Regole e rilevamenti delle query

Supportato in:

Questo documento è destinato ai responsabili e agli analisti del Security Operations Center (SOC) che vogliono monitorare i panorama delle minacce e l'integrità del sistema utilizzando dashboard curate, ovvero dashboard predefinite progettate per la visibilità in vari casi d'uso della sicurezza. Questo documento fornisce una raccolta di dashboard curate e le relative query sottostanti per il tipo di origine Casi SOAR.

Puoi utilizzare queste query nell'editor di query o come base per i widget personalizzati. Per informazioni su come creare e gestire le dashboard, consulta Gestire le dashboard.

Nome dashboard Descrizione Nome grafico Query
ISO 27001 – Controlli tecnologici Fornisce visibilità sui controlli tecnologici e sugli standard di crittografia per supportare la conformità e la correzione basata sui dati.
Nota: applica i filtri per perfezionare i dati.		 Tendenze degli avvisi per origine dati 
$Date = timestamp.get_date(detection.created_time.seconds)

match:
    $Date

outcome:
    $Count = count(detection.id)

order:
    $Date desc
ISO 27001 – Controlli tecnologici Fornisce visibilità sui controlli tecnologici e sugli standard di crittografia per supportare la conformità e la correzione basata sui dati.
Nota: applica i filtri per perfezionare i dati.		 Prime 10 risorse ad alto rischio 
detection.detection.risk_score > 0
detection.collection_elements.references.event.principal.hostname != ""
detection.collection_elements.references.event.metadata.product_name != ""
detection.collection_elements.references.event.principal.ip != ""

$Hostname = detection.collection_elements.references.event.principal.hostname
$IP_Address = detection.collection_elements.references.event.principal.ip
$Product_Name = detection.collection_elements.references.event.metadata.product_name

match:
    $Hostname, $IP_Address, $Product_Name

outcome:
    $Risk_Score = max(detection.detection.risk_score)
    $First_Time_Seen = timestamp.get_timestamp(min(detection.collection_elements.references.event.metadata.event_timestamp.seconds))
    $Last_Time_Seen = timestamp.get_timestamp(max(detection.collection_elements.references.event.metadata.event_timestamp.seconds))

order:
    $Risk_Score desc

limit:
    10
Panoramica della sicurezza di Chrome Enterprise Premium Fornisce informazioni in tempo reale sugli eventi di sicurezza correlati a Chrome, inclusi trasferimenti di dati sensibili, tentativi di malware e problemi di sicurezza delle password. Rilevamenti dal pacchetto di regole di rilevamento curate dei rischi di Chrome 
detection.detection.ruleset_category_display_name = "Chrome Enterprise Premium Threats"

$Rule_Name = detection.detection.rule_name
$User = strings.coalesce(detection.detection.outcomes["victim_name"], detection.detection.outcomes["victim_netid"], detection.collection_elements.references.event.principal.user.userid, detection.collection_elements.references.event.principal.user.user_display_name, detection.collection_elements.references.event.principal.user.email_addresses, detection.collection_elements.references.event.target.user.userid, detection.collection_elements.references.event.target.user.user_display_name, detection.collection_elements.references.event.target.user.email_addresses)
$Hostname = strings.coalesce(detection.detection.outcomes["hostname"], detection.collection_elements.references.event.principal.hostname, detection.collection_elements.references.event.principal.asset.product_object_id)
$IP = strings.coalesce(detection.collection_elements.references.event.principal.ip, detection.collection_elements.references.event.about.ip)
$Severity = detection.detection.severity
$File = strings.coalesce(detection.collection_elements.references.event.target.file.full_path, detection.collection_elements.references.event.target.resource.name, detection.collection_elements.references.event.target.url, detection.detection.outcomes["url"])
$Risk_Score = detection.detection.outcomes["risk_score"]
$Threat_Name = detection.collection_elements.references.event.security_result.threat_name

match:
    $User, $Rule_Name, $Hostname, $IP, $File, $Risk_Score, $Severity, $Threat_Name

outcome:
    $Description = array_distinct(detection.detection.description)
    $Count = count(detection.id)

order:
    $Severity, $Count desc
Panoramica di Cloud Key Management Fornisce visibilità centralizzata sulla gestione delle chiavi cloud, inclusi segreti e certificati. Utilizza questi approfondimenti per monitorare le modifiche del ciclo di vita e rilevare attività non autorizzate. Avvisi nel tempo 
detection.detection.ruleset_category_display_name = "Cloud Threats"
detection.detection.alert_state = "ALERTING"
detection.detection.rule_name = /Secrets|Key|KMS/ nocase

$Date = timestamp.get_date(detection.collection_elements.references.event.metadata.event_timestamp.seconds)
$Rule_Name = detection.detection.rule_name

match:
  $Date, $Rule_Name

outcome:
  $Count = count(detection.id)

order:
  $Date desc
Panoramica della postura di sicurezza del cloud Fornisce approfondimenti sulla postura di sicurezza del cloud monitorando le metriche chiave in Google Cloud, AWS e Azure. Tendenza di rilevamento nel tempo 
$log_type = detection.collection_elements.references.event.metadata.log_type
$log_type = /GCP|AWS|AZURE/
$date = timestamp.get_date(detection.created_time.seconds)
match:
$date
outcome:
$event_count = count(detection.id)
order:
$date asc
Panoramica della postura di sicurezza del cloud Fornisce informazioni sulla postura di sicurezza del cloud monitorando le metriche chiave in Google Cloud, AWS e Azure. Rilevamenti per categoria 
$log_type = detection.collection_elements.references.event.metadata.log_type
$log_type = /GCP|AWS|AZURE/
$category = detection.collection_elements.references.event.security_result.category
match:
$category
outcome:
$event_count = count(detection.id)
order:
$event_count desc
Panoramica della postura di sicurezza del cloud Fornisce approfondimenti sulla postura di sicurezza del cloud monitorando le metriche chiave in Google Cloud, AWS e Azure. Rilevamenti per gravità 
$log_type = detection.collection_elements.references.event.metadata.log_type
$log_type = /AWS|GCP|AZURE/
$severity = detection.collection_elements.references.event.security_result.severity
match:
$severity
outcome:
$event_count = count(detection.id)
order:
$event_count desc
Panoramica della postura di sicurezza del cloud Fornisce approfondimenti sulla postura di sicurezza del cloud monitorando le metriche chiave in Google Cloud, AWS e Azure. Località principali degli asset 
$log_type = detection.collection_elements.references.event.metadata.log_type
$log_type = /AWS|GCP|AZURE/
$resource = detection.collection_elements.references.event.target.resource.name
$location = detection.collection_elements.references.event.principal.ip_geo_artifact.location.country_or_region
match:
$location
outcome:
$event_count = count($resource)
$latitude = max(detection.collection_elements.references.event.principal.ip_geo_artifact.location.region_latitude)
$longitude = max(detection.collection_elements.references.event.principal.ip_geo_artifact.location.region_longitude)
order:
$event_count desc
Panoramica della postura di sicurezza del cloud Fornisce approfondimenti sulla postura di sicurezza del cloud monitorando le metriche chiave in Google Cloud, AWS e Azure. Le 10 risorse più interessate 
$log_type = detection.collection_elements.references.event.metadata.log_type
$log_type = /AWS|GCP|AZURE/
$targeted_resources = detection.collection_elements.references.event.target.resource.name
$targeted_resources != ""
match:
$targeted_resources
outcome:
$event_count = count($targeted_resources)
order:
$event_count desc
limit : 10
Panoramica della postura di sicurezza del cloud Fornisce approfondimenti sulla postura di sicurezza del cloud monitorando le metriche chiave in Google Cloud, AWS e Azure. I 10 rilevamenti principali 
$log_type = detection.collection_elements.references.event.metadata.log_type
$log_type = /GCP|AWS|AZURE/
$rule_name = detection.detection.rule_name
$rule_name != ""
match:
$rule_name
outcome:
$event_count = count(detection.id)
order:
$event_count desc
limit:
10
Panoramica della postura di sicurezza del cloud Fornisce approfondimenti sulla postura di sicurezza del cloud monitorando le metriche chiave in Google Cloud, AWS e Azure. I 10 principali utenti attivatori 
$log_type = detection.collection_elements.references.event.metadata.log_type
$log_type = /GCP|AWS|AZURE/
$user= detection.collection_elements.references.event.principal.user.userid
$user != ""
match:
$user
outcome:
$event_count = count(detection.collection_elements.references.event.metadata.id)
order:
$event_count desc
limit:
10
Panoramica della postura di sicurezza del cloud Fornisce approfondimenti sulla postura di sicurezza del cloud monitorando le metriche chiave in Google Cloud, AWS e Azure. Distribuzione della gravità per categoria di rilevamento 
$log_type = detection.collection_elements.references.event.metadata.log_type
$log_type = /GCP|AWS|AZURE/
$category = detection.collection_elements.references.event.security_result.category
$severity = detection.collection_elements.references.event.security_result.severity
match:
$severity,$category
outcome:
$event_count = count(detection.id)
order:
$event_count desc
Panoramica dei servizi Cloud Storage Fornisce visibilità sulle attività di spazio di archiviazione sul cloud e sulle modifiche alle autorizzazioni per aiutare i team a monitorare gli avvisi e mantenere l'integrità dei dati. Utilizza questi approfondimenti per monitorare gli utenti principali e identificare pattern di accesso insoliti. Avvisi nel tempo 
detection.detection.ruleset_category_display_name = "Cloud Threats"
(detection.tags = /T1530|T1567.002/
or detection.detection.rule_name = /storage|blob|bucket/ nocase)
detection.detection.alert_state = "ALERTING"

