调查 GCTI 提醒
支持的平台：
Google SecOps
SIEM
Google Cloud 威胁情报 (GCTI) 提醒来自 Google 内部威胁检测基础架构以及由 GCTI 安全分析师提供的研究成果。
对于 Google Security Operations SIEM 客户，GCTI 提醒会显示在提醒和 IOC 页面上。这些信息位于来源列下方。GCTI 生成的提醒会标记为精选检测。
查看 GCTI 提醒
如需查看您的 GCTI 提醒，请按以下步骤操作：
- 在导航栏中，依次点击检测 > 提醒和入侵检测对象。
- 在来源标签页下，GCTI 提醒会标记为精选检测。点击来源，将带有精选检测标记的所有提醒移至顶部。
- 点击要调查的提醒的名称列中的链接。
点击名称列中的文本后，系统会打开一个页面，其中包含三个标签页：概览、图表和提醒记录。图是一种交互式图表，可让您扩大搜索范围。提醒历史记录会显示有关提醒的重要信息。
如需了解如何使用图表和提醒历史记录，请按照调查提醒中的步骤操作。
前往 GCTI 规则信息中心
精选检测信息中心包含所有与 GCTI 相关的规则。
如需前往精选检测信息中心，请按以下步骤操作：
- 在导航栏中，依次点击检测 > 规则和检测。
- 该页面包含四个标签页：规则信息中心、规则编辑器、精选检测和排除对象。点击精选检测。精选检测页面包含所有 GCTI 规则及其生成的提醒。
调查 GCTI 规则
表格上方有两个标签页：规则集和信息中心。
在规则集中，有一个表格会显示所有规则和规则集（一组要一起使用的规则）。在此标签页中，您可以执行以下操作：
- 收起或展开不同部分
- 启用或停用提醒和状态
- 使用表格左侧角的复选框，将更改应用于单个规则集或所有规则集
信息中心部分会按类别显示规则。
如果您在信息中心部分中点击某个提醒，系统会打开一个页面，其中会显示该提醒最近的检测时间轴。
使用精确规则和宽泛规则
规则集中有两种类型的规则：精确和广泛。您可以根据所进行的搜索类型，单独启用或停用精确或广泛规则。
- 精确规则是指由于规则的性质更具体，因此可发现恶意行为，且可信度更高，假正例更少。
- 宽泛规则会发现可能有恶意的行为或异常情况。由于这些规则比精确规则更通用，因此出现假正例的可能性更大。
需要更多帮助？向社区成员和 Google SecOps 专业人士寻求解答。