Visão geral da pontuação de IC

Compatível com:

A inteligência de ameaças aplicada no SIEM do Google Security Operations avalia e rotula indicadores de comprometimento (IOCs) com uma pontuação de confiança do indicador (IC-Score, na sigla em inglês). O IC-Score agrega as informações de mais de 100 fontes de inteligência de código aberto e proprietárias da Mandiant em uma única classificação. Usando machine learning, a cada fonte de inteligência é atribuída uma na qualidade da inteligência que fornecem, que é determinada por avaliações e métodos baseados em dados em grande escala. A pontuação de IC captura a probabilidade de um determinado indicador estar associado com atividades maliciosas (um verdadeiro positivo). Para mais informações sobre como um indicador é avaliado para a origem da IC-Score, consulte Descrições da origem da IC-Score.

O IC-Score representa a probabilidade de que o indicador seja malicioso, um verdadeiro positivo. Para calcular a probabilidade final de mal-intencionalidade, o modelo de aprendizado de máquina incorpora todas as informações disponíveis sobre o indicador, ponderadas pela confiança aprendida para cada fonte de informação. Como há apenas dois resultados possíveis, malicioso ou benigno, todos os indicadores começam com uma probabilidade de 50% de ser um deles quando nenhuma informação está disponível. Com cada informação adicional, pontuação de referência leva a uma probabilidade de 0% de maliciosidade (valor conhecido benigna) ou 100% de probabilidade de maliciosidade (mal-intencionado conhecido). O SIEM do Google Security Operations ingere indicadores de comprometimento (IOCs, na sigla em inglês) selecionados pela Applied Threat Intelligence com um IC-Score maior que 80. A tabela a seguir descreve o intervalo de pontuações possíveis.

Pontuação Interpretação
<= 40% Benigno ou ruído conhecido
> 40% e < 60% Indeterminado/desconhecido
>= 60% e < 80% Suspeito
Maior ou igual a 80% Conteúdo malicioso conhecido

Informações de envelhecimento do indicador

O sistema IC-Score incorpora novas informações, atualiza dados de enriquecimento e exclui informações antigas durante os seguintes eventos de pontuação.

  • Uma nova observação do indicador em uma das nossas fontes de OSINT ou nos sistemas de monitoramento proprietários da Mandiant

  • Tempos limite específicos do indicador para cada fonte e enriquecimento

Os períodos de tempo limite são determinados pela data da última visualização do indicador na fonte ou no enriquecimento relevante. Ou seja, a análise de violações considera informações para estar desatualizado e deixar de considerá-lo como um fator ativo no cálculo da pontuação. após um número especificado de dias quando o indicador foi observado pela última vez em um determinado ou quando as informações foram atualizadas pelo serviço de aprimoramento. deixa de considerar os tempos limite como um fator ativo no cálculo da pontuação.

A tabela a seguir descreve atributos de carimbo de data/hora importantes associados a um indicador.

Atributo Descrição
Visto pela primeira vez O carimbo de data/hora em que um indicador foi observado pela primeira vez em uma determinada fonte.
Visto pela última vez O carimbo de data/hora em que um indicador foi observado pela última vez em uma determinada fonte.
Última atualização O carimbo de data/hora em que o IC-Score ou outros metadados de um indicador foram atualizados pela última vez devido ao envelhecimento do indicador, novas observações ou outros processos de gerenciamento.

Descrição da origem da pontuação de IC

As explicações da nota de IC mostram por que um indicador tem uma determinada nota. As explicações mostram quais categorias do sistema forneceram quais avaliações de confiança sobre um indicador. Para calcular a IC-Score, a Análise de ameaças aplicada avalia várias origens reservadas e de terceiros. Cada categoria e origem específica tem uma contagem resumida de respostas de veredito malicioso ou benigno retornadas, além de uma avaliação da qualidade dos dados da origem. Os resultados são combinados para determinar o IC-Score. O seguinte fornece uma explicação detalhada das categorias de origem.