$Date = timestamp.get_date(detection.collection_elements.references.event.metadata.event_timestamp.seconds)
$Rule_Name = detection.detection.rule_name

match:
  $Date, $Rule_Name

outcome:
  $Count = count(detection.id)

order:
  $Date desc
Importazione e integrità dei dati Fornisce visibilità sul throughput di importazione e sui conteggi degli errori per aiutare i team a individuare rapidamente i problemi di flusso di dati. Utilizza queste metriche per monitorare la distribuzione dei log e garantire la stabilità operativa. rules 
$a = rules.name
match: $a
Governance dei dati GDPR Fornisce visibilità sull'accesso ai dati nelle regioni dell'UE, incluse le tendenze di accesso, i tentativi di accesso non UE e le principali geolocalizzazioni. Aiuta a monitorare la conformità ai regolamenti GDPR, a rilevare l'accesso ai dati non autorizzato e a garantire la gestione sicura dei dati dell'UE. Nota: applica i filtri per visualizzare i risultati pertinenti. Trasferimento di dati anomalo per utente 
strings.coalesce(detection.collection_elements.references.event.principal.location.country_or_region, detection.collection_elements.references.event.principal.ip_geo_artifact.location.country_or_region, detection.collection_elements.references.event.principal.location.name)
  = /Austria|Belgium|Bulgaria|Croatia|Cyprus|Czechia|Denmark|Estonia|Finland|France|Germany|Greece|Hungary|Ireland|Italy|Latvia|Lithuania|Luxembourg|Malta|Netherlands|Poland|Portugal|Romania|Slovakia|Slovenia|Spain|Sweden|eu-(west-1|west-3|central-1|north-1|south-1|south-2)|europe-(west1|west3|west4|west8|west9|west10|west12|central2|north1|north2|southwest1)|austriaeast|denmarkeast|francecentral|germanywestcentral|greececentral|italynorth|northeurope|spaincentral|swedencentral|westeurope|polandcentral/ nocase

$Rule_Set = detection.detection.rule_set
$Rule_Set = "Anomalous Total Bytes by User"
$Employee_Name = strings.coalesce(detection.collection_elements.references.event.principal.user.userid,detection.collection_elements.references.event.principal.user.user_display_name,
detection.collection_elements.references.event.principal.user.email_addresses)
$Employee_ID = detection.collection_elements.references.event.principal.user.employee_id
$Empolyee_Namespace = detection.collection_elements.references.event.principal.namespace

match:
   $Employee_Name ,$Employee_ID, $Empolyee_Namespace,  $Rule_Set

outcome:
    $Count = count_distinct(detection.id)

order:
    $Count Desc
Operazioni di sicurezza IAM Una panoramica generale per il monitoraggio giornaliero. Si concentra su anomalie in tempo reale, minacce attive ed eventi ad alto rischio per consentire il rilevamento e la risposta rapidi agli incidenti. Utilizza i filtri disponibili per restringere i risultati in base alle tue esigenze. Avvisi IAM nel tempo 
detection.detection.rule_set_display_name = "Admin Action"
or detection.detection.rule_set_display_name = "Potential Workspace Account Compromise"
or detection.detection.rule_set_display_name = "Suspicious Workspace Administrative Actions"
or detection.detection.rule_set_display_name = "AWS - Identity"
or detection.detection.rule_set_display_name = "AWS - Organization"
or detection.detection.rule_set_display_name = "Azure - Identity"
or detection.detection.rule_set_display_name = "Azure - Organization"
or detection.detection.rule_set_display_name = "IAM Abuse"
or detection.detection.rule_set_display_name = "New Login by User to Device"
or detection.detection.rule_set_display_name = "Anomalous Authentication Events by User"
or detection.detection.rule_set_display_name = "Failed Authentications by Device"
or detection.detection.rule_set_display_name = "Failed Authentications by User"
or detection.detection.rule_set_display_name = "Anomalous Inbound Bytes by User"
or detection.detection.rule_set_display_name = "Anomalous Total Bytes by User"
or detection.detection.rule_set_display_name = "Brute Force then Successful Login by User"
or detection.detection.rule_set_display_name = "Anomalous or Excessive Logins for a Newly Created User"
or detection.detection.rule_set_display_name = "Anomalous or Excessive Suspicious Actions for a Newly Created User"
or detection.detection.rule_set_display_name = "Excessive Alerts by User"
detection.detection.alert_state = "ALERTING"

$Date = timestamp.get_date(detection.collection_elements.references.event.metadata.event_timestamp.seconds)
$Rule_Name = detection.detection.rule_name

match:
    $Date, $Rule_Name

outcome:
    $Count = count(detection.id)

order:
    $Date desc
ISO 27001 - Controlli organizzativi Fornisce visibilità sui controlli di sicurezza e sulle prestazioni di conformità dell'organizzazione in base agli standard ISO 27001. Consente di monitorare i risultati dell'audit e identificare le aree di miglioramento.
Nota: applica i filtri per perfezionare i risultati.		 Rilevamenti recenti di minacce cloud 
detection.detection.ruleset_category_display_name = "Cloud Threats"

$Date = timestamp.get_timestamp(detection.collection_elements.references.event.metadata.event_timestamp.seconds)
$Rule_Name = detection.detection.rule_name
$User = strings.coalesce(detection.collection_elements.references.event.principal.user.userid, detection.collection_elements.references.event.principal.user.email_addresses)
$Source_IP = strings.coalesce(detection.collection_elements.references.event.principal.asset.ip, detection.collection_elements.references.event.principal.ip)
$Host = strings.coalesce(detection.collection_elements.references.event.principal.asset.hostname, detection.collection_elements.references.event.principal.hostname)

match:
    $Date, $Rule_Name, $User, $Source_IP, $Host

order:
    $Date desc
ISO 27001 - Controlli organizzativi Fornisce visibilità sui controlli di sicurezza e sulle prestazioni di conformità dell'organizzazione in base agli standard ISO 27001. Consente di monitorare i risultati dell'audit e identificare le aree di miglioramento.
Nota: applica i filtri per perfezionare i risultati.		 Avvisi nel tempo per gravità 
$Date = timestamp.get_date(detection.created_time.seconds)
$Severity = detection.collection_elements.references.event.security_result.severity
$Severity != "UNKNOWN_SEVERITY"

match:
    $Date, $Severity

outcome:
    $Count = count(detection.id)

order:
    $Date desc
Attività Living Off the Land Fornisce informazioni critiche sul potenziale uso improprio di strumenti di sistema attendibili come Rundll32 e Regsvr32. Monitora e visualizza l'attività comunemente sfruttata dalle minacce avanzate per eludere il rilevamento e sfruttare le utilità di sistema. Rilevamenti di attacchi Living Off The Land nel tempo 
detection.detection.rule_set = "89adf0db-5d29-0a04-c926-f8c2a58f5d1b"

