Visão geral da pontuação de integridade de conteúdo

Compatível com:

A inteligência contra ameaças aplicada (ATI, na sigla em inglês) no Google Security Operations avalia e atribui uma pontuação de confiança do indicador (IC-Score) aos indicadores de comprometimento (IoCs). O IC-Score agrega as informações de mais de 100 fontes de inteligência de código aberto e proprietárias da Mandiant em uma única classificação. Usando o aprendizado de máquina, cada fonte de inteligência recebe uma confiança com base na qualidade das informações fornecidas, que é determinada por avaliações humanas e métodos de grande escala baseados em dados (consulte Descrições das fontes de pontuação de integridade de conteúdo).

A pontuação IC captura a probabilidade de um determinado indicador estar associado a uma atividade maliciosa (um verdadeiro positivo). Para calcular a probabilidade final de malícia, o modelo de aprendizado de máquina incorpora todas as informações disponíveis sobre o indicador, ponderadas pela confiança aprendida para cada fonte de informação.

Como há apenas dois resultados possíveis, malicioso ou benigno, todos os indicadores começam com uma probabilidade de 50% de serem maliciosos ou benignos quando nenhuma informação está disponível. Com cada informação adicional, a pontuação de referência é direcionada para uma probabilidade de 0% de malícia (conhecida como benigna) ou 100% de malícia (conhecida como maliciosa).

O Google SecOps ingere IoCs selecionados pela ATI com um IC-Score maior que 80.

A tabela a seguir descreve o intervalo de pontuações de IC possíveis.

Pontuação Interpretação
<= 40% Benigno ou ruído conhecido
> 40% e < 60% Indeterminado/desconhecido
>= 60% e < 80% Suspeito
>= 80% Malicioso conhecido

Informações sobre o vencimento do indicador

O sistema IC-Score incorpora novas informações, atualiza dados de enriquecimento e exclui informações antigas durante os seguintes eventos de pontuação:

  • Uma nova observação do indicador em uma das nossas fontes de OSINT ou sistemas de monitoramento proprietários da Mandiant

  • Períodos de tempo limite específicos do indicador para cada fonte e enriquecimento

Os períodos de tempo limite são determinados pela data da última visualização do indicador na fonte ou no enriquecimento relevante. A análise de violações considera que as informações estão desatualizadas e para de considerá-las como um fator ativo no cálculo da pontuação após um número especificado de dias desde a última observação do indicador por uma fonte relevante ou quando as informações foram atualizadas pelo serviço de enriquecimento.

A tabela a seguir descreve atributos importantes de carimbo de data/hora associados a um indicador.

Atributo Descrição
Visto pela primeira vez O carimbo de data/hora em que um indicador foi observado pela primeira vez em uma determinada fonte.
Visto pela última vez O carimbo de data/hora em que um indicador foi observado mais recentemente em uma determinada fonte.
Última atualização O carimbo de data/hora em que o IC-Score ou outros metadados de um indicador foram atualizados mais recentemente devido ao envelhecimento do indicador, novas observações ou outros processos de gerenciamento.

Descrição da origem da pontuação de integridade de conteúdo

A explicação da pontuação de integridade de conteúdo mostra por que a pontuação foi atribuída ao indicador e quais categorias do sistema forneceram quais avaliações de confiança sobre o indicador. Para calcular a pontuação de integridade de conteúdo, a ATI avalia várias fontes próprias e de terceiros. Cada categoria e fonte específica tem uma contagem resumida de respostas de veredito maliciosas ou benignas retornadas, além de uma avaliação da qualidade dos dados da fonte. Os resultados são combinados para determinar a pontuação de IC.

A tabela a seguir oferece uma explicação detalhada das categorias de origem.

