Descripción general de las detecciones seleccionadas de Applied Threat Intelligence

En este documento, se proporciona una descripción general de los conjuntos de reglas de Curated Detection en la categoría Priorización seleccionada de la información sobre amenazas aplicada, que está disponible en Google Security Operations, Security Operations Enterprise Plus. Estas reglas aprovechan la inteligencia contra amenazas de Mandiant para identificar de forma proactiva las amenazas de alta prioridad y alertar sobre ellas.

Esta categoría incluye los siguientes conjuntos de reglas que admiten la función Applied Threat Intelligence en la SIEM de Google Security Operations:

• Indicadores de prioridad de red de prioridad de vulneración: Identifica los indicadores de compromiso (Indicators of Compromise, IOC) relacionados con la red en datos de eventos mediante Mandiant Threat Intelligence. Prioriza los IOC con la etiqueta Incumplimiento activo.
• Indicadores de prioridad de host de vulneración: Identifica los IOC relacionados con el host en los datos de eventos utilizando la inteligencia de amenazas de Mandiant. Prioriza los IOC con la etiqueta Incumplimiento activo.
• Indicadores de red de alta prioridad: Identifica los IOC relacionados con la red en datos de eventos mediante Mandiant Threat Intelligence. Prioriza los IOC con la etiqueta Alta.
• Indicadores de host de alta prioridad: Identifica los IOC relacionados con el host en los datos de eventos mediante Mandiant Threat Intelligence. Prioriza los IOC con la etiqueta Alta.

Cuando habilitas los conjuntos de reglas, la SIEM de Google Security Operations comienza a evaluar tus datos de eventos con los datos de Mandiant Threat Intelligence. Si una o más reglas identifican una coincidencia con un IOC, ya sea con la etiqueta Incumplimiento activo o Alta, se genera una alerta. Para obtener más información sobre cómo habilitar los conjuntos de reglas de detección seleccionadas, consulta Habilita todos los conjuntos de reglas.

Dispositivos y tipos de registros compatibles

Puedes transferir datos de cualquier tipo de registro que admita la SIEM de Google Security Operations con un analizador predeterminado. Para obtener la lista, consulta Tipos de registros compatibles y analizadores predeterminados.

Google Security Operations evalúa tus datos de eventos de UDM frente a los IOC seleccionados por la inteligencia de amenazas de Mandiant e identifica si existe una coincidencia de dominio, dirección IP o hash de archivo. Analiza los campos de UDM que almacenan un dominio, una dirección IP y un hash de archivo.

Si reemplazas un analizador predeterminado por uno personalizado y cambias el campo de UDM en el que se almacena un dominio, una dirección IP o un hash de archivo, puedes afectar el comportamiento de estos conjuntos de reglas.

Los conjuntos de reglas usan los siguientes campos de UDM para determinar la prioridad, como Incumplimiento activo o Incumplimiento alto.

• network.direction
• security_result.[]action

Para los indicadores de dirección IP, se requiere network.direction. Si el campo network.direction no se propaga en el evento UDM, Applied Threat Intelligence verifica los campos principal.ip y target.ip con los rangos de direcciones IP internas RFC 1918 para determinar la dirección de la red. Si esta verificación no aporta claridad, se considera que la dirección IP es externa al entorno del cliente.

Ajuste de las alertas que muestra la categoría Applied Threat Intelligence

Puedes reducir la cantidad de detecciones que genera una regla o un conjunto de reglas mediante las exclusiones de reglas.

En la exclusión de reglas, define los criterios de un evento de UDM que excluyan el evento para que el conjunto de reglas no lo evalúe. Las reglas del conjunto de reglas no evaluarán los eventos con valores en el campo de UDM especificado.

Por ejemplo, puedes excluir eventos en función de la siguiente información:

• principal.hostname
• principal.ip
• target.domain.name
• target.file.sha256

Consulta Configura exclusiones de reglas para obtener más información sobre cómo crear exclusiones de reglas.

Si un conjunto de reglas utiliza una lista de referencia predefinida, la descripción de la lista de referencia proporciona detalles sobre qué campo de UDM se evalúa.