实用威胁情报优先级排序概览
Google Security Operations 中的实用威胁情报 (ATI) 提醒是 YARA-L 规则使用精选检测进行情境化的 IoC 匹配。 情境化功能利用 Google SecOps 情境实体中的 Mandiant 威胁情报，从而实现情报驱动的警报优先级排序。
ATI 威胁情报优先级在 Applied Threat Intelligence - 精选优先级规则包中提供，该规则包可在 Google SecOps 托管内容中通过 Google SecOps 企业 Plus 版许可获取。
ATI 优先顺序功能
最相关的 ATI 优先级功能包括：
Google Threat Intelligence 判定：基于 Google 分析的统一威胁情报判定。
Google Threat Intelligence 严重程度：根据 Google 的分析计算得出的严重程度评分。
主动突发事件响应：源自主动突发事件响应 (IR) 互动。
普及率：Mandiant 经常观察到。
归因：与 Mandiant 跟踪的威胁密切相关。
已屏蔽：指示器未被安全控制措施屏蔽。
网络方向：显示入站或出站网络流量。
您可以在 IoC 匹配项 > 事件查看器页面上查看提醒的 ATI 优先级功能。
ATI 优先模型
ATI 优先级模型使用 Google SecOps 事件和 Mandiant 威胁情报为 IoC 分配优先级。这种优先级划分基于与优先级和 IoC 类型相关的特征，形成对优先级进行分类的逻辑链。然后，ATI 可操作威胁情报模型可以帮助您响应生成的提醒。
Applied Threat Intelligence - Curated prioritization 规则包中提供的精选检测规则会使用优先级模型。您还可以通过 Mandiant Fusion Intelligence 使用 Mandiant 威胁情报创建自定义规则，这需要 Google SecOps 企业 Plus 版许可。如需详细了解如何编写 Fusion Feed YARA-L 规则，请参阅 Applied Threat Intelligence Fusion Feed 概览。
您可以使用以下优先级模型：
主动入侵优先级
“活跃入侵”模型会优先考虑 Mandiant 在活跃或过去的入侵中观察到的指标，其中 GTI 判定结果为恶意，GTI 严重级别为高。
模型使用的相关特征包括：GTI 判定、GTI 严重程度、活跃 IR、普及率和归因。
高优先级
“高”模型会优先考虑在 Mandiant 调查中未观察到，但被 Google Threat Intelligence 识别为与威胁行为者或恶意软件相关的指标。此模型中的网络指标仅尝试匹配出站方向的网络流量。
模型使用的相关特征包括：GTI 判定、GTI 严重程度、普及率和归因。
中优先级
中等模型会优先考虑 Google Threat Intelligence 识别出的 GTI 判定为恶意且 GTI 严重级别为高的指标，即使这些指标未在 Mandiant 调查中观察到。 此模型中的网络指标仅与出站网络流量匹配。
模型使用的相关特征包括：GTI 判定、GTI 严重程度、普及率和已屏蔽。
入站 IP 地址身份验证
入站 IP 地址身份验证模型会优先考虑在入站网络方向上向本地基础架构进行身份验证的 IP 地址。事件中必须存在 UDM 身份验证扩展程序，才能发生匹配。虽然并非所有商品类型都会强制执行此规则集，但此规则集也会尝试滤除一些失败的身份验证事件。例如，此规则集不适用于某些单点登录身份验证类型。
模型使用的相关特征包括：GTI 判定、已屏蔽、网络方向和活跃 IR。