Origem Descrição
Monitoramento de botnets A categoria "Monitoramento de botnets" contém veredictos maliciosos de sistemas proprietários que monitoram o tráfego, as configurações e o comando e controle (C2) de botnets em tempo real para identificar indicações de infecção por botnet.
Hospedagem à prova de balas A categoria "Hospedagem à prova de balas" contém fontes que monitoram o registro e o uso de infraestrutura e serviços de hospedagem à prova de balas, que geralmente oferecem serviços para atividades ilícitas resistentes a esforços de correção ou remoção.
Análise de ameaças de crowdsourcing A análise de ameaças por crowdsourcing combina veredictos maliciosos de uma ampla variedade de serviços e fornecedores de análise de ameaças. Cada serviço que responde é tratado como uma resposta única nessa categoria com um nível de confiança associado.
Análise de FQDN A categoria "Análise de FQDN" contém veredictos maliciosos ou benignos de vários sistemas que analisam um domínio, incluindo o exame da resolução de IP, do registro e se o domínio parece ser de typosquatting.
Contexto do GreyNoise A fonte de contexto do GreyNoise fornece um veredito malicioso ou benigno com base em dados derivados do [serviço de contexto do GreyNoise](https://docs.greynoise.io/reference/noisecontextip-1). O serviço examina informações contextuais sobre um endereço IP, incluindo informações de propriedade e qualquer atividade benigna ou maliciosa observada pela infraestrutura do GreyNoise.
RIOT da GreyNoise A fonte RIOT do GreyNoise atribui veredictos benignos com base no [serviço RIOT do GreyNoise](https://docs.greynoise.io/reference/riotip) (em inglês), que identifica serviços benignos conhecidos que causam falsos positivos comuns com base em observações e metadados sobre a infraestrutura e os serviços. O serviço oferece dois níveis de confiança na designação benigna, que incorporamos como fatores separados e ponderados adequadamente na pontuação.
Mapa de informações O gráfico de conhecimento da Mandiant contém avaliações de inteligência da Mandiant sobre indicadores derivados da análise de invasões cibernéticas e outros dados de ameaças. Essa fonte contribui com veredictos benignos e maliciosos para a pontuação do indicador.
Análise de malware A categoria "Análise de malware" contém veredictos de vários sistemas proprietários de análise estática e dinâmica de malware, incluindo o modelo de machine learning MalwareGuard da Mandiant.
MISP: provedor de hospedagem dinâmica na nuvem (DCH) O provedor MISP: Dynamic Cloud Hosting (DCH) fornece veredictos benignos com base em várias listas do MISP que definem a infraestrutura de rede associada a provedores de hospedagem na nuvem, como Google Cloud e Amazon AWS. A infraestrutura associada aos provedores de DCH pode ser reutilizada por várias entidades, o que a torna menos útil.
MISP: instituição educacional A categoria MISP: Education Institution fornece veredictos benignos com base na lista do MISP de domínios universitários do mundo todo. A presença de um indicador nessa lista indica uma associação legítima com uma universidade e sugere que ele seja considerado benigno.
MISP: sumidouro da Internet A categoria MISP: Internet Sinkhole fornece veredictos benignos com base na lista do MISP de infraestrutura de sinkhole conhecida. Como os buracos negros são usados para observar e conter infraestruturas maliciosas, a aparição em listas conhecidas reduz a pontuação do indicador.
MISP: provedor de hospedagem de VPN conhecido A categoria MISP: Known VPN Hosting Provider fornece veredictos benignos com base em várias listas do MISP que identificam infraestrutura de VPN conhecida, incluindo as listas vpn-ipv4 e vpn-ipv6. Os indicadores de infraestrutura de VPN recebem um veredito benigno devido ao grande número de usuários associados a esses serviços.
MISP: Outro A categoria "MISP: Outros" serve como padrão para listas de MISP recém-adicionadas ou outras listas únicas que não se encaixam naturalmente em categorias mais específicas.
MISP: Popular Internet Infrastructure A categoria MISP: infraestrutura de Internet popular fornece veredictos benignos com base em listas do MISP para serviços da Web, de e-mail e de CDN populares. Os indicadores nessas listas estão associados à infraestrutura da Web comum e devem ser considerados benignos.
MISP: Popular Website A categoria "MISP: sites conhecidos" fornece veredictos benignos com base na popularidade de um domínio em várias listas, incluindo Majestic 1 Million, Cisco Umbrella e Tranco. A presença em várias listas de popularidade aumenta a confiança de que o domínio é benigno.
MISP: Trusted Software A categoria "Software confiável" do MISP fornece veredictos benignos com base em listas do MISP de hashes de arquivo conhecidos por serem legítimos ou por causarem falsos positivos em feeds de inteligência de ameaças. As fontes incluem listas do MISP, como nioc-filehash e common-ioc-false-positives.
Monitoramento de spam A Monitoria de spam contém fontes próprias que coletam e monitoram indicadores relacionados a atividades de spam e phishing identificadas.
Tor A fonte do Tor atribui veredictos benignos com base em várias fontes que identificam a infraestrutura e os nós de saída do Tor. Os indicadores de nós do Tor recebem um veredito benigno devido ao volume de usuários associados a um nó do Tor.
Análise de URL A categoria "Análise de URL" contém veredictos maliciosos ou benignos de vários sistemas que analisam o conteúdo de um URL e os arquivos hospedados.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.