Windows 威脅

支援的服務：

本文將概略介紹 Windows 威脅類別中的規則集、必要資料來源，以及可用來調整這些規則集所產生警示的設定。

這些規則集會透過偵測和警示，提供可立即採取行動的情境資訊，指出應進一步調查哪些端點警示資料。這些功能可強化安全性事件監控和分類能力，讓您專注於惡意且可採取行動的警示和案件 (警示集合)。這些精選數據分析可讓您優先處理端點警示、提供額外的調查背景資訊，並使用端點記錄改善安全性事件監控。

「Windows 威脅」類別中的規則集，可協助您使用端點偵測與應變 (EDR) 記錄，找出 Microsoft Windows 環境中的威脅。這個類別包含下列規則集：

  • PowerShell 異常：識別含有模糊處理技術或其他異常行為的 PowerShell 指令。
  • 加密貨幣活動：與可疑加密貨幣相關的活動。
  • Hacktool：可免費取得的工具，可能被視為可疑，但視組織的使用情況而定，可能合法。
  • 資訊竊取程式：用於竊取憑證的工具，包括密碼、Cookie、加密錢包和其他機密憑證。
  • 初始存取：用於在具有可疑行為的機器上取得初始執行權限的工具。
  • 合法但遭濫用：已知遭濫用，用於惡意用途的合法軟體。
  • 離地攻擊 (LotL) 二進位檔：Microsoft Windows 作業系統內建的工具，威脅發動者可濫用這些工具來達成惡意目的。
  • 具名威脅：與已知威脅發動者相關聯的行為。
  • 勒索軟體：與勒索軟體相關的活動。
  • RAT：用於遠端指揮與控制網路資產的工具。
  • 資安態勢降級：試圖停用資安工具或降低其效力的活動。
  • 可疑行為：一般可疑行為。
  • Mandiant Front-Line Threats：這組規則集包含的規則，是根據 Mandiant 對全球活躍事件的調查和應變措施制定。這些規則涵蓋常見的 TTP，例如透過指令碼解譯器執行 (T1059)、使用者執行 (T1204) 和系統二進位 Proxy 執行 (T1218)。
  • Mandiant Intel Emerging Threats：這組規則集包含衍生自 Mandiant Intelligence Campaigns 和 Significant Events 的規則，涵蓋 Mandiant 評估為影響重大的地緣政治和威脅活動。這類活動可能包括地緣政治衝突、漏洞攻擊、網路釣魚、惡意廣告、勒索軟體和供應鏈入侵。
  • 端點警示優先順序：這個規則集會運用 Mandiant Automated Defense - Alert, Investigation & Prioritization 產品先前提供的功能。這組規則集會識別下列模式：
    • 攻擊進展：內部資產出現多個入侵跡象，綜合考量後，系統遭入侵的可能性增加，因此應進行調查。
    • 內部資產上的惡意軟體：內部資產顯示惡意軟體已到達檔案系統的跡象，應進行調查。攻擊者通常會在成功入侵後，將惡意程式碼暫存在檔案系統中。
    • 未經授權的駭客工具：內部資產顯示出漏洞利用工具活動，表示系統遭到入侵。攻擊工具是公開可用的軟體或駭客工具，可用於取得及擴大系統存取權，攻擊者和紅隊都會使用。如果系統或帳戶未明確授權使用，則應調查這些工具的使用情況。
    • 異常程序行為：內部資產以不尋常的方式使用常見的可執行檔，是主機遭入侵的強烈指標。如果出現不尋常的「寄生攻擊」行為，應進行調查。

Mandiant Intel 新興威脅規則集和端點警示優先順序規則集，適用於 Google Security Operations Enterprise Plus 授權。

支援的裝置和記錄類型

本節列出各規則集所需的資料。

Windows 威脅類別中的規則集已通過測試，並支援下列 Google SecOps 支援的 EDR 資料來源：

  • Carbon Black (CB_EDR)
  • Microsoft Sysmon (WINDOWS_SYSMON)
  • SentinelOne CF (SENTINELONE_CF)
  • SentinelOne EDR (SENTINEL_EDR)
  • Crowdstrike Falcon (CS_EDR)

