이 문서에서는 Google Security Operations Enterprise Plus에서 제공되는 Applied Threat Intelligence 선별된 우선순위 카테고리에 있는 선별된 감지 규칙 집합을 간략하게 설명합니다. 이러한 규칙은 Mandiant 위협 인텔리전스를 사용하여 높은 우선순위 위협을 사전에 식별하고 알림을 표시합니다.
선별된 감지 규칙 집합
선별된 우선순위 카테고리에는 Google SecOps에서 Applied Threat Intelligence 기능을 지원하는 다음과 같은 규칙 집합이 포함되어 있습니다.
활성 위반 우선순위 네트워크 지표: Mandiant 위협 인텔리전스를 사용하여 이벤트 데이터에서 네트워크 관련 침해 지표 (IoC)를 감지하고 '활성 위반' 라벨로 IoC에 우선순위를 지정합니다.
활성 침해 우선순위 호스트 지표: Mandiant 위협 인텔리전스를 사용하여 이벤트 데이터에서 호스트 관련 IoC를 감지하고 '활성 침해' 라벨로 우선순위를 지정합니다.
높은 우선순위 네트워크 지표: Mandiant 위협 인텔리전스를 사용하여 이벤트 데이터에서 네트워크 관련 IoC를 식별하고 '높음' 라벨로 우선순위를 지정합니다.
우선순위가 높은 호스트 지표: Mandiant 위협 인텔리전스를 사용하여 이벤트 데이터에서 호스트 관련 IoC를 감지하고 '높음' 라벨로 우선순위를 지정합니다.
인바운드 IP 주소 인증 표시기: 인바운드 네트워크 방향으로 로컬 인프라에 인증하는 IP 주소를 식별하고 '높음' 라벨로 우선순위를 지정합니다.
중간 우선순위 네트워크 지표: Mandiant 위협 인텔리전스를 사용하여 이벤트 데이터에서 네트워크 관련 IoC를 식별하고 '중간' 라벨을 사용하여 우선순위를 지정합니다.
중간 우선순위 호스트 지표: Mandiant 위협 인텔리전스를 사용하여 이벤트 데이터에서 호스트 관련 IoC를 식별하고 '중간' 라벨로 우선순위를 지정합니다.
이 규칙 집합을 사용 설정하면 Google SecOps가 Mandiant 위협 인텔리전스 데이터에 대해 이벤트 데이터 평가를 시작합니다. 규칙에서 'Active breach' 또는 'High' 라벨이 지정된 IoC와 일치하는 항목을 감지하면 알림이 생성됩니다.
선별된 감지 규칙 세트를 사용 설정하는 방법에 대한 자세한 내용은 모든 규칙 세트 사용 설정을 참고하세요.
지원되는 기기 및 로그 유형
Google SecOps가 기본 파서로 지원하는 모든 로그 유형에서 데이터를 수집할 수 있습니다 (지원되는 로그 유형 및 기본 파서 참고).
Google SecOps는 Mandiant 위협 인텔리전스로 선별된 IoC에 대해 UDM 이벤트 데이터를 평가하고 도메인, IP 주소, 파일 해시, URL의 일치 항목을 식별합니다. 그런 다음 이러한 규칙 집합을 저장하는 UDM 필드를 분석합니다.
기본 파서를 맞춤 파서로 바꾸고 도메인, IP 주소, 파일 해시 또는 URL이 저장된 UDM 필드를 변경하면 이러한 규칙 집합의 동작에 영향을 미칠 수 있습니다.
규칙 집합은 Google SecOps 이벤트에서 다음 UDM 필드를 사용합니다.
이러한 필드는 Mandiant Threat Intelligence의 우선순위 지정 기능과 결합되어 활성 침해, 높음 또는 중간과 같은 우선순위 수준을 결정하는 데 도움이 됩니다.
