Descripción general de las detecciones seleccionadas de la información sobre amenazas aplicada
En este documento, se proporciona una descripción general de los conjuntos de reglas de Curated Detection en el La categoría Priorización seleccionada de la información sobre amenazas aplicada, que está disponible en Google Security Operations, Security Operations Enterprise Plus. Estas reglas aprovechan Mandiant Threat Intelligence para identificar de forma proactiva las amenazas de alta prioridad y alertar sobre ellas.
Esta categoría incluye los siguientes conjuntos de reglas que admiten la función de inteligencia de amenazas aplicada en el SIEM de Google Security Operations:
- Indicadores de red de prioridad de incumplimiento activo: Identifica los indicadores de compromiso (IOC) relacionados con la red en los datos de eventos con la inteligencia contra amenazas de Mandiant. Prioriza los IOC con la etiqueta de ataque activo.
- Indicadores de prioridad de host de vulneración: Identifica los IOC relacionados con el host en los datos de eventos utilizando la inteligencia de amenazas de Mandiant. Prioriza los IOC con la etiqueta Incumplimiento activo.
- Indicadores de red de alta prioridad: Identifica los IOC relacionados con la red en datos de eventos mediante Mandiant Threat Intelligence. Prioriza los IOC con la etiqueta Alta.
- Indicadores de host de alta prioridad: Identifica los IOC relacionados con el host en los datos de eventos mediante Mandiant Threat Intelligence. Prioriza los IOC con la etiqueta Alta.
Cuando habilitas los conjuntos de reglas, la SIEM de Google Security Operations comienza a evaluar tus datos de eventos contra los datos de Mandiant Threat Intelligence. Si una o más reglas identifican una coincidencia a un IOC con la etiqueta Incumplimiento activo o alto, se genera una alerta. Para obtener más información sobre cómo habilitar conjuntos de reglas de detección seleccionados, consulta Habilita todos los conjuntos de reglas.
Tipos de dispositivos y registros compatibles
Puedes transferir datos de cualquier tipo de registro que admita la SIEM de Google Security Operations con un analizador predeterminado. Para ver la lista, consulta Tipos de registros admitidos y analizadores predeterminados.
Google Security Operations evalúa tus datos de eventos de la AUA en función de los IoC seleccionados por la inteligencia de amenazas de Mandiant y, luego, identifica si hay una coincidencia de dominio, dirección IP o hash de archivo. Analiza los campos de la UDM que almacenan un dominio, una dirección IP y un hash de archivo.
Si reemplazas un analizador predeterminado por uno personalizado y cambias el campo de UDM en el que se almacena un dominio, una dirección IP o un hash de archivo, puedes afectar el comportamiento de estos conjuntos de reglas.
Los conjuntos de reglas utilizan los siguientes campos UDM para determinar la prioridad, como el siguiente Incumplimiento activo o alto.
network.directionsecurity_result.[]action
Para los indicadores de dirección IP, se requiere network.direction. Si el botón
El campo network.direction no se propaga en el evento UDM. Luego, se usa Amenaza aplicada.
La inteligencia verifica los campos principal.ip y target.ip con el estándar RFC 1918.
y los rangos de direcciones IP internas
para determinar la dirección de la red. Si esta verificación
no aporta claridad, se considera que la dirección IP es externa a
el entorno del cliente.
Ajuste de las alertas que muestra la categoría Applied Threat Intelligence
Puedes reducir la cantidad de detecciones que genera una regla o un conjunto de reglas con las exclusiones de reglas.
En la exclusión de reglas, define los criterios de un evento de UDM que excluyan el evento sea evaluado por el conjunto de reglas. Eventos con valores en el modo especificado Las reglas del conjunto de reglas no evaluarán el campo UDM.
Por ejemplo, puedes excluir eventos en función de la siguiente información:
principal.hostnameprincipal.iptarget.domain.nametarget.file.sha256
Consulta Configura exclusiones de reglas. para obtener información sobre cómo crear exclusiones de reglas.
Si un conjunto de reglas usa una lista de referencia predefinida, la descripción de la lista de referencia proporciona detalles sobre qué campo de la AUA se evalúa.