$Rule_Name = detection.detection.rule_name
$Severity = detection.detection.severity
$Risk_Score = detection.detection.risk_score
$Date = timestamp.get_date(detection.collection_elements.references.event.metadata.event_timestamp.seconds)

match:
    $Rule_Name, $Severity, $Risk_Score, $Date
outcome:
    $Count = count(detection.detection.threat_id)
order:
    $Count desc
Attività Living Off the Land Fornisce informazioni critiche sul potenziale uso improprio di strumenti di sistema attendibili come Rundll32 e Regsvr32. Monitora e visualizza l'attività comunemente sfruttata dalle minacce avanzate per eludere il rilevamento e sfruttare le utilità di sistema. Rilevamenti Living Off The Land per gravità 
$event.detection.detection.rule_set = "89adf0db-5d29-0a04-c926-f8c2a58f5d1b"

$Rule_Name = $event.detection.detection.rule_name
$Severity = $event.detection.detection.severity
$Risk_Score = $event.detection.detection.risk_score

match:
    $Rule_Name, $Severity, $Risk_Score
limit:
    50
Attività Living Off the Land Fornisce informazioni critiche sul potenziale uso improprio di strumenti di sistema attendibili come Rundll32 e Regsvr32. Monitora e visualizza l'attività comunemente sfruttata dalle minacce avanzate per eludere il rilevamento e sfruttare le utilità di sistema. Rilevamenti di Living Off The Land 
$event.detection.detection.rule_set = "89adf0db-5d29-0a04-c926-f8c2a58f5d1b"

$Rule_Name = $event.detection.detection.rule_name

match:
    $Rule_Name
outcome:
    $Last_Detection = timestamp.get_timestamp(max($event.detection.collection_elements.references.event.metadata.event_timestamp.seconds))
order:
    $Last_Detection desc
Principale Fornisce un riepilogo dello stato di integrità dell'acquisizione dei dati e degli IoC rilevati e offre una prospettiva globale sulle potenziali minacce. Rilevamenti 
detection.id != ""
outcome:
   $count = count(detection.id)
Principale Fornisce un riepilogo dello stato di integrità dell'acquisizione dei dati e degli IoC rilevati e offre una prospettiva globale sulle potenziali minacce. Avviso 
detection.id != ""
outcome:
   $count = count_distinct(detection.id)
Mandiant Threat Defense Fornisce una visibilità chiara sulla ricerca proattiva delle minacce eseguita da Mandiant nel tuo ambiente. Descrive in dettaglio le attività di ricerca in corso e completate, evidenziando le tendenze scoperte durante il processo di ricerca. I 100 utenti principali per conteggio rilevamenti 
$rule_pack_name = detection.detection.rule_set_display_name
$rule_name = detection.detection.rule_name
$username = group(detection.collection_elements.references.event.principal.user.userid, detection.collection_elements.references.event.src.user.userid, detection.collection_elements.references.event.target.user.userid)

$username != ""

re.regex($rule_pack_name, `^Mandiant.*`)

match:
    $username

outcome:
    $count = count_distinct(detection.id)
    $unique_rules = count_distinct($rule_name)

order:
    $count desc

limit:
    100
Mandiant Threat Defense Fornisce una visibilità chiara sulla ricerca proattiva delle minacce eseguita da Mandiant nel tuo ambiente. Descrive in dettaglio le attività di ricerca in corso e completate, evidenziando le tendenze scoperte durante il processo di ricerca. Rilevamenti di Mandiant Threat Defense nel tempo 
$rule_pack_name = detection.detection.rule_set_display_name
$date = timestamp.get_date(detection.created_time.seconds)

re.regex($rule_pack_name, `^Mandiant.*`)

match:
    $date

outcome:
    $count = count_distinct(detection.id)

order:
    $date asc
Mandiant Threat Defense Fornisce una visibilità chiara sulla ricerca proattiva delle minacce eseguita da Mandiant nel tuo ambiente. Descrive in dettaglio le attività di ricerca in corso e completate, evidenziando le tendenze scoperte durante il processo di ricerca. Rilevamenti per origine telemetrica 
$rule_pack_name = detection.detection.rule_set_display_name
$rule_name = detection.detection.rule_name
$vendor_name = detection.collection_elements.references.event.metadata.vendor_name
$product_name = detection.collection_elements.references.event.metadata.product_name

$vendor_name != ""
$product_name != ""

re.regex($rule_pack_name, `^Mandiant.*`)

match:
    $vendor_name, $product_name

outcome:
    $count = count_distinct(detection.id)

order:
    $count desc

limit:
    10
Mandiant Threat Defense Fornisce una visibilità chiara sulla ricerca proattiva delle minacce eseguita da Mandiant nel tuo ambiente. Descrive in dettaglio le attività di ricerca in corso e completate, evidenziando le tendenze scoperte durante il processo di ricerca. Rilevamenti 
$rule_pack_name = detection.detection.rule_set_display_name
re.regex($rule_pack_name, `^Mandiant.*`)

outcome:
    $count = count_distinct(detection.id)
Mandiant Threat Defense Fornisce una visibilità chiara sulla ricerca proattiva delle minacce eseguita da Mandiant nel tuo ambiente. Descrive in dettaglio le attività di ricerca in corso e completate, evidenziando le tendenze scoperte durante il processo di ricerca. I 100 host principali per conteggio rilevamenti 
$rule_pack_name = detection.detection.rule_set_display_name
$rule_name = detection.detection.rule_name
$hostname = group(detection.collection_elements.references.event.principal.hostname, detection.collection_elements.references.event.src.hostname, detection.collection_elements.references.event.target.hostname)

$hostname != ""

re.regex($rule_pack_name, `^Mandiant.*`)

match:
    $hostname

outcome:
    $count = count_distinct(detection.id)
    $unique_rules = count_distinct($rule_name)

order:
    $count desc

limit:
    100
Mandiant Threat Defense Fornisce una visibilità chiara sulla ricerca proattiva delle minacce eseguita da Mandiant nel tuo ambiente. Descrive in dettaglio le attività di ricerca in corso e completate, evidenziando le tendenze scoperte durante il processo di ricerca. I 100 asset principali per conteggio rilevamenti 
$rule_pack_name = detection.detection.rule_set_display_name
$rule_name = detection.detection.rule_name
$asset_id = group(detection.collection_elements.references.event.principal.asset_id, detection.collection_elements.references.event.src.asset_id, detection.collection_elements.references.event.target.asset_id)

$asset_id != ""

re.regex($rule_pack_name, `^Mandiant.*`)

match:
    $asset_id

outcome:
    $count = count_distinct(detection.id)
    $unique_rules = count_distinct($rule_name)

order:
    $count desc

limit:
    100
Mandiant Threat Defense Fornisce una visibilità chiara sulla ricerca proattiva delle minacce eseguita da Mandiant nel tuo ambiente. Descrive in dettaglio le attività di ricerca in corso e completate, evidenziando le tendenze scoperte durante il processo di ricerca. Prime 100 regole per numero di rilevamenti 
$rule_pack_name = detection.detection.rule_set_display_name
$rule_name = detection.detection.rule_name
$asset_id = group(detection.collection_elements.references.event.principal.asset_id, detection.collection_elements.references.event.src.asset_id, detection.collection_elements.references.event.target.asset_id)

re.regex($rule_pack_name, `^Mandiant.*`)

match:
    $rule_name

outcome:
    $count = count_distinct(detection.id)
    $asset_count = count_distinct($asset_id)

order:
    $count desc

limit:
    100
Mandiant Threat Defense Fornisce una visibilità chiara sulla ricerca proattiva delle minacce eseguita da Mandiant nel tuo ambiente. Descrive in dettaglio le attività di ricerca in corso e completate, evidenziando le tendenze scoperte durante il processo di ricerca. Rilevamenti per piattaforma 
$rule_pack_name = detection.detection.rule_set_display_name
$rule_name = detection.detection.rule_name
$platform = detection.collection_elements.references.event.principal.asset.platform_software.platform

