Menerapkan pendeteksian terseleksi

Didukung di:

Tim Google Threat Intelligence (GCTI) menawarkan analisis ancaman yang telah ditentukan sebelumnya. Sebagai bagian dari pendeteksian terseleksi ini, GCTI menyediakan dan mengelola serangkaian aturan YARA-L untuk membantu pelanggan mengidentifikasi ancaman terhadap perusahaan mereka.

Aturan yang dikelola GCTI melakukan hal berikut:

  • Memberikan intelijen yang dapat langsung ditindaklanjuti kepada pelanggan yang dapat digunakan terhadap data yang mereka masukkan.

  • Memanfaatkan Google Threat Intelligence dengan memberi pelanggan cara menggunakan informasi ini melalui pendeteksian terseleksi.

Dokumen ini merangkum langkah-langkah yang diperlukan untuk menggunakan pendeteksian terseleksi guna mengidentifikasi ancaman, termasuk cara mengaktifkan kumpulan aturan pendeteksian terseleksi, melihat pendeteksian yang dihasilkan oleh kumpulan aturan, dan menyelidiki pemberitahuan.

Menyerap data yang diperlukan

Setiap set aturan telah dirancang untuk mengidentifikasi pola di sumber data tertentu dan mungkin memerlukan set data yang berbeda, termasuk yang berikut:

  • Data peristiwa: menjelaskan aktivitas dan peristiwa yang terjadi terkait dengan layanan.
  • Data konteks: menjelaskan entitas, perangkat, layanan, atau pengguna yang ditentukan dalam data peristiwa. Data ini juga disebut data entitas.

Dalam dokumentasi yang menjelaskan setiap rangkaian aturan, tinjau juga data yang diperlukan oleh rangkaian aturan.

Memverifikasi penyerapan data

Metode berikut tersedia untuk memverifikasi keberhasilan penyerapan data:

  • Dasbor Penyerapan dan Kondisi Data: dasbor ini memungkinkan Anda memantau penyerapan dari semua sumber.
  • Aturan pengujian Managed Detection: Aktifkan aturan pengujian untuk memverifikasi bahwa data masuk yang diperlukan ada dan dalam format yang diperlukan oleh set aturan deteksi terkurasi tertentu.

Menggunakan dasbor pilihan

Gunakan dasbor pilihan—dasbor yang telah ditentukan sebelumnya dan didesain untuk visibilitas di berbagai kasus penggunaan keamanan. Anda dapat membuat salinan dan menyesuaikan dasbor pilihan untuk memenuhi persyaratan Anda. Untuk mengetahui informasi selengkapnya, lihat Ringkasan dasbor pilihan.

Opsional: Menggunakan aturan pengujian Managed Detection Testing

Kategori tertentu juga disediakan sebagai kumpulan aturan pengujian yang dapat membantu Anda memverifikasi bahwa data yang diperlukan untuk setiap kumpulan aturan berada dalam format yang benar.

Aturan pengujian ini berada di kategori Pengujian Deteksi Terkelola. Setiap set aturan memvalidasi bahwa data yang diterima oleh perangkat pengujian berada dalam format yang diharapkan oleh aturan untuk kategori yang ditentukan tersebut.

Hal ini berguna jika Anda ingin memverifikasi penyiapan penyerapan atau jika Anda ingin memecahkan masalah. Untuk mengetahui langkah-langkah mendetail tentang cara menggunakan aturan pengujian ini, lihat Memverifikasi penyerapan data menggunakan aturan pengujian.

Mengaktifkan kumpulan aturan

Pendeteksian terseleksi adalah analisis ancaman yang disampaikan sebagai set aturan YARA-L yang membantu Anda mengidentifikasi ancaman terhadap perusahaan Anda. Kumpulan aturan ini melakukan hal berikut:

  • Memberi Anda intelijen yang dapat ditindaklanjuti secara langsung yang dapat digunakan terhadap data yang diserap.
  • Menggunakan Google Threat Intelligence dengan memberi Anda cara untuk menggunakan informasi ini.

Setiap set aturan mengidentifikasi pola aktivitas mencurigakan tertentu. Untuk mengaktifkan dan melihat detail tentang kumpulan aturan, lakukan langkah berikut:

  1. Pilih Deteksi > Aturan & Deteksi dari menu utama. Tab default adalah Pendeteksian terseleksi dan tampilan default adalah set aturan.
  2. Klik Deteksi Terkurasi untuk membuka tampilan Kumpulan Aturan.
  3. Pilih set aturan dalam kategori Cloud Threats, seperti CDIR SCC Enhanced Exfiltration Alerts.
  4. Tetapkan Status ke Diaktifkan dan Peringatan ke Aktif untuk aturan Luas dan Presisi. Aturan akan mengevaluasi data yang masuk untuk menemukan pola yang cocok dengan logika aturan. Dengan Status = Diaktifkan, aturan akan menghasilkan deteksi saat kecocokan pola ditemukan. Dengan Pemberitahuan = Aktif, aturan juga akan menghasilkan notifikasi saat kecocokan pola ditemukan.

Untuk mengetahui informasi tentang cara menggunakan halaman deteksi yang dikurasi, lihat artikel berikut:

Jika Anda tidak menerima deteksi atau pemberitahuan setelah mengaktifkan set aturan, Anda dapat melakukan langkah-langkah untuk memicu satu atau beberapa aturan pengujian yang memverifikasi bahwa data yang diperlukan untuk set aturan diterima dan dalam format yang benar. Untuk mengetahui informasi selengkapnya, lihat Memverifikasi penyerapan data log.

