Applied Threat Intelligence가 사용 설정되면 IOC 일치 탭에 추가 열이 표시됩니다.
IOC 일치 탭에는 Google Security Operations 데이터에서 일치하는 모든 침해 지표(IOC)가 표시됩니다.
Applied Threat Intelligence에서 선별한 IOC를 보고 필터링할 수 있습니다.
IOC 일치 페이지에는 모든 IOC 및 유형, 우선순위, 상태, 카테고리, 애셋, 캠페인, 소스, IOC 수집 시간, 최초 발생 시간, 마지막 위치와 같은 세부정보가 표시됩니다. 색상으로 구분된 아이콘과 기호를 사용하면 주의가 필요한 IOC를 빠르게 식별할 수 있습니다.
데이터 보기
calendar_month
아이콘을 클릭하여 캘린더를 표시합니다. 표시되는 데이터의 기간을 조정할 수 있습니다. 왼쪽에서 사전 설정된 기간(지난 5분에서 지난 달까지) 중 하나를 선택하여 기간을 조정합니다. 달력에서 시작일 및 종료일을 선택하여 커스텀 기간을 지정할 수도 있습니다.
IOC 필터링
왼쪽 열에서 필터링할 카테고리를 선택합니다. 다음 옵션을 사용하여 필터링할 수 있습니다.
유형
GCTI 우선순위
상태
카테고리
출처
연결
캠페인
고급 필터를 선택하려면 filter_alt 아이콘을 클릭한 다음 필터링할 요소를 선택합니다. 논리 연산자도 선택해야 합니다.
OR. 결합된 조건 중 하나와 일치해야 함
AND. 결합된 모든 조건이 일치해야 함
필터를 추가하려면 add 필터 추가를 클릭합니다.
필터를 추가하면 표 위에 칩으로 표시됩니다.
동일한 카테고리의 필터 2개를 사용하려는 경우 필터가 동일한 칩에 표시됩니다.
활성 IR 또는 높음으로 라벨이 지정된 IOC(둘 다 GCTI 우선순위 라벨에서)를 찾으려면 다음 단계를 완료합니다.
논리 연산자를 선택합니다.
첫 번째 필터를 선택합니다.
두 번째 필터를 선택합니다.
두 번째 필터를 클릭하면 두 가지 새로운 옵션인 다음 항목만 표시와 필터링이 표시됩니다. 다음 항목만 표시를 클릭합니다.
적용된 인텔리전스 IOC 보기
왼쪽 열에서 소스를 클릭합니다.
Mandiant를 클릭하여 데이터를 필터링하고 적용된 인텔리전스 IOC를 확인합니다.
필터 지우기
삭제할 필터 옆에 있는 delete 아이콘을 클릭합니다.
페이지에서 기존 필터를 모두 삭제하려면 모두 지우기를 클릭합니다.
IOC 세부정보 보기
IOC를 클릭하여 우선순위, 유형, 소스, IC-Score, 카테고리와 같은 세부정보를 볼 수 있습니다. IOC 매핑을 수행 중이지만 이벤트가 없는 경우 이는 필드 매핑에 오류가 있거나 규칙이 없는 것입니다. 자세한 내용은 Google SecOps 지원팀에 문의하세요.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-04(UTC)"],[[["\u003cp\u003eThe IOC Matches tab in Google Security Operations displays all indicators of compromise (IOCs) matched in your data, allowing you to view and analyze them.\u003c/p\u003e\n"],["\u003cp\u003eYou can filter IOCs by various criteria such as Type, GCTI Priority, Status, Categories, Sources, Associations, and Campaigns, using both basic and advanced filter options.\u003c/p\u003e\n"],["\u003cp\u003eThe IOC Matches page provides details about each IOC, including type, priority, status, categories, assets, campaigns, and time-related information like ingest time and first/last seen.\u003c/p\u003e\n"],["\u003cp\u003eUsers can adjust the time range of displayed data, and for any selected IOC, you can mute or unmute it, view event prioritization details, and explore associations.\u003c/p\u003e\n"],["\u003cp\u003eApplied intelligence IOCs can be viewed by filtering the data to view only those from the Mandiant source.\u003c/p\u003e\n"]]],[],null,["# View IOCs using Applied Threat Intelligence\n===========================================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n\nWhen Applied Threat Intelligence is enabled, the **IOC Matches** tab displays additional columns.\nThe **IOC matches** tab displays all the indicators of compromise (IOC) that were matched in your Google Security Operations data.\nYou can view and filter IOCs curated by Applied Threat Intelligence.\n\nOn the **IOC matches** page you can do the following.\n\n- [View the IOCs](/chronicle/docs/detection/ati-view-ioc-page#viewioc)\n\n- [View data](/chronicle/docs/detection/ati-view-ioc-page#viewingdata)\n\n- [Filter IOCs](/chronicle/docs/detection/ati-view-ioc-page#filter)\n\n- [View IOC details](/chronicle/docs/detection/ati-view-ioc-page#iocdetails)\n\nView IOCs\n---------\n\nThe **IOC matches** page displays all the IOCs and their details, such as\ntype, priority, status, categories, assets, campaigns, sources, IOC ingest\ntime, first seen, and last seen. The color-coded icons and symbols help you to\nquickly identify which IOCs need your attention.