$platform != "UNKNOWN_PLATFORM"

re.regex($rule_pack_name, `^Mandiant.*`)

match:
    $platform

outcome:
    $count = count_distinct(detection.id)

order:
    $count desc

limit:
    10
Mandiant Threat Defense Fornisce una visibilità chiara sulla ricerca proattiva delle minacce eseguita da Mandiant nel tuo ambiente. Descrive in dettaglio le attività di ricerca in corso e completate, evidenziando le tendenze scoperte durante il processo di ricerca. Rilevamenti per tipo di evento 
$rule_pack_name = detection.detection.rule_set_display_name
$rule_name = detection.detection.rule_name
$event_type = detection.collection_elements.references.event.metadata.event_type

re.regex($rule_pack_name, `^Mandiant.*`)

match:
    $event_type

outcome:
    $count = count_distinct(detection.id)

order:
    $count desc

limit:
    10
Mandiant Threat Defense Fornisce una visibilità chiara sulla ricerca proattiva delle minacce eseguita da Mandiant nel tuo ambiente. Descrive in dettaglio le attività di ricerca in corso e completate, evidenziando al contempo le tendenze scoperte durante la procedura di ricerca. I 100 domini principali per conteggio rilevamenti 
$rule_pack_name = detection.detection.rule_set_display_name
$rule_name = detection.detection.rule_name

$domain = group(detection.collection_elements.references.event.principal.administrative_domain, detection.collection_elements.references.event.target.administrative_domain, detection.collection_elements.references.event.about.administrative_domain, detection.collection_elements.references.event.principal.asset.network_domain, detection.collection_elements.references.event.target.asset.network_domain, detection.collection_elements.references.event.about.asset.network_domain)

$domain != ""

re.regex($rule_pack_name, `^Mandiant.*`)

match:
    $domain

outcome:
    $count = count_distinct(detection.id)
    $unique_rules = count_distinct($rule_name)

order:
    $count desc

limit:
    100
Mandiant Threat Defense Fornisce una visibilità chiara sulla ricerca proattiva delle minacce eseguita da Mandiant nel tuo ambiente. Descrive in dettaglio le attività di ricerca in corso e completate, evidenziando le tendenze scoperte durante il processo di ricerca. Le principali 10 tecniche MITRE ATT&CK® (scala logaritmica) 
$rule_pack_name = detection.detection.rule_set_display_name
$rule_name = detection.detection.rule_name

re.regex($rule_pack_name, `^Mandiant.*`)

$mitre_technique = if(detection.detection.rule_labels["technique"] = "", "Unassigned", detection.detection.rule_labels["technique"])

match:
    $mitre_technique

outcome:
    $count = count_distinct(detection.id)

order:
    $count desc

limit:
    10
NIST 800-53 - Controllo dell'accesso Fornisce visibilità sulle tendenze controllo dell'accesso NIST 800-53 e sui rischi di geolocalizzazione. Assicurati che l'elenco di riferimento NIST_Compliance_Assets sia creato per caricare i grafici e definire l'ambito dei dati. Rilevamento di località di accesso anomale 
detection.collection_elements.references.event.security_result.action = "ALLOW"
detection.detection.rule_name = "Login from Country Never Before Seen for a User Group"

$Country = strings.coalesce(detection.collection_elements.references.event.principal.location.country_or_region, detection.collection_elements.references.event.principal.ip_geo_artifact.location.country_or_region)
$Rulename = detection.detection.rule_name
$User = strings.coalesce(detection.collection_elements.references.event.principal.user.userid,detection.collection_elements.references.event.principal.user.user_display_name,
detection.collection_elements.references.event.principal.user.email_addresses,detection.collection_elements.references.event.target.user.userid,detection.collection_elements.references.event.target.user.user_display_name,detection.collection_elements.references.event.target.user.email_addresses)

match:
     $User, $Rulename, $Country

outcome:
    $Count = count(detection.id)

order:
    $Count desc
NIST 800-53 - Controllo dell'accesso Fornisce visibilità sulle tendenze controllo dell'accesso NIST 800-53 e sui rischi di geolocalizzazione. Assicurati che l'elenco di riferimento NIST_Compliance_Assets sia creato per caricare i grafici e definire l'ambito dei dati. Attività di accesso sospette 
detection.detection.rule_name = "Brute Force then Successful Login by User"

$Country = strings.coalesce(detection.collection_elements.references.event.principal.location.country_or_region, detection.collection_elements.references.event.principal.ip_geo_artifact.location.country_or_region)
$Rulename = detection.detection.rule_name
$User = strings.coalesce(detection.collection_elements.references.event.principal.user.userid,detection.collection_elements.references.event.principal.user.user_display_name,
detection.collection_elements.references.event.principal.user.email_addresses,detection.collection_elements.references.event.target.user.userid,detection.collection_elements.references.event.target.user.user_display_name,detection.collection_elements.references.event.target.user.email_addresses)

match:
     $User, $Rulename, $Country

outcome:
    $Count = count(detection.id)

order:
    $Count desc
Panoramica del traffico di rete Fornisce il monitoraggio in tempo reale del traffico di rete cloud e on-premise per IP, protocollo, avviso del fornitore e regione, consentendo un'analisi efficace del volume di traffico e dei potenziali problemi Utenti del rilevamento selezionato geografico 
detection.collection_elements.references.event.security_result.action = "ALLOW"

$Country = strings.coalesce(detection.collection_elements.references.event.principal.location.country_or_region, detection.collection_elements.references.event.principal.ip_geo_artifact.location.country_or_region)
$Rulename = detection.detection.rule_name
$Rulename = "Azure Multiple Geolocation Login Success" or $Rulename = "Login from Country Never Before Seen for a User Group"
$User = strings.coalesce(detection.collection_elements.references.event.principal.user.userid,detection.collection_elements.references.event.principal.user.user_display_name,
detection.collection_elements.references.event.principal.user.email_addresses,detection.collection_elements.references.event.target.user.userid,detection.collection_elements.references.event.target.user.user_display_name,detection.collection_elements.references.event.target.user.email_addresses)


match:
    $Country, $Rulename, $User, detection.collection_elements.references.event.metadata.event_type

outcome:
    $Count = count($Country)

order:
    $Count desc

limit:
    10
PCI - Alert Overview Fornisce una visualizzazione consolidata di avvisi e approfondimenti relativi a potenziali violazioni della sicurezza che interessano gli standard PCI.
Nota: richiede il caricamento dell'elenco di riferimenti PCI_ASSETS e l'ambito dei dati in modo corretto.		 Avvisi nel tempo per azione 
(detection.collection_elements.references.event.principal.hostname in %PCI_Assets or detection.collection_elements.references.event.principal.asset.hostname in %PCI_Assets or detection.collection_elements.references.event.target.hostname in %PCI_Assets or detection.collection_elements.references.event.target.asset.hostname in %PCI_Assets)

$Date = timestamp.get_date(detection.created_time.seconds)
$Action = detection.collection_elements.references.event.security_result.action

match:
    $Date,$Action

outcome:
    $Count = count(detection.id)

order:
    $Date asc
PCI - Alert Overview Fornisce una visualizzazione consolidata di avvisi e approfondimenti relativi a potenziali violazioni della sicurezza che interessano gli standard PCI.
Nota: richiede il caricamento dell'elenco di riferimenti PCI_ASSETS e l'ambito dei dati in modo corretto.		 Eventi per descrizione 
(detection.collection_elements.references.event.principal.hostname in %PCI_Assets or detection.collection_elements.references.event.principal.asset.hostname in %PCI_Assets or detection.collection_elements.references.event.target.hostname in %PCI_Assets or detection.collection_elements.references.event.target.asset.hostname in %PCI_Assets)

$Event_Name = detection.collection_elements.references.event.metadata.event_type
$Description = strings.coalesce(detection.collection_elements.references.event.security_result.summary,detection.collection_elements.references.event.security_result.description,detection.collection_elements.references.event.metadata.description)
$Log_Type = detection.collection_elements.references.event.metadata.log_type
$Source_IP = strings.coalesce(detection.collection_elements.references.event.principal.ip, detection.collection_elements.references.event.principal.asset.ip)
$Destination_IP = strings.coalesce(detection.collection_elements.references.event.target.ip, detection.collection_elements.references.event.target.asset.ip)
$Action = detection.collection_elements.references.event.security_result.action
$Destination_Hostname = strings.coalesce(detection.collection_elements.references.event.target.hostname, detection.collection_elements.references.event.target.asset.hostname)
$File = detection.collection_elements.references.event.target.process.file.full_path
$User = strings.coalesce(detection.collection_elements.references.event.principal.user.userid, detection.collection_elements.references.event.principal.user.user_display_name, detection.collection_elements.references.event.principal.user.email_addresses, detection.collection_elements.references.event.target.user.userid, detection.collection_elements.references.event.target.user.user_display_name, detection.collection_elements.references.event.target.user.email_addresses)

match:
    $Description, $Event_Name,$User, $Source_IP, $Destination_IP, $Action, $Destination_Hostname, $File, $Log_Type

outcome:
    $Count = count(detection.collection_elements.references.event.metadata.id)

order:
    $Count desc
PCI - Alert Overview Fornisce una visualizzazione consolidata di avvisi e approfondimenti relativi a potenziali violazioni della sicurezza che interessano gli standard PCI.
Nota: richiede il caricamento dell'elenco di riferimenti PCI_ASSETS e l'ambito dei dati in modo corretto.		 Top 10 degli avvisi 
(detection.collection_elements.references.event.principal.hostname in %PCI_Assets or detection.collection_elements.references.event.principal.asset.hostname in %PCI_Assets or detection.collection_elements.references.event.target.hostname in %PCI_Assets or detection.collection_elements.references.event.target.asset.hostname in %PCI_Assets)

