Google Security Operations 고객을 위해 Google Cloud 위협 인텔리전스 (GCTI)팀은 Google Cloud 보안 공동 운명 모델의 일부로 즉시 사용할 수 있는 위협 분석을 제공합니다. 이러한 선별된 감지의 일부인 GCTI는 고객이 기업에 대한 위협을 식별할 수 있도록 YARA-L 규칙 집합을 제공하고 관리합니다.
이러한 GCTI 관리 규칙은 다음을 제공합니다.
수집된 데이터에 사용할 수 있는 즉시 활용 가능한 인텔리전스를 고객에게 제공합니다.
Google SecOps 내에서 사용할 수 있는 방법을 고객에게 제공하여 Google의 위협 인텔리전스를 활용합니다.
선별된 감지: Google SecOps 고객을 위해 GCTI에서 만들고 관리하는 선별된 감지 기능입니다.
규칙 집합: Google SecOps 고객을 위해 GCTI에서 관리하는 규칙 컬렉션입니다. GCTI는 여러 규칙 집합을 제공하고 유지보수합니다. 고객은 Google SecOps 계정 내에서 이러한 규칙을 사용 설정하거나 중지하고 이러한 규칙의 알림을 사용 설정하거나 중지할 수 있습니다. 위협 환경 변화에 따라 GCTI에서 주기적으로 새 규칙 및 규칙 집합을 제공합니다.
선별된 감지 페이지 및 규칙 집합 열기
선별된 감지 페이지를 열려면 다음 단계를 수행합니다.
기본 메뉴에서 규칙을 선택합니다.
선별된 감지를 클릭하여 규칙 집합 보기를 엽니다.
선별된 감지 페이지에서 다음을 포함하여 Google SecOps 계정에 활성화된 각 규칙 집합에 대한 정보를 확인할 수 있습니다.
최종 업데이트: GCTI가 규칙 집합을 마지막으로 업데이트한 시간입니다.
사용 설정된 규칙: 각 규칙 집합에 대해 사용 설정된 정밀한 규칙과 광범위한 규칙을 나타냅니다. 정확한 규칙은 높은 수준의 신뢰도로 악의적인 위협을 찾아냅니다. 광범위한 규칙은 더 일반적이고 거짓양성을 더 생성하는 의심스러운 행동을 검색합니다. 규칙 집합에 정밀한 규칙과 광범위한 규칙을 모두 사용할 수 있습니다.
알림: 각 규칙 집합에 알림이 사용 설정된 정밀한 규칙과 광범위한 규칙을 나타냅니다.
Mitre 전술: 각 규칙 집합에 포함된 Mitre ATT&CK® 전략의 식별자입니다. Mitre ATT&CK® 전략은 악의적인 행동의 의도를 나타냅니다.
Mitre 기법: 각 규칙 집합에 포함된 Mitre ATT&CK® 기법의 식별자입니다. Mitre ATT&CK® 기법은 악의적인 행동의 특정 작업을 나타냅니다.
이 페이지에서 규칙 및 규칙의 알림을 사용 설정하거나 사용 중지할 수도 있습니다. 광범위한 규칙 또는 정밀한 규칙에 이렇게 사용 설정 또는 사용 중지할 수 있습니다.
선별된 감지 대시보드 열기
선별된 감지 대시보드에는 Google SecOps 계정에서 로그 데이터에 대해 감지를 생성한 각 선별된 감지에 대한 정보가 표시됩니다. 감지가 있는 규칙은 규칙 집합별로 그룹화됩니다.
선별된 감지 대시보드를 열려면 다음 단계를 수행합니다.
기본 메뉴에서 규칙을 선택합니다. 기본 탭은 선별된 감지이며 기본 보기는 규칙 집합입니다.
대시보드를 클릭합니다.
그림 2: 선별된 감지 대시보드
선별된 감지 대시보드에는 Google SecOps 계정에 사용할 수 있는 각 규칙 집합이 표시됩니다. 각 디스플레이에는 다음이 포함됩니다.
규칙 집합과 연결된 각 규칙의 현재 활동을 추적하는 차트입니다.
마지막 감지 시간입니다.
각 규칙의 상태입니다.
최근 감지의 심각도입니다.
알림 사용 설정 또는 중지 여부입니다.
메뉴 아이콘 more_vert 또는 규칙 집합 이름을 클릭하여 규칙 설정을 수정할 수 있습니다.
규칙 집합을 클릭하여 규칙 집합 뷰로 다시 전환합니다. 규칙 집합 뷰에서 Google SecOps 계정에 활성화된 각 규칙 집합에 대한 정보를 확인할 수 있습니다.
규칙 집합 세부정보 보기
규칙 집합에 대해 more_vert 메뉴 아이콘을 클릭한 후 규칙 설정 보기 및 수정을 선택하여 선별된 감지 설정을 수정할 수 있습니다.
