Übersicht über die Priorisierung von Applied Threat Intelligence

Unterstützt in:

ATI-Benachrichtigungen (Applied Threat Intelligence) in Google Security Operations sind IoC-Übereinstimmungen, die von YARA-L-Regeln mithilfe von ausgewählten Erkennungen kontextualisiert wurden. Die Kontextualisierung nutzt Mandiant Threat Intelligence aus Google SecOps-Kontextentitäten, was eine auf Bedrohungsdaten basierende Priorisierung von Warnmeldungen ermöglicht.

ATI-Prioritäten werden im Regelpaket Applied Threat Intelligence – Kuratierte Priorisierung bereitgestellt, das in Google SecOps Managed Content mit der Google SecOps Enterprise Plus-Lizenz verfügbar ist.

ATI-Priorisierungsfunktionen

Zu den wichtigsten Funktionen für die ATI-Priorisierung gehören:

  • Google Threat Intelligence Verdict: Ein einheitliches Threat Intelligence-Urteil, das auf der Analyse von Google basiert.

  • Google Threat Intelligence-Schweregrad: Eine berechnete Schweregradbewertung basierend auf der Analyse von Google.

  • Aktive IR: Stammt aus einer aktiven Incident Response (IR).

  • Verbreitung: Häufig von Mandiant beobachtet.

  • Attribution: Stark mit einer von Mandiant verfolgten Bedrohung verknüpft.

  • Blockiert: Der Indikator wurde nicht durch Sicherheitseinstellungen blockiert.

  • Netzwerkrichtung: Zeigt eingehenden oder ausgehenden Netzwerktraffic an.

Sie können die ATI-Prioritätsfunktion für eine Benachrichtigung auf der Seite IoC-Übereinstimmungen > Ereignisanzeige aufrufen.

ATI-Prioritätsmodelle

ATI-Prioritätsmodelle verwenden Google SecOps-Ereignisse und Mandiant Threat Intelligence, um IoCs Prioritätsstufen zuzuweisen. Diese Priorisierung basiert auf Merkmalen, die sowohl für die Prioritätsstufe als auch für den IoC-Typ relevant sind. Dabei werden Logikketten gebildet, die die Priorität klassifizieren. Die ATI-Modelle für umsetzbare Threat Intelligence können Ihnen dann helfen, auf die generierten Warnungen zu reagieren.

Prioritätsmodelle werden in den ausgewählten Erkennungsregeln verwendet, die im Regelpaket Applied Threat Intelligence – Ausgewählte Priorisierung enthalten sind. Sie können auch benutzerdefinierte Regeln mit Mandiant Threat Intelligence über Mandiant Fusion Intelligence erstellen. Dafür ist die Google SecOps Enterprise Plus-Lizenz erforderlich. Weitere Informationen zum Schreiben von YARA-L-Regeln für Fusion-Feeds finden Sie unter Applied Threat Intelligence Fusion-Feed – Übersicht.

Die folgenden Prioritätsmodelle sind verfügbar:

Priorität der aktiven Sicherheitsverletzung

Das Modell für aktive Sicherheitslücken priorisiert Indikatoren, die Mandiant bei aktiven oder früheren Kompromittierungen beobachtet hat, wobei das GTI-Urteil Schädlich und der GTI-Schweregrad Hoch ist.

Zu den relevanten Features, die vom Modell verwendet werden, gehören: GTI-Urteil, GTI-Schweregrad, Aktive IR, Verbreitung und Attribution.

Hohe Priorität

Das Modell „Hoch“ priorisiert Indikatoren, die nicht in Mandiant-Untersuchungen beobachtet wurden, aber von Google Threat Intelligence als mit Bedrohungsakteuren oder Malware in Verbindung stehend identifiziert wurden. Netzwerkindikatoren in diesem Modell versuchen, nur ausgehenden Netzwerk-Traffic abzugleichen.

Zu den relevanten Features, die vom Modell verwendet werden, gehören: GTI-Urteil, GTI-Schweregrad, Prävalenz und Attribution.

Mittlere Priorität

Das Modell „Mittel“ priorisiert Indikatoren, die von Google Threat Intelligence mit dem GTI-Urteil Schädlich und dem GTI-Schweregrad Hoch identifiziert wurden, auch wenn sie nicht in Mandiant-Untersuchungen beobachtet wurden. Netzwerkindikatoren in diesem Modell stimmen nur mit ausgehendem Netzwerkverkehr überein.

Zu den relevanten Features, die vom Modell verwendet werden, gehören: GTI-Urteil, GTI-Schweregrad, Verbreitung und Blockiert.

Authentifizierung eingehender IP-Adressen

Beim Authentifizierungsmodell für eingehende IP-Adressen werden IP-Adressen priorisiert, die sich bei der lokalen Infrastruktur in einer eingehenden Netzwerkrichtung authentifizieren. Die UDM-Authentifizierungserweiterung muss in Ereignissen vorhanden sein, damit eine Übereinstimmung erfolgt. Obwohl dieser Regelsatz nicht für alle Produkttypen erzwungen wird, versucht er auch, einige fehlgeschlagene Authentifizierungsereignisse herauszufiltern. Dieser Regelsatz gilt beispielsweise nicht für einige SSO-Authentifizierungstypen.

Zu den relevanten Features, die vom Modell verwendet werden, gehören: GTI-Urteil, Blockiert, Netzwerkrichtung und Aktive IR.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten