Présentation de Threat Intelligence

Compatible avec :

Google Threat Intelligence offre une approche complète et proactive pour identifier, analyser et atténuer les menaces de sécurité. Il utilise l'infrastructure étendue, la télémétrie mondiale et les analyses avancées de Google pour fournir des insights utiles et améliorer la sécurité de votre organisation.

Google Threat Intelligence inclut la détection des menaces, l'analyse des logiciels malveillants et des campagnes de hameçonnage, les alertes de menace en temps réel et les flux de renseignements qui s'intègrent parfaitement aux outils de sécurité tels que les plates-formes SIEM (Security Information and Event Management) et SOAR (Security Orchestration, Automation and Response).

Vous pouvez intégrer et utiliser Google Threat Intelligence dans Google SecOps à l'aide des méthodes d'intégration suivantes :

Renseignements sur les menaces appliqués (ATI)

Ce pipeline natif entièrement géré organise et applique automatiquement les renseignements sur les menaces de Google.

  • Licence :
    • Google SecOps Enterprise+
  • Fonctionnalités :
    • Fournit des fonctionnalités avancées et automatisées de renseignements sur les menaces.
    • Inclut une intégration entièrement intégrée et gérée qui utilise automatiquement l'ensemble des renseignements de Google, Mandiant et VirusTotal pour fournir un contexte, un enrichissement et des alertes automatisés sans configuration manuelle du pipeline.
    • Combine l'expertise de première ligne et la visibilité étendue de Google pour offrir une vue unifiée du paysage des menaces.
    • Permet aux équipes de sécurité de contextualiser les alertes, de comprendre les tactiques des acteurs malveillants et d'utiliser les renseignements directement dans leurs workflows.
  • Étapes d'intégration : consultez la présentation des renseignements sur les menaces appliqués.

Intégration de Google Threat Intelligence avec le modèle BYOL

Ce pipeline déployé par le client ingère les données Google Threat Intelligence (GTI) sous licence (listes de menaces, flux d'IoC et contexte des adversaires) dans Google SecOps. Cette méthode vous permet de déployer et de gérer des ressources (telles que des fonctions Cloud Run, Cloud Scheduler et Secret Manager) dans votre environnement Google SecOps pour extraire des données de l'API Chronicle et les diffuser en flux continu vers Google SecOps.

  • Licence :
    • Google SecOps Standard ou Enterprise.
    • Une licence Google Threat Intelligence active pour utiliser l'intégration Bring Your Own License (BYOL).
    • La licence Enterprise Plus inclut les autorisations pour l'intégration BYOL.
  • Fonctionnalités :
    • Vous permet d'utiliser un pipeline déployé par le client pour ingérer vos données dans Google SecOps afin d'améliorer la détection et la recherche des menaces.
    • Remplace les anciens connecteurs fragmentés par une solution unique et unifiée.
  • Étapes d'intégration : consultez Intégration BYOL Threat Intelligence.

Intégrer vos propres flux de renseignements sur les menaces

Cette méthode d'intégration vous permet d'ingérer des indicateurs de compromission (IoC) personnalisés ou tiers, ainsi que des flux de renseignement sur les menaces (tels que MISP, STIX/TAXII, des fournisseurs commerciaux de renseignement sur les menaces ou des listes CSV et JSON personnalisées) directement dans Google SecOps. Google SecOps analyse les flux entrants dans le graphique de contexte d'entité (ECG, Entity Context Graph) du modèle de données unifié (UDM, Unified Data Model) pour permettre la mise en correspondance automatisée des IoC avec la télémétrie des événements, la rétrochasse sur jusqu'à 30 jours de données et les détections de règles YARA-L personnalisées.

  • Licence :
    • Disponible pour tous les niveaux de licence Google SecOps.
  • Fonctionnalités :
    • Ingère des flux de menaces tiers à l'aide de flux Google SecOps natifs (tels que Cloud Storage, HTTPS, Amazon S3, STIX/TAXII et MISP).
    • Normalise les indicateurs de menace et les métadonnées contextuelles directement dans les enregistrements d'entités UDM (tels que DOMAIN_NAME, IP_ADDRESS, FILE et URL) avec des fenêtres de validité d'intervalle.
    • Associe les données télémétriques entrantes à vos flux personnalisés de renseignements sur les menaces en temps quasi réel et de manière rétroactive.
    • Prend en charge la détection des menaces grâce à la mise en correspondance automatique des IoC et aux règles de corrélation YARA-L personnalisées.
  • Étapes d'intégration : consultez Intégrer vos propres flux de renseignements sur les menaces.

Vous avez encore besoin d'aide ? Obtenez des réponses auprès des membres de la communauté et des professionnels Google SecOps.