Mengidentifikasi deteksi yang dibuat oleh kumpulan aturan

Dasbor pendeteksian terseleksi menampilkan informasi tentang setiap aturan yang menghasilkan deteksi terhadap data Anda. Untuk membuka dasbor deteksi yang dikurasi, lakukan tindakan berikut:

  1. Pilih Deteksi > Aturan & Deteksi dari menu utama.
  2. Klik Deteksi yang Dikurasi > Dasbor untuk membuka tampilan Dasbor. Anda akan melihat daftar set aturan dan aturan individual yang menghasilkan deteksi. Aturan dikelompokkan menurut set aturan.
  3. Buka set aturan yang diinginkan, seperti CDIR SCC Enhanced Exfiltration Alerts.
  4. Untuk melihat deteksi yang dihasilkan oleh aturan tertentu, klik aturan tersebut. Tindakan ini akan membuka halaman Deteksi yang menampilkan deteksi, serta data peristiwa atau entitas yang menghasilkan deteksi.
  5. Anda dapat memfilter dan menelusuri data dalam tampilan ini.

Untuk mengetahui informasi selengkapnya, lihat Melihat deteksi yang dikurasi dan Membuka dasbor deteksi yang dikurasi.

Menyesuaikan pemberitahuan yang ditampilkan oleh satu atau beberapa set aturan

Anda mungkin mendapati bahwa pendeteksian terseleksi menghasilkan terlalu banyak deteksi atau pemberitahuan. Anda dapat mengurangi jumlah deteksi yang dihasilkan oleh aturan atau set aturan menggunakan pengecualian aturan. Pengecualian aturan hanya digunakan dengan pendeteksian terseleksi, dan bukan dengan aturan kustom.

Pengecualian aturan menentukan kriteria yang digunakan untuk mengecualikan peristiwa agar tidak dievaluasi oleh set aturan, atau oleh aturan tertentu dalam set aturan. Buat satu atau beberapa pengecualian aturan untuk membantu mengurangi volume deteksi. Misalnya, Anda dapat mengecualikan peristiwa berdasarkan kolom Model Data Terpadu (UDM) berikut:

  • metadata.product_event_type
  • principal.user.userid
  • target.resource.name
  • target.resource.product_object_id
  • additional.fields["recipientAccountId"]
  • principal.ip
  • network.http.user_agent

Menyelidiki pemberitahuan yang dibuat oleh kumpulan aturan

Halaman Pemberitahuan & IOC memberikan konteks tentang pemberitahuan dan entitas terkait. Anda dapat melihat detail tentang notifikasi, mengelola notifikasi, dan melihat hubungan dengan entitas.

  1. Pilih Detections > Alerts & IOCs dari menu utama. Tampilan Peringatan menampilkan daftar peringatan yang dihasilkan oleh semua aturan.
  2. Pilih rentang waktu untuk memfilter daftar notifikasi.
  3. Filter daftar menurut nama set aturan, seperti CDIR SCC Enhanced Exfiltration. Anda juga dapat memfilter daftar menurut nama aturan, seperti SCC: BigQuery Exfiltration to Google Drive with DLP Context.
  4. Klik notifikasi dalam daftar untuk membuka halaman Pemberitahuan & IOC.
  5. Tab Peringatan & IOC > Ringkasan menampilkan detail tentang peringatan.

Mengumpulkan konteks penyelidikan menggunakan grafik entitas

Tab Alert & IOC > Grafik menampilkan grafik pemberitahuan yang secara visual merepresentasikan hubungan antara pemberitahuan dan pemberitahuan lainnya, atau antara pemberitahuan dan entitas lainnya.

  1. Pilih Detections > Alerts & IOCs dari menu utama. Tampilan Peringatan menampilkan daftar peringatan yang dihasilkan oleh semua aturan.
  2. Pilih rentang waktu untuk memfilter daftar notifikasi.
  3. Filter daftar menurut nama set aturan, seperti CDIR SCC Enhanced Exfiltration. Anda juga dapat memfilter daftar menurut nama aturan, seperti SCC: BigQuery Exfiltration to Google Drive with DLP Context.
  4. Klik notifikasi dalam daftar untuk membuka halaman Pemberitahuan & IOC.
  5. Tab Alerts & IOCs > Graph menampilkan grafik pemberitahuan.
  6. Pilih node dalam grafik pemberitahuan untuk melihat detail tentang node tersebut.

Anda dapat menggunakan kemampuan penelusuran UDM selama penyelidikan untuk mengumpulkan konteks tambahan tentang peristiwa yang terkait dengan pemberitahuan asli. Dengan Penelusuran UDM, Anda dapat menemukan peristiwa dan pemberitahuan UDM yang dihasilkan oleh aturan. Penelusuran UDM mencakup berbagai opsi penelusuran, sehingga Anda dapat menjelajahi data UDM. Anda dapat menelusuri peristiwa UDM individual dan grup peristiwa UDM yang terkait dengan istilah penelusuran tertentu.

Pilih Search dari menu utama untuk membuka halaman UDM Search.

Untuk mengetahui informasi tentang kueri Penelusuran UDM, lihat Memasukkan penelusuran UDM. Untuk panduan tentang penulisan kueri Penelusuran UDM yang dioptimalkan untuk performa dan kemampuan fitur, lihat Praktik terbaik Penelusuran UDM.

Membuat respons dari pemberitahuan

Jika pemberitahuan atau deteksi memerlukan respons insiden, Anda dapat memulai respons menggunakan fitur SOAR. Untuk mengetahui informasi selengkapnya, lihat Ringkasan kasus dan Ringkasan layar Playbook.

Langkah berikutnya

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.