설정 섹션에서 규칙 집합을 사용 설정 또는 사용 중지합니다.
상태 및 알림 토글을 사용해서 규칙 집합에서 정밀한 규칙과 포괄적인 규칙을 사용 설정하거나 사용 중지할 수 있습니다. 또한 알림을 사용 또는 사용 중지할 수 있습니다.
규칙 집합에 구성된 모든 제외 항목을 확인할 수도 있습니다. 보기를 클릭하여 제외 항목을 수정할 수 있습니다. 자세한 내용은 규칙 제외 항목 구성을 참조하세요.
그림 3: 규칙 설정
규칙 집합의 모든 규칙 수정
설정 섹션에는 규칙 집합에 있는 모든 규칙의 설정이 표시됩니다. 설정을 수정하여 조직 사용량 및 니즈와 관련된 선별된 감지를 만들 수 있습니다.
정확한 규칙: 더 구체적인 규칙 특성으로 인해 거짓양성이 더 적은 악의적인 동작을 찾습니다.
광범위한 규칙: 보다 일반적인 규칙 특성으로 인해 악의적일 수 있지만 일반적으로 거짓양성이 더 많은 동작을 찾습니다.
상태: 해당 상태 옵션을 사용 설정됨으로 설정하여 규칙을 정확한 규칙 또는 광범위한 규칙 상태로 활성화합니다.
알림: 알림 옵션을 사용으로 설정하여 해당하는 정확한 규칙 또는 광범위한 규칙에 의해 생성된 감지를 수신할 수 있도록 알림을 사용 설정합니다.
규칙 제외 구성
GCTI 선별 감지에서 발생하는 알림 수를 관리하려면 규칙 제외를 구성하면 됩니다. 자세한 내용은 규칙 제외 항목 구성을 참고하세요.
선별된 감지 보기
선별된 감지 보기에서 선별된 감지 항목을 확인할 수 있습니다. 이 뷰를 사용하면 규칙과 관련된 모든 감지를 검사하고 타임라인의 애셋 뷰와 같은 다른 뷰로 피벗할 수 있습니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-04(UTC)"],[[["\u003cp\u003eGoogle Cloud Threat Intelligence (GCTI) provides managed YARA-L rules for Google Security Operations customers, offering out-of-the-box threat analytics.\u003c/p\u003e\n"],["\u003cp\u003eThe curated detections page allows users to access GCTI-managed rule sets, which can be enabled or disabled, along with their associated alerts, within the Google Security Operations account.\u003c/p\u003e\n"],["\u003cp\u003eThe curated detection dashboard displays information on rule sets, including activity, last detection time, status, severity, and alerting status.\u003c/p\u003e\n"],["\u003cp\u003eUsers can modify settings for curated detections, including enabling/disabling precise or broad rules and their alerting, and adding exclusions or items to the reference list for each rule set.\u003c/p\u003e\n"],["\u003cp\u003eThe curated detection view enables users to examine detections and pivot to other views, such as the Asset view, for deeper investigation.\u003c/p\u003e\n"]]],[],null,["# Use the curated detections page\n===============================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n\nThis document describes how to use the curated detections pages.\n\nFor Google Security Operations customers, Google Cloud Threat Intelligence (GCTI) team is offering out-of-the-box threat analytics as part of Google Cloud Security Shared Fate model. As part of these curated detections, GCTI provides and manages a set of YARA-L rules to help customers identify threats to their enterprise.\nThese GCTI managed rules:\n\n- Provide customers with immediately actionable intelligence which can be used against their ingested data.\n\n- Leverages Google's threat intelligence by providing customers with a way to use it within Google SecOps.\n\nBefore you begin\n----------------\n\nFor information about predefined threat detection policies, see the following:\n\n- [Overview of Cloud Threats category](/chronicle/docs/detection/cloud-threats-category)\n- [Overview of Chrome Enterprise Threats category](/chronicle/docs/detection/chrome-enterprise-threats-category)\n- [Overview of Windows Threats category](/chronicle/docs/detection/windows-threats-category)\n- [Overview of Linux Threats category](/chronicle/docs/detection/linux-threats-category)\n- [Overview of macOS Threats category](/chronicle/docs/detection/macos-threats-category)\n- [Overview of Risk Analytics for UEBA category](/chronicle/docs/detection/risk-analytics-ueba-category)\n- [Overview of Applied Threat Intelligence category](/chronicle/docs/detection/ati-curated-detections)\n\nTo verify that data required for each policy is in the correct format, see [Verify log data ingestion using test rules](/chronicle/docs/detection/verify-data-ingestion).\n\nCurated detections features\n---------------------------\n\nThe following are some of the key curated detections features:\n\n- Curated Detection: curated detection created and managed by GCTI for Google SecOps customers.\n\n- Rule sets: Collection of rules managed by GCTI for Google SecOps customers. GCTI provides and maintains multiple rule sets. The customer has the option to enable or disable these rules within their Google SecOps account and to enable or disable alerts for these rules. New rules and rule sets will be periodically provided by GCTI as the threat landscape changes.\n\nOpen the curated detections page and rule sets\n----------------------------------------------\n\nTo open the curated detections page, complete the following steps:\n\n1. Select **Rules** from the main menu.\n\n2. Click **Curated Detections** to open the rule sets view.\n\nThe Curated Detection page provides information about each of the rule sets active for your Google SecOps account including the following:\n\n- Last updated: Time GCTI last updated the rule set.\n\n- Enabled Rules: Indicates which of the Precise and Broad rules are enabled for each rule set. Precise rules find malicious threats with a high degree of confidence. Broad rules search for suspicious behavior that may be more common and produce more false positives. Both Precise and Broad rules might be available for a rule set.