Origem Descrição
Monitoramento de botnet A categoria Monitoramento de botnet contém vereditos maliciosos de sistemas reservados que monitoram o tráfego, as configurações e o comando e controle (C2) para indicações de infecção por botnet.
Hospedagem à prova de balas A categoria "Bulletproof Hosting" contém fontes que monitoram o registro e o uso de infraestrutura e serviços de bulletproof hosting, que geralmente fornecem serviços para atividades ilícitas que são resistentes a esforços de correção ou remoção.
Análise de ameaças de crowdsourcing A Análise de ameaças com crowdsourcing combina vereditos maliciosos de uma ampla variedade de serviços e fornecedores de análise de ameaças. Cada serviço que responde é tratado como uma resposta exclusiva nessa categoria com a própria confiança associada.
Análise de FQDN A categoria Análise FQDN contém vereditos maliciosos ou benignos de múltiplos sistemas que realizam a análise de um domínio, incluindo os análise da resolução de IP, registro e se o domínio parece conter erros de digitação.
Contexto do GreyNoise A fonte GreyNoise Context fornece um veredito malicioso ou benigno com base nos dados derivados do serviço GreyNoise Context que examina informações contextuais sobre um determinado endereço IP, incluindo propriedade informações e qualquer atividade benigna ou maliciosa observada pelo GreyNoise do Google Cloud.
Ruído cinza RIOT A fonte GreyNoise RIOT atribui vereditos benignos com base no GreyNoise serviço RIOT, que identifica serviços benignos conhecidos que causam falsos positivos comuns com base em observações e metadados sobre a infraestrutura e os serviços. O serviço oferece dois níveis de confiança na designação benigna, que incorporamos como fatores ponderados separados na nossa pontuação.
Mapa de informações O Mapa de informações da Mandiant contém as avaliações do Mandiant Intelligence de indicadores derivados da análise de intrusões cibernéticas e de outros dados de ameaças. Essa fonte contribui com vereditos benignos e maliciosos para a pontuação do indicador.
Análise de malware A categoria "Análise de malware" contém vereditos de vários sistemas de análise de malware estáticos e dinâmicos proprietários, incluindo o modelo de machine learning MalwareGuard da Mandiant.
MISP: provedor de hospedagem dinâmica na nuvem (DCH, na sigla em inglês) O provedor MISP: Dynamic Cloud Hosting (DCH) fornece vereditos benignos com base em várias listas de MISPs que definem a infraestrutura de rede associada com provedores de hospedagem na nuvem, como Google Cloud e Amazon AWS. Infraestrutura associados a provedores DCH podem ser reutilizados por diversas entidades que o torna menos acionável.
MISP: instituição educacional A categoria MISP: instituição de ensino oferece vereditos benignos com base na lista de domínios de universidades do mundo todo. A presença de um indicador nessa lista indica uma associação legítima com uma universidade e sugere que o indicador seja considerado benigno.
MISP: Sumidouro da Internet A categoria MISP: Internet Sinkhole fornece vereditos benignos com base na lista de Sinkhole conhecida da MISP. Como os sumidouros são usados observar e conter infraestruturas anteriormente maliciosas, a aparência em listas de sumidouro conhecidas reduz a pontuação do indicador.
MISP: provedor de hospedagem de VPN conhecido O MISP: categoria de provedor de hospedagem VPN conhecido fornece vereditos benignos com base em várias listas de MISPs que identificam a infraestrutura VPN conhecida, incluindo as listas vpn-ipv4 e vpn-ipv6. Os indicadores de infraestrutura de VPN recebem um veredito benigno devido ao grande número de usuários associados a esses serviços de VPN.
MISP: Outro O MISP: outra categoria serve como padrão para as categorias recém-adicionadas Listas de MISP ou outras listas únicas que não se encaixam naturalmente em listas mais específicas categorias.
MISP: infraestrutura de Internet popular A categoria MISP: infraestrutura de Internet popular fornece vereditos benignos com base em listas de MISPs para serviços da Web conhecidos, serviços de e-mail e serviços de CDN. Os indicadores nessas listas estão associados a infraestruturas da Web comuns e devem ser considerados benignos.
MISP: site popular A categoria MISP: sites populares fornece vereditos benignos com base na a popularidade de um domínio em várias listas de popularidade de domínio, incluindo Majestic 1 Million, Cisco Umbrella e Tranco. A presença em várias listas de popularidade aumenta a confiança de que o domínio é benigno.
MISP: software confiável A categoria MISP: Trusted software fornece veredictos benignos com base em listas MISP de hashes de arquivos que são conhecidos por serem legítimos ou causar falsos positivos em feeds de informações sobre ameaças. As fontes incluem listas de MISP, como nioc-filehash e falsos positivos comuns de IoT.
Monitoramento de spam O monitoramento de spam contém fontes reservadas que coletam e monitoram indicadores relacionados a atividades de spam e phishing identificadas.
Tor A fonte Tor atribui vereditos benignos com base em várias fontes que identificar a infraestrutura e os nós de saída do Tor. Os indicadores de nó Tor são recebe um veredito benigno devido ao volume de usuários associados a um nó Tor.
Análise de URL A categoria de análise de URL contém vereditos maliciosos ou benignos de vários sistemas que realizam análises do conteúdo de um URL e de arquivos hospedados