Windows 威胁类别概览
本文档将概述“Windows 威胁”类别下的规则集， 所需的数据源，以及可用于调整 这些规则集。
“Windows 威胁”类别中的规则集有助于识别 Microsoft Windows 环境中的威胁 使用终端检测与响应 (EDR) 日志。此类别包括以下规则集：
- Anomalous PowerShell：识别包含混淆技术的 PowerShell 命令 或其他异常行为
- 加密活动：与可疑的加密货币相关的活动。
- Hacktool：可能被认为可疑但 可能合法，具体取决于组织的用途。
- 信息窃取：用于窃取凭据（包括密码、Cookie 加密货币钱包和其他敏感凭据。
- 初始访问：用于在具有如下特征的机器上进行初始执行的工具： 可疑行为
- 合法但遭到滥用：已知会出于以下目的滥用的合法软件 。
- 生活在地
- 指定威胁：与已知威胁行为者相关的行为。
- 勒索软件：与勒索软件相关的活动。
- RAT：用于提供网络资产远程命令和控制的工具。
- 安全状况降级：尝试停用或降低安全工具效率的活动。
- 可疑行为：常见的可疑行为。
支持的设备和日志类型
“Windows 威胁”类别中的规则集已经过测试并受支持 替换为以下 Google Security Operations 支持的 EDR 数据源：
- 碳黑 (
CB_EDR) - Microsoft Sysmon (
WINDOWS_SYSMON) - SentinelOne (
SENTINEL_EDR) - CrowdStrike Falcon（
CS_EDR）
Windows 威胁 类别中的规则集正针对 以下 Google Security Operations 支持的 EDR 数据源：
- Tanium
- 网购季 EDR (
CYBEREASON_EDR) - Lima Charlie (
LIMACHARLIE_EDR) - OSQuery
- Zeek
- 圆形 (
CYLANCE_PROTECT)
如果您要使用 不同的 EDR 软件。
如需查看 Google Security Operations 支持的所有数据源的列表，请参阅 支持的默认解析器。
Windows 威胁类别所需的必填字段
以下部分介绍了 Windows 威胁防护规则集所需的特定数据 以获得最大收益。确保您的设备已配置为可录制 将以下数据复制到设备事件日志中。
- 事件时间戳
- 主机名 ：运行 EDR 软件的系统的主机名。
- 主账号进程：正在记录的当前进程的名称。
- 主账号进程路径：当前正在运行的进程在磁盘上的位置（如果有）。
- 主账号进程命令行：进程的命令行参数（如果有）。
- 目标进程：主进程启动的派生进程的名称。
- 目标进程路径：目标进程在磁盘上的位置（如果有）。
- 目标进程命令行：目标进程的命令行参数（如果有）。
- 目标进程 SHA256\MD5：目标进程的校验和（如果有）。这是 来调整提醒。
- 用户 ID：主账号进程的用户名。
“Windows 威胁”类别返回的调整提醒
您可以使用规则排除项来减少规则或规则集生成的检测数量。
规则排除可定义用于将事件排除在被 或按规则集中的特定规则创建创建一个或多个规则排除项 以帮助减少检测量。如需了解更多详情，请参阅配置规则排除对象 了解有关具体操作方法的信息。