脅威インテリジェンスの概要

以下でサポートされています。

Google Threat Intelligence は、セキュリティ脅威の特定、分析、軽減に包括的かつプロアクティブなアプローチを提供します。Google の大規模なインフラストラクチャ、グローバル テレメトリー、高度な分析を使用して、有用な分析情報を提供し、組織のセキュリティを強化します。

Google Threat Intelligence には、脅威の検出、マルウェアとフィッシング キャンペーンの分析、リアルタイムの脅威アラート、セキュリティ情報およびイベント管理（SIEM）やセキュリティ オーケストレーション、自動化、対応（SOAR）プラットフォームなどのセキュリティ ツールとシームレスに統合されるインテリジェンス フィードが含まれています。

次の統合方法を使用して、Google SecOps 内で Google Threat Intelligence を統合して使用できます。

Applied Threat Intelligence（ATI）

このフルマネージドのネイティブ パイプラインは、Google の脅威インテリジェンスを自動的にキュレートして適用します。

  • ライセンス:
    • Google SecOps Enterprise+
  • 機能:
    • 高度な自動脅威インテリジェンス機能を提供します。
    • Google、Mandiant、VirusTotal のインテリジェンスの全範囲を自動的に使用して、手動のパイプライン構成なしで自動化されたコンテキスト、エンリッチメント、アラートを提供する、完全に組み込み型のマネージド統合が含まれています。
    • 最前線の専門知識と Google の幅広い可視性を組み合わせて、脅威の状況を全体像で表示します。
    • セキュリティ チームは、アラートをコンテキスト化し、脅威アクターの戦術を理解し、ワークフロー内でインテリジェンスを直接使用できます。
  • 統合手順: Applied Threat Intelligence の概要をご覧ください。

お客様所有ライセンスの使用（BYOL）の Google Threat Intelligence 統合

このお客様がデプロイしたパイプラインは、ライセンスが付与された Google Threat Intelligence（GTI）データ（脅威リスト、IoC ストリーム、攻撃者のコンテキスト）を Google SecOps に取り込みます。この方法では、Google SecOps 環境にリソース（Cloud Run functions、Cloud Scheduler、Secret Manager など）をデプロイして管理し、Chronicle API からデータを取得して Google SecOps にストリーミングできます。

  • ライセンス:
    • Google SecOps Standard または Enterprise。
    • お客様所有ライセンスの使用（BYOL）インテグレーションを使用するための有効な Google Threat Intelligence ライセンス。
    • Enterprise+ ライセンスには、BYOL 統合の権限が含まれています。
  • 機能:
    • お客様がデプロイしたパイプラインを使用して、データを Google SecOps に取り込み、検出と脅威ハンティングを強化できます。
    • レガシーの断片化されたコネクタを単一の統合ソリューションに置き換えます。
  • 統合手順: BYOL 脅威インテリジェンスの統合をご覧ください。

独自の脅威インテリジェンス フィードを統合する

この統合方法では、カスタムまたはサードパーティの侵害指標（IoC）と脅威インテリジェンス フィード（MISP、STIX/TAXII、商用脅威インテリジェンス プロバイダ、カスタム CSV リストや JSON リストなど）を Google SecOps に直接取り込むことができます。Google SecOps は、受信フィードを Unified Data Model（UDM）エンティティ コンテキスト グラフ（ECG）に解析し、イベント テレメトリーに対する IoC の自動照合、最大 30 日間のデータにわたるレトロハンティング、カスタム YARA-L ルール検出をサポートします。

  • ライセンス:
    • Google SecOps のライセンス階層全体で利用できます。
  • 機能:
    • ネイティブの Google SecOps フィード（Cloud Storage、HTTPS、Amazon S3、STIX/TAXII、MISP など）を使用して、サードパーティの脅威フィードを取り込みます。
    • 脅威インジケーターとコンテキスト メタデータを、間隔の有効期間ウィンドウを使用して UDM エンティティ レコード（DOMAIN_NAME、IP_ADDRESS、FILE、URL など）に直接正規化します。
    • 受信したテレメトリーをカスタム脅威インテリジェンス フィードとほぼリアルタイムで遡及的に関連付けます。
    • 自動 IoC マッチングとカスタム YARA-L 相関ルールによる脅威検出をサポートします。
  • 統合手順: 独自の脅威インテリジェンス フィードを統合するをご覧ください。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。