiligen Regelsatz für abgestimmte Erkennungsmechanismen erforderlich ist.

Abgestimmte Dashboards verwenden

Verwenden Sie die abgestimmten Dashboards – vordefinierte Dashboards, die für die Sichtbarkeit in verschiedenen Sicherheitsanwendungsfällen entwickelt wurden. Sie können eine Kopie erstellen und die abgestimmten Dashboards an Ihre Anforderungen anpassen. Weitere Informationen finden Sie unter Übersicht über abgestimmte Dashboards.

Optional: Testregeln für Managed Detection Testing verwenden

Bestimmte Kategorien werden auch als Regelsatz für Tests bereitgestellt, mit dem Sie prüfen können, ob die für jeden Regelsatz erforderlichen Daten im richtigen Format vorliegen.

Diese Testregeln befinden sich in der Kategorie Managed Detection Testing. Jeder Regelsatz prüft, ob die vom Testgerät empfangenen Daten in einem Format vorliegen, das von den Regeln für diese bestimmte Kategorie erwartet wird.

Das ist nützlich, wenn Sie die Aufnahmeeinrichtung prüfen oder ein Problem beheben möchten. Eine detaillierte Anleitung zur Verwendung dieser Testregeln finden Sie unter Datenaufnahme mit Testregeln prüfen.

Regelsätze aktivieren

Ausgewählte Erkennungen sind Bedrohungsanalysen, die als YARA-L-Regelsätze bereitgestellt werden und Ihnen helfen, Bedrohungen für Ihr Unternehmen zu erkennen. Diese Regelsätze haben folgende Funktionen:

  • Sie liefern Ihnen sofort umsetzbare Informationen, die für Ihre aufgenommenen Daten verwendet werden können.
  • Sie nutzen Google Threat Intelligence, indem sie Ihnen die Möglichkeit bieten, diese Informationen zu verwenden.

Jeder Regelsatz erkennt ein bestimmtes Muster verdächtiger Aktivitäten. So aktivieren Sie Regelsätze und rufen Details dazu auf:

  1. Wählen Sie im Hauptmenü Erkennungen > Regeln und Erkennungen aus. Der Standardtab ist ausgewählte Erkennungen und die Standardansicht sind Regelsätze.
  2. Klicken Sie auf Abgestimmte Erkennungsmechanismen , um die Ansicht Regelsätze zu öffnen.
  3. Wählen Sie einen Regelsatz in der Kategorie „Cloud-Bedrohungen“ aus, z. B. CDIR SCC Enhanced Exfiltration Alerts.
  4. Setzen Sie Status auf Aktiviert und Benachrichtigungen auf Ein für Allgemeine und Exakte Regeln. Die Regeln werten eingehende Daten auf Muster aus, die der Regellogik entsprechen. Wenn Status auf Aktiviert gesetzt ist, generieren die Regeln eine Erkennung, wenn ein Muster gefunden wird. Wenn Benachrichtigungen auf Ein gesetzt ist, generieren die Regeln auch eine Benachrichtigung, wenn ein Muster gefunden wird.

Informationen zum Arbeiten mit der Seite „Ausgewählte Erkennungen“ finden Sie unter:

Wenn Sie nach dem Aktivieren eines Regelsatzes keine Erkennungen oder Benachrichtigungen erhalten, können Sie Schritte ausführen, um eine oder mehrere Testregeln auszulösen, die prüfen, ob die für den Regelsatz erforderlichen Daten empfangen werden und im richtigen Format vorliegen. Weitere Informationen finden Sie unter Logdatenaufnahme prüfen.

Erkennungen identifizieren, die vom Regelsatz erstellt wurden

Im Dashboard für ausgewählte Erkennungen werden Informationen zu jeder Regel angezeigt, die eine Erkennung für Ihre Daten generiert hat. So öffnen Sie das Dashboard für abgestimmte Erkennungsmechanismen:

  1. Wählen Sie im Hauptmenü Erkennungen > Regeln und Erkennungen aus.
  2. Klicken Sie auf Abgestimmte Erkennungsmechanismen > Dashboard , um die Dashboardansicht zu öffnen. Sie sehen eine Liste der Regelsätze und einzelnen Regeln, die Erkennungen generiert haben. Regeln werden nach Regelsatz gruppiert.
  3. Rufen Sie den gewünschten Regelsatz auf, z. B. CDIR SCC Enhanced Exfiltration Alerts.
  4. Klicken Sie auf die Regel, um die von einer bestimmten Regel generierten Erkennungen aufzurufen. Dadurch wird die Seite Erkennungen geöffnet, auf der die Erkennungen sowie die Entitäts- oder Ereignisdaten angezeigt werden, die die Erkennung generiert haben.
  5. Sie können die Daten in dieser Ansicht filtern und durchsuchen.

Weitere Informationen finden Sie unter Ausgewählte Erkennungen ansehen und Dashboard für ausgewählte Erkennungen öffnen.

