Descripción general de la categoría de reglas de Mandiant Threat Defense

Compatible con:

En este documento, se proporciona una descripción general de los conjuntos de reglas de Mandiant Threat Defense, las fuentes de datos requeridas y las opciones de configuración para ajustar las alertas que generan en la plataforma de Google Security Operations.

Las reglas establecidas en la etiqueta de categoría Mandiant Hunt Rules etiquetan los eventos relevantes para la seguridad en todo el contenido de detección habilitado para las SecOps de Google para los entornos de Google Cloud y de endpoints para que se usen junto con las reglas compuestas. Esta categoría incluye los siguientes conjuntos de reglas:

  • Reglas de identificación de la nube: Lógica derivada de la investigación y la respuesta de Mandiant Threat Defense a incidentes en la nube en todo el mundo. Estas reglas están diseñadas para detectar eventos de Cloud relevantes para la seguridad y para ser usadas por reglas de correlación en el conjunto de reglas compuesto de Cloud.

  • Reglas de identificación de endpoints: Lógica derivada de la investigación y la respuesta de Mandiant Threat Defense a incidentes en todo el mundo. Estas reglas están diseñadas para detectar eventos de extremos relevantes para la seguridad y para ser utilizadas por reglas de correlación en el conjunto de reglas compuestas de extremos.

Dispositivos y tipos de registros compatibles

Estas reglas se basan principalmente en los registros de Registros de auditoría de Cloud, los registros de detección y respuesta de extremos, y los registros de proxy de red. El modelo de datos unificado (UDM) de SecOps de Google normaliza automáticamente estas fuentes de registros.

Para obtener una lista de todas las fuentes de datos compatibles con Google SecOps, consulta Analizadores predeterminados compatibles.

En las siguientes categorías, se describen las fuentes de registros más importantes que se requieren para que el contenido compuesto seleccionado funcione de manera eficaz:

Fuentes de registros de reglas de identificación de extremos

Google Cloud fuentes de registros de reglas de identificación

Google Cloud y fuentes de registros de reglas de extremos

Para obtener una lista completa de las detecciones seleccionadas disponibles, consulta Cómo usar las detecciones seleccionadas. Comunícate con tu representante de Google SecOps si necesitas habilitar las fuentes de detección con un mecanismo diferente.

Google SecOps proporciona analizadores predeterminados que analizan y normalizan los registros sin procesar para crear registros de UDM con los datos que requieren los conjuntos de reglas de detección compuestas y seleccionadas. Para obtener una lista de todas las fuentes de datos compatibles con Google SecOps, consulta Tipos de registros admitidos y analizadores predeterminados.

Cómo modificar reglas en un conjunto de reglas

Puedes personalizar el comportamiento de las reglas dentro de un conjunto de reglas para satisfacer las necesidades de tu organización. Para ajustar el funcionamiento de cada regla, selecciona uno de los siguientes modos de detección y configura si las reglas generan alertas:

  • Generales: Detectan comportamientos potencialmente maliciosos o anómalos, pero pueden producir más falsos positivos debido a la naturaleza general de la regla.
  • Precisa: Detecta comportamientos anómalos o maliciosos específicos.

Para modificar la configuración, haz lo siguiente:

  1. En la lista de reglas, selecciona la casilla de verificación junto a cada regla que deseas modificar.
  2. Configura los parámetros de Estado y Alertas de las reglas de la siguiente manera:
    • Estado: Aplica el modo (Preciso o Amplio) a la regla seleccionada. Establécelo en Enabled para activar el estado de la regla en el modo.
    • Alertas: Controla si la regla genera una alerta en la página Alertas. Configúralo en Activado para habilitar las alertas.

Cómo ajustar las alertas de los conjuntos de reglas

Puedes reducir la cantidad de alertas que genera una regla compuesta con las exclusiones de reglas.

Una exclusión de regla especifica criterios que impiden que una regla o un conjunto de reglas evalúen ciertos eventos. Usa exclusiones para reducir el volumen de detección. Consulta Cómo configurar exclusiones de reglas para obtener más información.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.