\n\nView data\n---------\n\nClick the calendar_month to display the calendar. You can adjust the time range for the\ndisplayed data. Adjust the time range by\nchoosing one of the pre-set time ranges on the left side (ranging from last\nfive minutes to last month). You can also specify a custom time range by choosing\na start and end date anywhere on the calendar.\n\nFilter IOCs\n-----------\n\nIn the left column, select the category to filter by. You can use the following options to filter:\n\n- **Type**\n\n- **GCTI Priority**\n\n- **Status**\n\n- **Categories**\n\n- **Sources**\n\n- **Associations**\n\n- **Campaigns**\n\nTo select more advanced filters, click the *filter_alt*\nicon and then select the elements to filter on. You also need to select a logical operator:\n\n- OR. Must match any of the combined conditions\n\n- AND. Must match all of the combined conditions\n\nTo add more filters, click *add* Add filter.\n\nWhen you add a filter, it appears as a chip above the table.\n\nTo use two filters from the same category, the filters appear in the same chip.\nTo find IOCs labeled as Active IR or High (both under the **GCTI Priority** label), complete the following steps:\n\n1. Select a logical operator.\n\n2. Select the first filter.\n\n3. Select the second filter.\n When you click the second filter, there are two new options: **Show only**\n and **Filter out** instead. Click **Show only**.\n\n### View applied intelligence IOCs\n\n1. In the left column, click **Sources**.\n\n2. Click **Mandiant** to filter the data and view applied intelligence IOCs.\n\n### Clear filters\n\n- Click the *delete* icon next to the filter you want to delete.\n\n- Click **Clear all** to clear all the existing filters from the page.\n\nView IOC details\n----------------\n\nYou can click an IOC to view details such as priority, type, source, IC-Score, and\ncategory. If you are getting IOC mapping but there are no events, then there is a\nmistake in the field mapping or there are no rules. For more information,\ncontact Google SecOps [Support](/chronicle/docs/getting-support).\n\nFor a selected indicator, on the **IOC details** page, you can do the following:\n\n- [Mute or unmute an IOC](/chronicle/docs/detection/ati-view-ioc-page#muteunmute)\n\n- [View event prioritization](/chronicle/docs/detection/ati-view-ioc-page#viewevent)\n\n- [View associations](/chronicle/docs/detection/ati-view-ioc-page#associations)\n\n### Mute or unmute action\n\nIf an IOC is generated due to an administrator or testing action, you can mute the\nindicator to prevent false positives.\n\n- To mute the status, click the IOC, and then click **Mute** . The status of\n the indicator is changed to **Muted**.\n\n- To unmute the status, click the IOC, and then click **Unmute** . The status\n of the indicator is changed to **Unmuted**.\n\n### Event viewer\n\nOn the **Events** tab, on a selected indicator, you can view how an event is prioritized and the details for an event.\nFor each event, you can view priority and rationale, UDM fields, and event details.\nThe priority and rationale displays how priority is determined for the event.\n\n### Associations\n\nOn the **Associations** tab, on a selected indicator, you can investigate potential breaches.\nYou can view associations for any actor or malware. This also helps to prioritize alerts.\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