Benachrichtigungen optimieren, die von einem oder mehreren Regelsätzen zurückgegeben werden

Möglicherweise generieren die ausgewählten Erkennungen zu viele Erkennungen oder Benachrichtigungen. Sie können die Anzahl der Erkennungen, die von einer Regel oder einem Regelsatz generiert werden, mithilfe von Regelausschlüssen reduzieren. Regelausschlüsse werden nur mit ausgewählten Erkennungen und nicht mit benutzerdefinierten Regeln verwendet.

Ein Regelausschluss definiert die Kriterien, die verwendet werden, um ein Ereignis von der Auswertung durch den Regelsatz oder durch bestimmte Regeln im Regelsatz auszuschließen. Erstellen Sie einen oder mehrere Regelausschlüsse, um die Anzahl der Erkennungen zu reduzieren. Sie können beispielsweise Ereignisse anhand der folgenden Felder des einheitlichen Datenmodells (Unified Data Model, UDM) ausschließen:

  • metadata.product_event_type
  • principal.user.userid
  • target.resource.name
  • target.resource.product_object_id
  • additional.fields["recipientAccountId"]
  • principal.ip
  • network.http.user_agent

Benachrichtigungen untersuchen, die vom Regelsatz erstellt wurden

Auf der Seite Benachrichtigungen und IOCs finden Sie Kontextinformationen zur Benachrichtigung und zugehörigen Entitäten. Sie können Details zu einer Benachrichtigung aufrufen, die Benachrichtigung verwalten und Beziehungen zu Entitäten ansehen.

  1. Wählen Sie im Hauptmenü Erkennungen > Benachrichtigungen und IOCs aus. In der Ansicht Benachrichtigungen wird eine Liste der Benachrichtigungen angezeigt, die von allen Regeln generiert wurden.
  2. Wählen Sie den Zeitraum aus, nach dem die Liste der Benachrichtigungen gefiltert werden soll.
  3. Filtern Sie die Liste nach dem Namen des Regelsatzes, z. B. CDIR SCC Enhanced Exfiltration. Sie können die Liste auch nach dem Namen der Regel filtern, z. B. SCC: BigQuery Exfiltration to Google Drive with DLP Context.
  4. Klicken Sie in der Liste auf eine Benachrichtigung, um die Seite Benachrichtigungen und IOCs zu öffnen.
  5. Auf dem Tab Benachrichtigungen und IOCs > Übersicht werden Details zur Benachrichtigung angezeigt.

Kontext für die Untersuchung mithilfe des Entitätsdiagramms erfassen

Auf dem Tab Benachrichtigungen und IOCs > Diagramm wird ein Benachrichtigungsdiagramm angezeigt, das Beziehungen zwischen einer Benachrichtigung und anderen Benachrichtigungen oder zwischen einer Benachrichtigung und anderen Entitäten visuell darstellt.

  1. Wählen Sie im Hauptmenü Erkennungen > Benachrichtigungen und IOCs aus. In der Ansicht Benachrichtigungen wird eine Liste der Benachrichtigungen angezeigt, die von allen Regeln generiert wurden.
  2. Wählen Sie den Zeitraum aus, nach dem die Liste der Benachrichtigungen gefiltert werden soll.
  3. Filtern Sie die Liste nach dem Namen des Regelsatzes, z. B. CDIR SCC Enhanced Exfiltration. Sie können die Liste auch nach dem Namen der Regel filtern, z. B. SCC: BigQuery Exfiltration to Google Drive with DLP Context.
  4. Klicken Sie in der Liste auf eine Benachrichtigung, um die Seite Benachrichtigungen und IOCs zu öffnen.
  5. Auf dem Tab Benachrichtigungen und IOCs > Diagramm wird das Benachrichtigungsdiagramm angezeigt.
  6. Wählen Sie einen Knoten im Benachrichtigungsdiagramm aus, um Details zum Knoten aufzurufen.

Sie können die UDM-Suche während der Untersuchung verwenden, um zusätzlichen Kontext zu Ereignissen zu erfassen, die mit der ursprünglichen Benachrichtigung zusammenhängen. Mit der UDM-Suche können Sie UDM-Ereignisse und Benachrichtigungen finden, die von Regeln generiert wurden. Die UDM-Suche bietet eine Vielzahl von Suchoptionen, mit denen Sie durch Ihre UDM-Daten navigieren können. Sie können sowohl nach einzelnen UDM-Ereignissen als auch nach Gruppen von UDM-Ereignissen suchen, die mit bestimmten Suchbegriffen zusammenhängen.

Wählen Sie im Hauptmenü Suche aus, um die Seite UDM-Suche zu öffnen.

Informationen zu UDM-Suchanfragen finden Sie unter UDM-Suche eingeben. Eine Anleitung zum Schreiben von UDM-Suchanfragen, die für die Leistung und die Funktionen der Funktion optimiert sind, finden Sie unter Best Practices für die UDM-Suche.

Antwort aus einer Benachrichtigung erstellen

Wenn für eine Benachrichtigung oder Erkennung eine Incident Response erforderlich ist, können Sie die Antwort mithilfe von SOAR-Funktionen einleiten. Weitere Informationen finden Sie unter Übersicht über Fälle und Übersicht über den Bildschirm „Playbooks“.

Nächste Schritte

Benötigen Sie weitere Hilfe? Erhalten Sie Antworten von Community-Mitgliedern und Google SecOps-Experten.