$Rule_Name = detection.detection.rule_name
$Severity = detection.detection.severity

match:
    $Rule_Name,$Severity

outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
PCI - Alert Overview Fornisce una visualizzazione consolidata di avvisi e approfondimenti relativi a potenziali violazioni della sicurezza che interessano gli standard PCI.
Nota: richiede il caricamento e l'ambito dei dati corretti dell'elenco di riferimenti PCI_ASSETS.		 I 10 utenti principali (che generano avvisi) 
(detection.collection_elements.references.event.principal.hostname in %PCI_Assets or detection.collection_elements.references.event.principal.asset.hostname in %PCI_Assets or detection.collection_elements.references.event.target.hostname in %PCI_Assets or detection.collection_elements.references.event.target.asset.hostname in %PCI_Assets)

$User = strings.coalesce(detection.collection_elements.references.event.principal.user.userid,detection.collection_elements.references.event.principal.user.user_display_name,detection.collection_elements.references.event.principal.user.email_addresses,detection.collection_elements.references.event.target.user.userid, detection.collection_elements.references.event.target.user.user_display_name,detection.collection_elements.references.event.target.user.email_addresses)

match:
    $User

outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
PCI - Alert Overview Fornisce una visualizzazione consolidata di avvisi e approfondimenti relativi a potenziali violazioni della sicurezza che interessano gli standard PCI.
Nota: richiede il caricamento e l'ambito dei dati corretti dell'elenco di riferimenti PCI_ASSETS.		 Conteggio avvisi 
(detection.collection_elements.references.event.principal.hostname in %PCI_Assets or detection.collection_elements.references.event.principal.asset.hostname in %PCI_Assets or detection.collection_elements.references.event.target.hostname in %PCI_Assets or detection.collection_elements.references.event.target.asset.hostname in %PCI_Assets)

outcome:
    $Count = count(detection.id)
PCI - Alert Overview Fornisce una visualizzazione consolidata di avvisi e approfondimenti relativi a potenziali violazioni della sicurezza che interessano gli standard PCI.
Nota: richiede il caricamento e l'ambito dei dati corretti dell'elenco di riferimenti PCI_ASSETS.		 Conteggio endpoint (generazione di avvisi) 
(detection.collection_elements.references.event.principal.hostname in %PCI_Assets or detection.collection_elements.references.event.principal.asset.hostname in %PCI_Assets or detection.collection_elements.references.event.target.hostname in %PCI_Assets or detection.collection_elements.references.event.target.asset.hostname in %PCI_Assets)

$Hostname = strings.coalesce(detection.collection_elements.references.event.principal.hostname,detection.collection_elements.references.event.principal.asset.hostname,detection.collection_elements.references.event.target.hostname,detection.collection_elements.references.event.target.asset.hostname)

outcome:
    $Count = count_distinct($Hostname)
PCI - Alert Overview Fornisce una visualizzazione consolidata di avvisi e approfondimenti relativi a potenziali violazioni della sicurezza che interessano gli standard PCI.
Nota: richiede il caricamento dell'elenco di riferimenti PCI_ASSETS e l'ambito dei dati in modo corretto.		 I 10 endpoint principali (generazione di avvisi) 
(detection.collection_elements.references.event.principal.hostname in %PCI_Assets or detection.collection_elements.references.event.principal.asset.hostname in %PCI_Assets or detection.collection_elements.references.event.target.hostname in %PCI_Assets or detection.collection_elements.references.event.target.asset.hostname in %PCI_Assets)

$Hostname = strings.coalesce(detection.collection_elements.references.event.principal.hostname,detection.collection_elements.references.event.principal.asset.hostname,detection.collection_elements.references.event.target.hostname,detection.collection_elements.references.event.target.asset.hostname)

match:
    $Hostname

outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
PCI - Patch Management Fornisce una visione completa del ciclo di vita della gestione delle patch per aiutarti a monitorare e gestire gli aggiornamenti del sistema in modo efficace.
Nota: richiede il caricamento e l'ambito dei dati corretti degli elenchi di riferimento Patch_UPDATES e PCI_ASSETS.		 Sistemi non aggiornati - Entro 48 ore 
strings.coalesce($event.detection.collection_elements.references.event.principal.asset.hostname, $event.detection.collection_elements.references.event.principal.hostname) in %PCI_Assets
$Rule_Name = $event.detection.detection.rule_name
$Rule_Name = "systems_not_updating_within_48_hours"
$Hostname = strings.coalesce($event.detection.collection_elements.references.event.principal.asset.hostname, $event.detection.collection_elements.references.event.principal.hostname)


match:
    $Hostname
limit:
    50
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 Rilevamento delle regole per nome nel tempo 
$rulename = detection.detection.rule_name
$date = timestamp.get_date(detection.detection_time.seconds)
match:
    $rulename, $date
outcome:
    $detection_count = count_distinct(detection.id)
order:
    $date
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 Le 10 regole attive principali 
$Rulename = detection.detection.rule_name

match:
    $Rulename

outcome:
    $Count = count_distinct(detection.id)

order:
    $Count desc

limit:
        10
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 I 10 prodotti del fornitore che attivano i rilevamenti 
$Product_Name = detection.collection_elements.references.event.metadata.product_name

match:
    $Product_Name

outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 Rilevamento nel tempo per gravità 
$Severity = detection.detection.severity
$Date = timestamp.get_date(detection.detection_time.seconds)

match:
    $Date, $Severity

outcome:
    $Count = count_distinct(detection.id)

order:
    $Date asc
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 Rilevamento per gravità 
$Rulename = detection.detection.rule_name
$Severity = detection.detection.severity

match:
    $Rulename,$Severity

outcome:
    $Count = count_distinct(detection.id)

order:
    $Severity desc
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 I 10 IP principali per rilevamenti delle regole 
$ip = group(
    detection.collection_elements.references.event.principal.ip,
    detection.collection_elements.references.event.target.ip,
    detection.collection_elements.references.event.src.ip
    )
$ip != ""
match:
  $ip
outcome:
  $count = count(detection.id)
order:
  $count desc
limit: 10
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 I 10 dispositivi principali per rilevamento 
$Hostname = strings.coalesce(detection.collection_elements.references.event.principal.hostname, detection.collection_elements.references.event.principal.asset.hostname, detection.collection_elements.references.event.target.hostname,detection.collection_elements.references.event.target.asset.hostname)
$Severity = detection.detection.severity

match:
    $Hostname, $Severity

outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 Punteggio di rischio medio 
$Rule_Set = detection.detection.rule_set_display_name

match:
    $Rule_Set

outcome:
    $Detection_Count = count(detection.id)
    $Average_Risk_Score = math.round(sum(detection.detection.risk_score)/count(detection.id),2)

order:
    $Average_Risk_Score desc
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 Utenti a rischio 
detection.detection.risk_score > 0
detection.collection_elements.references.event.principal.user.userid != ""
detection.collection_elements.references.event.metadata.product_name != ""