\n\n- Alerting: Indicates which of the Precise and Broad rules have alerting enabled for each rule set.\n\n- Mitre Tactics: Identifier of the Mitre ATT\\&CK® tactics covered by each rule set. Mitre ATT\\&CK® tactics represent the intent behind malicious behavior.\n\n- Mitre Techniques: Identifier of the Mitre ATT\\&CK® techniques covered by each rule set. Mitre ATT\\&CK® techniques represent specific actions of malicious behavior\n\n | **Note:** For more information about Mitre Tactics and Techniques, see the official MITRE ATT\\&CK page at \u003chttps://attack.mitre.org/\u003e.\n\nFrom this page, you can also enable or disable the rule and alerting for the rule. You can do this for either the broad or the precise rules.\n\nOpen the curated detection dashboard\n------------------------------------\n\nThe curated detection dashboard displays information about each curated detection which has produced a detection against the log data in your Google SecOps account. Rules with detections are grouped by rule set.\n\nTo open the curated detection dashboard, complete the following steps:\n\n1. Select **Rules** from the main menu. The default tab is curated detections and the default view is rule sets.\n\n2. Click **Dashboard**.\n\n **Figure 2: Curated Detections dashboard**\n3. The Curated Detections dashboard displays each of the rule sets available to your Google SecOps account. Each display includes the following:\n\n - Chart tracking the current activity for each of the rules associated with a rule set.\n\n - Time of the last detection.\n\n - Status of each rule.\n\n - Severity of recent detections.\n\n - Whether alerting is enabled or disabled.\n\n4. You can edit the rule settings by clicking the menu icon more_vert or the rule set name.\n\n5. Click **Rule Sets** to switch back to the rule sets view. The rule sets view provides information about each rule set active for your Google SecOps account.\n\nView details about a rule set\n-----------------------------\n\nYou can modify the settings for any curated detection by clicking the menu icon more_vert for the rule set, and then selecting **View and edit rule settings**.\n\nYou enable or disable the rule set under the **Settings** section.\nThe **Status** and **Alerting** toggles let you enable or disable the precise and broad rules in the rule set. You can also turn on or turn off alerting.\n\nYou can also view all of the exclusions configured for the rule set. You can edit the exclusions by clicking **View** . See [Configure rule exclusions](/chronicle/docs/detection/rule-exclusions) for more information.\n\n**Figure 3: Rule Settings**\n\nModification of all the rules in a rule set\n-------------------------------------------\n\nThe **Settings** section displays the settings for all rules in a rule\nset. You can modify the settings to create curated detections specific to your\norganizational usage and needs.\n\n- **Precise rules**: Find malicious behavior with a higher degree of confidence with\n fewer false positives due to the more specific nature of the rule.\n\n- **Broad rules**: Find behavior that could potentially be malicious or anomalous,\n but with typically more false positives due to the more general nature of the rule.\n\n- **Status** : Activate a rule's status as precise or broad by setting the corresponding\n **Status** option to **Enabled**.\n\n- **Alerting** : Enable alerting to receive detections created by corresponding precise\n or broad rules by setting the **Alerting** option to **On**.\n\nConfigure rule exclusions\n-------------------------\n\nTo manage the volume of alerts from GCTI\ncurated detections, you can configure rule exclusions. For more information, see\n[Configure rule exclusions](/chronicle/docs/detection/rule-exclusions).\n\nView curated detections\n-----------------------\n\nYou can view any of the curated detections in the Curated Detection view. This view lets you examine any of the detections associated with the rule and pivot to other views such as [Asset view](/chronicle/docs/investigation/investigate-asset) from the Timeline.\n\nTo open the Curated Detection view, complete the following steps:\n\n1. Click **Dashboard**.\n\n2. Click the rule name link in the Rule column.\n\n| **Note:** Curated detections can only be edited by Google SecOps, so all of the normal rule editing options are missing.\n\nWhat's next\n-----------\n\n- [Investigate a GCTI alert](/chronicle/docs/investigation/investigate-uppercase-alert)\n- [Tune alerts returned by rule sets in this category](/chronicle/docs/detection/use-curated-detections#tune-detections)\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