Windows 威脅類別中的規則集正在測試和最佳化，適用於下列 Google SecOps 支援的 EDR 資料來源：

  • Tanium
  • Cybereason EDR (CYBEREASON_EDR)
  • Lima Charlie (LIMACHARLIE_EDR)
  • OSQuery
  • Zeek
  • Cylance (CYLANCE_PROTECT)

如果您使用其他 EDR 軟體收集端點資料，請與 Google SecOps 代表聯絡。

如需 Google SecOps 支援的所有資料來源清單，請參閱「支援的預設剖析器」。

Windows 威脅類別所需的必填欄位

以下各節說明 Windows 威脅類別中的規則集需要哪些特定資料，才能發揮最大效益。請確認裝置已設定為將下列資料記錄到裝置事件記錄。

  • 事件時間戳記
  • 主機名稱：執行 EDR 軟體的系統主機名稱。
  • 主體程序：目前記錄的程序名稱。
  • 主體程序路徑：目前執行中程序在磁碟上的位置 (如有)。
  • 主體程序指令列：程序的指令列參數 (如有)。
  • 目標程序：主體程序啟動的衍生程序名稱。
  • 目標程序路徑：目標程序在磁碟上的位置 (如有)。
  • 目標程序指令列：目標程序的指令列參數 (如有)。
  • 目標程序 SHA256\MD5：目標程序的核對和 (如有)。這項資訊可用來調整快訊。
  • 使用者 ID：主體程序的使用者名稱。

端點規則集的警告優先順序

這個規則集已使用下列 Google SecOps 支援的 EDR 資料來源進行測試：

  • MICROSOFT_GRAPH_ALERT 記錄類型的 Microsoft Defender for Endpoint 警告
  • SENTINELONE_ALERT log_type 的 SentinelOne Threats
  • CS_EDR log_type 的 CrowdStrike Falcon Event_DetectionSummaryEvent 警示

用於端點警告優先順序的 UDM 欄位

以下各節說明「端點警示優先順序」規則集所需的 UDM 欄位資料。如果您建立自訂剖析器來修改預設剖析器，請務必不要變更這些欄位的對應關係。如果變更這些欄位的對應方式，可能會影響這項功能的行為。

UDM 欄位名稱 說明
metadata.event_type 標準化事件類型。
metadata.product_name 產品名稱。
security_result.detection_fields["externall_api_type"] 篩選感興趣事件的欄位。
security_result.threat_name 供應商指派的威脅分類，例如惡意軟體系列。
security_result.category_details 廠商專屬惡意軟體類別
security_result.summary 快訊摘要。
security_result.rule_name 供應商提供的快訊名稱。
security_result.attack_details 用於識別 Mitre ATT&CK 戰術和技術。
security_result.description 快訊的簡短說明。
security_result.action 控制項採取的動作。
principal.process.file.names 執行中程序的檔案名稱。
principal.process.file.full_path 目前執行中程序在磁碟上的位置 (如有)。
principal.process.command_line 程序的指令列參數 (如有)。
principal.asset.hostname 執行 EDR 軟體的系統主機名稱。
principal.hostname 執行 EDR 軟體的系統主機名稱。
principal.user.userid 主體程序的使用者名稱。
target.file.full_path 主體互動的檔案名稱。
target.file.md5/sha256 目標檔案的核對和 (如有)。

調整 Windows 威脅類別傳回的警告

您可以使用規則排除條件，減少規則或規則集產生的偵測項目數量。

規則排除條件定義了條件，用於排除事件，避免規則集或規則集中的特定規則評估該事件。建立一或多個規則排除項目，有助於減少偵測數量。詳情請參閱「設定警告抑制」。

舉例來說，您可以根據下列資訊排除事件：

  • principal.hostname
  • principal.process.command_line
  • principal.user.userid

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。