$User = detection.collection_elements.references.event.principal.user.userid
$Product_Name = detection.collection_elements.references.event.metadata.product_name

match:
    $User, $Product_Name

outcome:
    $Risk_Score = max(detection.detection.risk_score)
    $Count = count(detection.id)
    $First_Time_Seen = timestamp.get_timestamp(min(detection.collection_elements.references.event.metadata.event_timestamp.seconds))
    $Last_Time_Seen = timestamp.get_timestamp(max(detection.collection_elements.references.event.metadata.event_timestamp.seconds))

order:
    $Risk_Score desc, $Count desc
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 I primi 10 IP di destinazione per azione 
$Destination_IP = strings.coalesce(detection.collection_elements.references.event.target.ip,detection.collection_elements.references.event.target.asset.ip)
$Action = detection.collection_elements.references.event.security_result.action

match:
    $Destination_IP,$Action

 outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 Almeno 10 regole attive 
$Rule_Name = detection.detection.rule_name

match:
    $Rule_Name

outcome:
    $Count = count_distinct(detection.id)

order:
    $Count asc

limit:
    10
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 Le 10 firme di minacce principali per prodotto del fornitore 
$Threat_Signature = strings.coalesce(detection.collection_elements.references.event.security_result.threat_name, detection.detection.detection_fields["threat_signature"])

$Product_Name = detection.collection_elements.references.event.metadata.product_name

match:
    $Threat_Signature, $Product_Name

outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 Tecniche e tattiche MITRE ATT&CK comuni 
$Tactic_ID = detection.collection_elements.references.event.security_result.attack_details.tactics.id
$Tactic_Name = detection.collection_elements.references.event.security_result.attack_details.tactics.name
$Tactic_Name != ""
$Technique_Name = detection.collection_elements.references.event.security_result.attack_details.techniques.name
$Tectinque_ID = detection.collection_elements.references.event.security_result.attack_details.techniques.id
$Sub_Technique = detection.collection_elements.references.event.security_result.attack_details.techniques.subtechnique_name

match:
    $Tactic_Name, $Tactic_ID, $Technique_Name, $Tectinque_ID, $Sub_Technique

outcome:

    $Ruleset_Count = count_distinct(detection.detection.rule_set_display_name)
    $Count = count_distinct(detection.id)


order:
    $Count desc
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 I 10 utenti principali per rilevamento 
$User = strings.coalesce(detection.collection_elements.references.event.principal.user.userid,detection.collection_elements.references.event.principal.user.user_display_name,
detection.collection_elements.references.event.principal.user.email_addresses,detection.collection_elements.references.event.target.user.userid,detection.collection_elements.references.event.target.user.user_display_name,detection.collection_elements.references.event.target.user.email_addresses)
$Severity = detection.detection.severity

match:
    $User, $Severity

 outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 Utenti principali per rilevamenti delle regole 
$user = group(
  detection.collection_elements.references.event.src.user.userid,
  detection.collection_elements.references.event.principal.user.userid,
  detection.collection_elements.references.event.target.user.userid
  )
$user != ""
match:
  $user
outcome:
  $count = count(detection.id)
order:
  $count desc
limit: 10
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 I 10 nomi delle regole principali per rilevamenti 
$rulename = detection.detection.rule_name
match:
    $rulename
outcome:
    $detection_count = count_distinct(detection.id)
order:
    $detection_count desc
limit:
    10
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 Rilevamento in base al livello di confidenza 
$Rule_Name = detection.detection.rule_name
$Confidence_Level = detection.detection.confidence
$Risk_Score = detection.detection.risk_score
$Threat_Name = detection.collection_elements.references.event.security_result.threat_name
$Severity = detection.detection.severity

match:
   $Rule_Name,$Severity,$Risk_Score, $Confidence_Level,$Threat_Name

outcome:
   $Count = count_distinct(detection.id)

order:
    $Risk_Score desc
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 Le 10 serie di regole attive principali 
$Ruleset = detection.detection.rule_set_display_name

match:
    $Ruleset

outcome:
    $Count = count_distinct(detection.id)

order:
    $Count desc

limit:
    10
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 I primi 10 IP di origine per azione 
$Action = detection.collection_elements.references.event.security_result.action
$Source_IP = strings.coalesce(detection.collection_elements.references.event.principal.ip,detection.collection_elements.references.event.principal.asset.ip)


match:
    $Action, $Source_IP

 outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 Le 10 categorie di minacce principali 
$Category = detection.collection_elements.references.event.security_result.category
$Category_Details= detection.collection_elements.references.event.security_result.category_details
$Threat_Name = detection.collection_elements.references.event.security_result.threat_name

match:
   $Category, $Category_Details

outcome:
    $Threat_Type = array_distinct($Threat_Name)
    $Count = count_distinct(detection.id)

order:
    $Count desc

limit:
    10
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 I 10 host principali per rilevamenti delle regole 
$host = group(detection.collection_elements.references.event.src.hostname,detection.collection_elements.references.event.principal.hostname,detection.collection_elements.references.event.target.hostname)
$host != ""
match:
  $host
outcome:
  $count = count(detection.id)
order:
  $count desc
limit: 10
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 Rilevamento delle regole per gravità nel tempo 
$severity = detection.detection.rule_labels["severity"]
$severity != ""
$detection_time = timestamp.get_date(detection.detection_time.seconds)
match:
   $severity, $detection_time
outcome:
   $count = count_distinct(detection.id)

order:
    $detection_time
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 Rilevamento delle regole nel tempo 
$date = timestamp.get_date(detection.detection_time.seconds)
match:
    $date
outcome:
    $total=count_distinct(detection.id)
order:
    $date
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 Almeno 10 serie di regole attive 
$Rule_Set = detection.detection.rule_set_display_name

match:
    $Rule_Set

outcome:
    $Count = count_distinct(detection.id)

order:
    $Count asc

limit:
    10
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 Rilevamento delle regole per gravità 
$severity = detection.detection.rule_labels["severity"]
$severity != ""
match:
   $severity
outcome:
   $count = count_distinct(detection.id)
Panoramica dei rilevamenti delle regole Fornisce un'analisi delle regole di rilevamento e dei pattern di minaccia per migliorare la visibilità. Utilizza queste informazioni per valutare il rendimento delle regole e rafforzare la risposta agli incidenti.
Nota: applica i filtri per perfezionare i risultati.		 Asset a rischio 
detection.detection.risk_score > 0
detection.collection_elements.references.event.principal.hostname != ""
detection.collection_elements.references.event.metadata.product_name != ""

$Hostname = detection.collection_elements.references.event.principal.hostname
$IP_Address = detection.collection_elements.references.event.principal.ip
$Product_Name = detection.collection_elements.references.event.metadata.product_name

match:
    $Hostname, $IP_Address, $Product_Name

outcome:
    $Risk_Score = max(detection.detection.risk_score)
    $Count = count(detection.id)
    $First_Time_Seen = timestamp.get_timestamp(min(detection.collection_elements.references.event.metadata.event_timestamp.seconds))
    $Last_Time_Seen = timestamp.get_timestamp(max(detection.collection_elements.references.event.metadata.event_timestamp.seconds))

order:
    $Risk_Score desc, $Count desc
Osservabilità delle regole Questa dashboard mostra le metriche sottostanti emesse dalle esecuzioni delle regole. P50 Ingestion Delay Minutes 
detection.type = "RULE_DETECTION"
detection.latency_metrics.newest_ingestion_time.seconds - detection.latency_metrics.newest_event_time.seconds < 3600
$rule_id = detection.detection.rule_id
$rule_name = detection.detection.rule_name

//detection.detection.rule_type = "MULTI_EVENT"

$did = detection.id
$day = timestamp.get_date(detection.created_time.seconds)


detection.latency_metrics.newest_ingestion_time.seconds != 0
detection.latency_metrics.newest_event_time.seconds != 0


match:
    $day
outcome:
    $p50_ingest_to_detection_delay = math.round(window.percentile(detection.latency_metrics.newest_ingestion_time.seconds - detection.latency_metrics.newest_event_time.seconds, 50) /60, 2)

order:
    $p50_ingest_to_detection_delay desc
Osservabilità delle regole Questa dashboard mostra le metriche sottostanti emesse dalle esecuzioni delle regole. Numeri di latenza per rilevamento - TOP 20 
$detect_id = detection.id
$rule_name = detection.detection.rule_name
$rule_id = detection.detection.rule_id
$detectionTime = detection.created_time.seconds

detection.type = "RULE_DETECTION"

detection.latency_metrics.newest_ingestion_time.seconds != 0
detection.latency_metrics.newest_event_time.seconds != 0

detection.collection_elements.references.event.metadata.log_type != ""
$logType = detection.collection_elements.references.event.metadata.log_type

match:
  $rule_name, $detect_id

outcome:
  $ingestion_deleay = math.round( (max(detection.latency_metrics.newest_ingestion_time.seconds) - max(detection.latency_metrics.newest_event_time.seconds)) / 60, 1)
  $ingestion_to_detection = math.round((max(detection.created_time.seconds) - max(detection.latency_metrics.newest_ingestion_time.seconds)) / 60, 1)
  $event_to_deteciton = math.round((max(detection.created_time.seconds) - max(detection.latency_metrics.newest_event_time.seconds)) / 60, 1)

order:
  $ingestion_to_detection desc

limit:
  20
Osservabilità delle regole Questa dashboard mostra le metriche sottostanti emesse dalle esecuzioni delle regole. Minuti di latenza dall'importazione al rilevamento P50 
detection.type = "RULE_DETECTION"
detection.latency_metrics.newest_ingestion_time.seconds - detection.latency_metrics.newest_event_time.seconds < 3600
$rule_id = detection.detection.rule_id
$rule_name = detection.detection.rule_name