network.direction
security_result.[]action
event_count (활성 위반 IP 주소만 해당)
IP 주소 지표의 경우 network.direction이 필요합니다. UDM 이벤트에 network.direction 필드가 채워지지 않으면 Applied Threat Intelligence가 principal.ip 및 target.ip 필드를 RFC 1918 내부 IP 주소 범위와 대조하여 네트워크 방향을 결정합니다. 이 검사에서 명확한 결과를 제공하지 않으면 IP 주소가 고객 환경 외부에 있는 것으로 간주됩니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-04(UTC)"],[[["\u003cp\u003eApplied Threat Intelligence in Google SecOps Enterprise Plus utilizes Mandiant threat intelligence to proactively detect and alert on high-priority threats within your network.\u003c/p\u003e\n"],["\u003cp\u003eThis feature includes rule sets that identify network and host-related Indicators of Compromise (IOCs), prioritizing those labeled as "Active Breach" or "High" based on Mandiant intelligence.\u003c/p\u003e\n"],["\u003cp\u003eGoogle SecOps evaluates Universal Data Model (UDM) event data against Mandiant-curated IOCs, matching domains, IP addresses, or file hashes, and generates alerts upon finding matches.\u003c/p\u003e\n"],["\u003cp\u003eUsers can tune alerts by creating rule exclusions based on specified UDM fields like \u003ccode\u003eprincipal.hostname\u003c/code\u003e, \u003ccode\u003eprincipal.ip\u003c/code\u003e, \u003ccode\u003etarget.domain.name\u003c/code\u003e, and \u003ccode\u003etarget.file.sha256\u003c/code\u003e to refine the detection scope.\u003c/p\u003e\n"],["\u003cp\u003eThe rule sets rely on specific UDM fields, such as \u003ccode\u003enetwork.direction\u003c/code\u003e and \u003ccode\u003esecurity_result.[]action\u003c/code\u003e for host and network data, and the \u003ccode\u003eprincipal.ip\u003c/code\u003e, \u003ccode\u003eprincipal.asset.ip\u003c/code\u003e, and \u003ccode\u003esrc.ip\u003c/code\u003e for Inbound IP Address Authentication to determine threat priority and network direction.\u003c/p\u003e\n"]]],[],null,["# Applied Threat Intelligence curated detections overview\n=======================================================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n\nThis document provides an overview of the Curated Detection rule sets within the\nApplied Threat Intelligence Curated Prioritization category, available\nin Google Security Operations Enterprise Plus. These rules use\nMandiant Threat Intelligence to proactively identify and alert on high-priority\nthreats.\n\nCurated detection rule sets\n---------------------------\n\nThe Curated Prioritization category includes the following rule sets that support the Applied Threat\nIntelligence feature in Google SecOps:\n\n- **Active Breach Priority Network Indicators**: Detects network-related Indicators of Compromise (IoCs) in event data using Mandiant Threat Intelligence and prioritizes IoCs with the 'Active breach' label.\n- **Active Breach Priority Host Indicators**: Detects host-related IoCs in event data using Mandiant Threat Intelligence and prioritizes them with the 'Active breach' label.\n- **High Priority Network Indicators**: Identifies network-related IoCs in event data using Mandiant Threat Intelligence and prioritizes them with the 'High' label.\n- **High Priority Host Indicators**: Detects host-related IoCs in event data using Mandiant Threat Intelligence and prioritizes them with the High label.\n- **Inbound IP Address Authentication Indicators**: Identifies IP addresses that are authenticating to local infrastructure in an inbound network direction and prioritizes them with the 'High' label.\n- **Medium Priority Network Indicators**: Identifies network-related IoCs in event data using Mandiant Threat Intelligence and prioritizes them with the 'Medium' label.\n- **Medium Priority Host Indicators**: Identifies host-related IoCs in event data using Mandiant Threat Intelligence and prioritizes them with the 'Medium' label.\n\nWhen you enable the rule sets, Google SecOps starts evaluating\nyour event data against Mandiant Threat Intelligence data. If any rule detects\na match\nto an IoC labeled 'Active breach' or 'High', an alert is generated.\nFor more information about how to enable curated detection rule sets, see\n[Enable all rule sets](/chronicle/docs/detection/curated-detections#enable-configure).\n\nSupported devices and log types\n-------------------------------\n\nYou can ingest data from any log type that Google SecOps supports\nwith a default parser (see [Supported log types and default parsers](/chronicle/docs/ingestion/parser-list/supported-default-parsers)).\n\nGoogle SecOps evaluates your UDM event data against IoCs curated by Mandiant Threat\nIntelligence and identifies matches for domains, IP addresses, file hashes, and URLs. It then analyzes UDM fields that store these rule sets.\n\nIf you replace a default parser with a custom parser, and you change the UDM field\nwhere a domain, IP address, file hash, or URL is stored, it may impact the behavior\nof these rule sets.\n\nThe rule sets use the following UDM fields from Google SecOps events.\nThese fields, combined with prioritization features from\nMandiant Threat Intelligence, help determine priority levels, such as Active breach, High,\nor Medium:\n\n- `network.direction`\n- `security_result.[]action`\n- `event_count` (active breach IP address only)\n\nFor IP address indicators, the `network.direction` is required. If the\n`network.direction` field is not populated in the UDM event, then Applied Threat\nIntelligence checks the `principal.ip` and `target.ip` fields against RFC 1918\ninternal IP address ranges to determine the network direction. If this check\ndoes not provide clarity, then the IP address is considered to be external to\nthe customer environment.\n\nTuning alerts returned by Applied Threat Intelligence category\n--------------------------------------------------------------\n\nYou can reduce the number of detections a rule or rule set generates using\n[rule exclusions](/chronicle/docs/detection/rule-exclusions).\n\nIn the rule exclusion, define the criteria of a UDM event that exclude the\nevent from being evaluated by the rule set. Events with values in the specified\nUDM field won't be evaluated by rules in the rule set.\n\nFor example, you might exclude events based on the following information:\n\n- `principal.hostname`\n- `principal.ip`\n- `target.domain.name`\n- `target.file.sha256`\n- `target.url`\n\nSee [Configure rule exclusions](/chronicle/docs/detection/rule-exclusions)\nfor information about how to create rule exclusions.\n\nIf a rule set uses a predefined reference list, the reference\nlist description provides detail about which UDM field is evaluated.\n\nThe Inbound IP Address Authentication rule set uses three UDM fields that could\nbe used for tuning alerts from this rule set:\n\n- `principal.ip`\n- `principal.asset.ip`\n- `src.ip`\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
