Panoramica di Threat Intelligence

Supportato in:

Google Threat Intelligence offre un approccio completo e proattivo all'identificazione, all'analisi e alla mitigazione delle minacce alla sicurezza. Utilizza la vasta infrastruttura, la telemetria globale e l'analisi avanzata di Google per fornire approfondimenti utili e migliorare la sicurezza della tua organizzazione.

Google Threat Intelligence include il rilevamento delle minacce, l'analisi di campagne di malware e phishing, avvisi sulle minacce in tempo reale e feed di intelligence che si integrano perfettamente con strumenti di sicurezza come le piattaforme SIEM (Security Information and Event Management) e SOAR (Security Orchestration, Automation and Response).

Puoi integrare e utilizzare Google Threat Intelligence in Google SecOps utilizzando i seguenti metodi di integrazione:

Applied Threat Intelligence (ATI)

Questa pipeline nativa completamente gestita cura e applica automaticamente la threat intelligence di Google.

  • Licenza:
    • Google SecOps Enterprise+
  • Funzionalità:
    • Fornisce funzionalità avanzate di threat intelligence automatizzata.
    • Include un'integrazione completamente integrata e gestita che utilizza automaticamente l'intero spettro di informazioni di Google, Mandiant e VirusTotal per fornire contesto, arricchimento e avvisi automatizzati senza configurazione manuale della pipeline.
    • Combina l'esperienza in prima linea con l'ampiezza della visibilità di Google per offrire una visualizzazione unificata del panorama delle minacce.
    • Consente ai team di sicurezza di contestualizzare gli avvisi, comprendere le tattiche degli autori delle minacce e utilizzare l'intelligence direttamente nei loro flussi di lavoro.
  • Passaggi per l'integrazione: consulta la panoramica di Applied Threat Intelligence.

Integrazione di Bring Your Own License (BYOL) di Google Threat Intelligence

Questa pipeline implementata dal cliente importa i dati di Google Threat Intelligence (GTI) con licenza (elenchi delle minacce, flussi di indicatori di compromissione e contesto degli autori delle minacce) in Google SecOps. Questo metodo ti consente di eseguire il deployment e gestire risorse (come Cloud Run Functions, Cloud Scheduler, Secret Manager) nel tuo ambiente Google SecOps per recuperare i dati dall'API Chronicle e trasmetterli in streaming a Google SecOps.

  • Licenza:
    • Google SecOps Standard o Enterprise.
    • Una licenza Google Threat Intelligence attiva per utilizzare l'integrazione Bring Your Own License (BYOL).
    • La licenza Enterprise+ include le autorizzazioni per l'integrazione BYOL.
  • Funzionalità:
    • Consente di utilizzare una pipeline implementata dal cliente per importare i dati in Google SecOps per un rilevamento e una ricerca delle minacce avanzati.
    • Sostituisce i connettori frammentati legacy con una singola soluzione unificata.
  • Passaggi per l'integrazione: consulta Integrazione della threat intelligence BYOL.

Integra i tuoi feed di threat intelligence

Questo metodo di integrazione ti consente di acquisire indicatori di compromissione (IoC) personalizzati o di terze parti e feed di threat intelligence (come MISP, STIX/TAXII, provider commerciali di threat intelligence o elenchi CSV e JSON personalizzati) direttamente in Google SecOps. Google SecOps analizza i feed in entrata nel grafico del contesto delle entità (ECG) del modello di dati unificato (UDM) per supportare la corrispondenza automatica degli indicatori di compromissione con la telemetria degli eventi, la ricerca retroattiva su un massimo di 30 giorni di dati e i rilevamenti delle regole YARA-L personalizzate.

  • Licenza:
    • Disponibile in tutti i livelli di licenza Google SecOps.
  • Funzionalità:
    • Inserisce feed di minacce di terze parti utilizzando feed Google SecOps nativi (come Cloud Storage, HTTPS, Amazon S3, STIX/TAXII e MISP).
    • Normalizza gli indicatori di minaccia e i metadati contestuali direttamente nei record di entità UDM (ad esempio DOMAIN_NAME, IP_ADDRESS, FILE e URL) con finestre di validità dell'intervallo.
    • Correlano la telemetria in entrata con i tuoi feed di threat intelligence personalizzati quasi in tempo reale e in modo retroattivo.
    • Supporta il rilevamento delle minacce tramite la corrispondenza automatica degli IoC e regole di correlazione YARA-L personalizzate.
  • Passaggi per l'integrazione: consulta Integrare i tuoi feed di threat intelligence.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.