//detection.detection.rule_type = "MULTI_EVENT"

$did = detection.id
$day = timestamp.get_date(detection.created_time.seconds)

detection.created_time.seconds != 0
detection.latency_metrics.newest_ingestion_time.seconds != 0
detection.latency_metrics.newest_event_time.seconds != 0


match:
    $day
outcome:
    $p50_ingest_to_detection_delay = math.round(window.percentile(detection.created_time.seconds - detection.latency_metrics.newest_ingestion_time.seconds, 50) /60, 1)

order:
    $p50_ingest_to_detection_delay desc
Osservabilità delle regole Questa dashboard mostra le metriche sottostanti emesse dalle esecuzioni delle regole. Latenza di rilevamento 
detection.type = "RULE_DETECTION"
//$rule_id = detection.detection.rule_id
$rule_type = detection.detection.rule_type
$rule_name = detection.detection.rule_name
$rule_freq = detection.rule_run_frequency

//detection.detection.rule_type = "MULTI_EVENT"

detection.latency_metrics.newest_ingestion_time.seconds != 0
detection.latency_metrics.newest_event_time.seconds != 0
detection.created_time.seconds != 0

$did = detection.id

match:
    $rule_name, $rule_freq, $rule_type
outcome:
    $detect_count = count_distinct($did)

    $avg_ingest_delay = math.round(window.percentile(detection.latency_metrics.newest_ingestion_time.seconds - detection.latency_metrics.newest_event_time.seconds, 50) / 60, 2)
    $p50_ingest_to_detection_delay = math.round(window.percentile(detection.created_time.seconds - detection.latency_metrics.newest_ingestion_time.seconds, 50) /60, 1)
    $p90_ingest_to_detection_delay = math.round(window.percentile(detection.created_time.seconds - detection.latency_metrics.newest_ingestion_time.seconds, 90) /60, 1)

    $p50_event_to_detection_delay = math.round(window.percentile(detection.created_time.seconds - detection.latency_metrics.newest_event_time.seconds, 50) / 60, 1)
    $p90_event_to_detection_delay = math.round(window.percentile(detection.created_time.seconds - detection.latency_metrics.newest_event_time.seconds, 90) /60, 1)

order:
    $p50_ingest_to_detection_delay desc
Osservabilità delle regole Questa dashboard mostra le metriche sottostanti emesse dalle esecuzioni delle regole. Minuti di latenza dall'importazione al rilevamento P90 
detection.type = "RULE_DETECTION"
$rule_id = detection.detection.rule_id
$rule_name = detection.detection.rule_name


$did = detection.id
$day = timestamp.get_date(detection.created_time.seconds)

detection.latency_metrics.newest_ingestion_time.seconds != 0
detection.latency_metrics.newest_event_time.seconds != 0
detection.created_time.seconds != 0

match:
    $day
outcome:
    $p90_ingest_to_detection_delay = math.round(window.percentile(detection.created_time.seconds - detection.latency_metrics.newest_ingestion_time.seconds, 90) /60, 1)

order:
    $p90_ingest_to_detection_delay desc
Osservabilità delle regole Questa dashboard mostra le metriche sottostanti emesse dalle esecuzioni delle regole. Conteggi dei rilevamenti in base ai dettagli di tempistica (primari o di riproduzione) 
$detection_timing_details = detection.detection_timing_details
$detection_id = detection.id
detection.created_time.seconds != 0
$day = timestamp.get_date(detection.created_time.seconds)
$detection_type = detection.type

match:
    $day, $detection_timing_details

outcome:
    $total_detections = count_distinct($detection_id)


order:
    $day desc
Panoramica della gestione della sicurezza Fornisce metriche chiave sull'attività relativa ai casi e sulle tendenze degli incidenti per aiutare i leader a monitorare i progressi in materia di sicurezza. Utilizza questi approfondimenti per identificare i rischi e apportare miglioramenti basati sui dati all'efficacia della sicurezza. Campagne di minaccia osservate - Ultimi 7 giorni 
detection.detection.rule_name = /ioc/ nocase

$Threat_Campaign = detection.collection_elements.references.entity.metadata.threat.campaigns
$Threat_Campaign != ""

match:
    $Threat_Campaign

outcome:
    $Count = count_distinct(detection.id)

order:
    $Count desc
Panoramica della gestione della sicurezza Fornisce metriche chiave sull'attività relativa ai casi e sulle tendenze degli incidenti per aiutare i leader a monitorare i progressi in materia di sicurezza. Utilizza questi approfondimenti per identificare i rischi e apportare miglioramenti basati sui dati all'efficacia della sicurezza. Soggetti malintenzionati osservati - Ultimi 7 giorni 
detection.detection.rule_name = /ioc/ nocase

$Threat_Actor = detection.collection_elements.references.entity.metadata.threat.associations.name
$Threat_Actor != ""

match:
    $Threat_Actor

outcome:
    $Count = count_distinct(detection.id)

order:
    $Count desc
Panoramica della gestione della sicurezza Fornisce metriche chiave sull'attività relativa ai casi e sulle tendenze degli incidenti per aiutare i leader a monitorare i progressi in materia di sicurezza. Utilizza questi approfondimenti per identificare i rischi e apportare miglioramenti basati sui dati all'efficacia della sicurezza. 
detection.detection.alert_state = "ALERTING"

outcome:
    $total = count_distinct(detection.id)
Panoramica della gestione della sicurezza Fornisce metriche chiave sull'attività relativa ai casi e sulle tendenze degli incidenti per aiutare i leader a monitorare i progressi in materia di sicurezza. Utilizza questi approfondimenti per identificare i rischi e apportare miglioramenti basati sui dati all'efficacia della sicurezza. 
outcome:
    $Count = count_distinct(detection.id)
Gestione della postura di sicurezza Fornisce una panoramica in tempo reale di minacce, incidenti e vulnerabilità, inclusi rilevamenti e monitoraggio degli asset. Consente ai team di sicurezza di valutare la postura del rischio e implementare strategie di correzione efficaci per semplificare la risposta agli incidenti. I 10 principali autori di minacce che prendono di mira l'organizzazione 
detection.detection.rule_name = /ioc/ nocase

$Threat_Actor = detection.collection_elements.references.entity.metadata.threat.associations.name
$Threat_Actor != ""
match:
    $Threat_Actor

outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
Gestione della postura di sicurezza Fornisce una panoramica in tempo reale di minacce, incidenti e vulnerabilità, inclusi rilevamenti e monitoraggio degli asset. Consente ai team di sicurezza di valutare la postura del rischio e implementare strategie di correzione efficaci per semplificare la risposta agli incidenti. Avvisi UEBA 
detection.detection.ruleset_category_display_name = "Risk Analytics for UEBA"
detection.detection.alert_state = "ALERTING"

$Rule_Name = detection.detection.rule_name
$Hostname = strings.coalesce(detection.collection_elements.references.event.principal.hostname, detection.collection_elements.references.event.principal.asset.hostname, detection.collection_elements.references.event.target.hostname, detection.collection_elements.references.event.target.asset.hostname)
$User = strings.coalesce(detection.collection_elements.references.event.principal.user.user_display_name, detection.collection_elements.references.event.principal.user.email_addresses, detection.collection_elements.references.event.principal.user.userid,detection.collection_elements.references.event.target.user.user_display_name, detection.collection_elements.references.event.target.user.email_addresses, detection.collection_elements.references.event.target.user.userid)

match:
  $Rule_Name, $Hostname, $User

outcome:
  $Count = count(detection.id)

order:
  $Count desc
Gestione della postura di sicurezza Fornisce una panoramica in tempo reale di minacce, incidenti e vulnerabilità, inclusi rilevamenti e monitoraggio degli asset. Consente ai team di sicurezza di valutare la postura del rischio e implementare strategie di correzione efficaci per semplificare la risposta agli incidenti. Rilevamenti nel tempo 
$Date = timestamp.get_date(detection.created_time.seconds)

match:
    $Date

outcome:
    $Detection_Count = count(detection.id)

order:
    $Date asc
Gestione della postura di sicurezza Fornisce una panoramica in tempo reale di minacce, incidenti e vulnerabilità, inclusi rilevamenti e monitoraggio degli asset. Consente ai team di sicurezza di valutare la postura del rischio e implementare strategie di correzione efficaci per semplificare la risposta agli incidenti. Rilevamenti per gravità 
$Rule_Name = detection.detection.rule_name
$Severity = detection.collection_elements.references.event.security_result.severity

match:
    $Severity, $Rule_Name

outcome:
    $Detection_Count = count(detection.id)

order:
    $Severity desc
Gestione della postura di sicurezza Fornisce una panoramica in tempo reale di minacce, incidenti e vulnerabilità, inclusi rilevamenti e monitoraggio degli asset. Consente ai team di sicurezza di valutare la postura del rischio e implementare strategie di correzione efficaci per semplificare la risposta agli incidenti. I 10 rilevamenti principali per nome 
$Rule_Name = detection.detection.rule_name

match:
    $Rule_Name

outcome:
    $Detection_Count = count(detection.id)

order:
    $Detection_Count desc

limit:
    10
Gestione della postura di sicurezza Fornisce una panoramica in tempo reale di minacce, incidenti e vulnerabilità, inclusi rilevamenti e monitoraggio degli asset. Consente ai team di sicurezza di valutare la postura del rischio e implementare strategie di correzione efficaci per semplificare la risposta agli incidenti. I 10 avvisi cloud principali 
detection.detection.ruleset_category_display_name = "Cloud Threats"
detection.detection.alert_state = "ALERTING"

$Rule_Name = detection.detection.rule_name
$Targeted_Resources = strings.coalesce(detection.collection_elements.references.event.target.application, detection.collection_elements.references.event.target.resource.name)
$User = strings.coalesce(detection.collection_elements.references.event.principal.user.user_display_name, detection.collection_elements.references.event.principal.user.email_addresses, detection.collection_elements.references.event.principal.user.userid,detection.collection_elements.references.event.target.user.user_display_name, detection.collection_elements.references.event.target.user.email_addresses, detection.collection_elements.references.event.target.user.userid)

match:
  $Rule_Name, $Targeted_Resources, $User

outcome:
  $Count = count(detection.id)

order:
  $Count desc

limit:
      10
Gestione della postura di sicurezza Fornisce una panoramica in tempo reale di minacce, incidenti e vulnerabilità, inclusi rilevamenti e monitoraggio degli asset. Consente ai team di sicurezza di valutare la postura del rischio e implementare strategie di correzione efficaci per semplificare la risposta agli incidenti. Prime 10 campagne che hanno come target l'organizzazione 
detection.detection.rule_name = /ioc/ nocase

$Threat_Campaign = detection.collection_elements.references.entity.metadata.threat.campaigns
$Threat_Campaign != ""
match:
    $Threat_Campaign

outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
Gestione della postura di sicurezza Fornisce una panoramica in tempo reale di minacce, incidenti e vulnerabilità, inclusi rilevamenti e monitoraggio degli asset. Consente ai team di sicurezza di valutare la postura del rischio e implementare strategie di correzione efficaci per semplificare la risposta agli incidenti. I 10 host principali per rilevamenti 
$Rule_Name = detection.detection.rule_name
$Hostname = strings.coalesce(detection.collection_elements.references.event.principal.hostname, detection.collection_elements.references.event.principal.asset.hostname, detection.collection_elements.references.event.target.hostname, detection.collection_elements.references.event.target.asset.hostname)
$Hostname != ""
match:
    $Hostname

outcome:
    $Detection_Count = count_distinct(detection.id)

order:
    $Detection_Count desc

limit:
    10
Panoramica di Threat Intelligence Fornisce informazioni in tempo reale su indicatori di compromissione e punteggi di rischio, consentendo un rilevamento più rapido delle minacce emergenti all'infrastruttura. Campagne di minaccia per rilevamenti 
detection.detection.rule_name = /ioc/ nocase
detection.collection_elements.references.entity.metadata.threat.campaigns !=""

$Rule_Name = detection.detection.rule_name
$Campaigns = detection.collection_elements.references.entity.metadata.threat.campaigns
$Campaigns != ""
match:
    $Campaigns, $Rule_Name

outcome:
    $Count = count(detection.id)

order:
    $Count desc
Panoramica di Threat Intelligence Fornisce informazioni in tempo reale su indicatori di compromissione e punteggi di rischio, consentendo un rilevamento più rapido delle minacce emergenti all'infrastruttura. Rilevamenti nel tempo per aggressore 
detection.detection.rule_name = /ioc/
detection.collection_elements.references.entity.metadata.threat.associations.type = "THREAT_ACTOR"

$Date = timestamp.get_date(detection.collection_elements.references.entity.metadata.event_metadata.event_timestamp.seconds)
$Threat_Actor = detection.collection_elements.references.entity.metadata.threat.associations.name
$Threat_Actor != ""
match:
    $Date, $Threat_Actor

outcome:
    $Count = count(detection.id)

order:
    $Count asc
Panoramica di Threat Intelligence Fornisce informazioni in tempo reale su indicatori di compromissione e punteggi di rischio, consentendo un rilevamento più rapido delle minacce emergenti all'infrastruttura. Rilevamenti nel tempo per tipo di IOC 
detection.detection.rule_name = /ioc/ nocase

$Date = timestamp.get_date(detection.collection_elements.references.entity.metadata.event_metadata.event_timestamp.seconds)
$IOC_Type = detection.collection_elements.references.entity.metadata.entity_type

match:
    $Date , $IOC_Type

outcome:
    $Count = count(detection.id)

order:
    $Count desc
Panoramica di Threat Intelligence Fornisce informazioni in tempo reale su indicatori di compromissione e punteggi di rischio, consentendo un rilevamento più rapido delle minacce emergenti all'infrastruttura. Autori di minacce per rilevamenti 
detection.detection.rule_name = /ioc/ nocase
detection.collection_elements.references.entity.metadata.threat.associations.type = "THREAT_ACTOR"

$Rule_Name = detection.detection.rule_name
$Threat_Actor = detection.collection_elements.references.entity.metadata.threat.associations.name
$Threat_Actor != ""
match:
    $Threat_Actor, $Rule_Name

outcome:
    $Count = count(detection.id)

order:
    $Count desc
Audit del ciclo di vita degli utenti Fornisce una visualizzazione dettagliata delle attività di gestione degli account utente. Consente di garantire che le norme di provisioning e deprovisioning vengano seguite durante il ciclo di vita dell'utente.
Nota: applica i filtri per perfezionare i risultati.		 Account inattivi di recente 
detection.collection_elements.references.event.metadata.event_type = "USER_LOGIN"

$User = strings.coalesce(detection.collection_elements.references.event.target.user.email_addresses, detection.collection_elements.references.event.target.user.userid, detection.collection_elements.references.event.target.user.windows_sid)
$User != ""

match:
    $User

outcome:
    $Last_Login_Time = max(detection.collection_elements.references.event.metadata.event_timestamp.seconds)
    $Last_Login_Timestamp = timestamp.get_timestamp($Last_Login_Time, "%F %T ")
    $Days_Since_Login = math.round((timestamp.current_seconds() - $Last_Login_Time )/ 86400)
    $Status = if($Last_Login_Time != 0 AND ($Days_Since_Login >= 180), "Dormant Account (≥180 Days)", if($Last_Login_Time != 0 AND ($Days_Since_Login >= 90), "Dormant Account (≥90 Days)", "Recently Dormant Account"))

order:
    $Days_Since_Login desc

unselect:
    $Last_Login_Time

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.