סקירה כללית על תעדוף ב-Applied Threat Intelligence

נתמך ב:

התראות של Applied Threat Intelligence‏ (ATI) ב-Google Security Operations הן התאמות של IoC שנוספו להן הקשרים באמצעות כללי YARA-L, בעזרת גלאים מוכנים מראש. ההקשר מתבסס על מודיעין איומי סייבר של Mandiant מישויות הקשר של Google SecOps, שמאפשר לתעדף התראות על סמך מודיעין.

סדרי העדיפויות של ATI מופיעים בחבילת הכללים Applied Threat Intelligence - Curated Prioritization, שזמינה ב-Google SecOps Managed Content עם רישיון Google SecOps Enterprise Plus.

תכונות לתעדוף ATI

התכונות הכי רלוונטיות של ATI לתעדוף כוללות:

  • ‫Google Threat Intelligence Verdict: פסיקה מאוחדת לגבי מודיעין איומי סייבר שמבוססת על הניתוח של Google.

  • ‫Google Threat Intelligence Severity: דירוג חומרה מחושב שמבוסס על הניתוח של Google.

  • תגובה פעילה לאירוע (IR): המקור הוא מעורבות פעילה בתגובה לאירוע (IR).

  • שכיחות: נצפה בדרך כלל על ידי Mandiant.

  • שיוך (Attribution): משויך באופן מובהק לאיום ש-Mandiant עוקבת אחריו.

  • נחסם: האינדיקטור לא נחסם על ידי אמצעי אבטחה.

  • כיוון הרשת: הצגת תנועה נכנסת או יוצאת ברשת.

אפשר לראות את תכונת העדיפות של ATI להתראה בדף התאמות IoC > מציג האירועים.

מודלים בעדיפות גבוהה של ATI

מודלים של תעדוף ATI משתמשים באירועים של Google SecOps ובמודיעין איומי סייבר של Mandiant כדי להקצות רמות עדיפות ל-IoC. התעדוף הזה מבוסס על תכונות שרלוונטיות גם לרמת העדיפות וגם לסוג ה-IoC, ויוצר שרשראות לוגיות שמסווגות את העדיפות. המודלים של ATI למודיעין איומי סייבר פרקטי יכולים לעזור לכם להגיב להתראות שנוצרו.

מודלים של עדיפות משמשים בכללי הגלאים המוכנים מראש שמסופקים בחבילת הכללים Applied Threat Intelligence - Curated prioritization. אתם יכולים גם ליצור כללים בהתאמה אישית באמצעות מודיעין איומי סייבר של Mandiant דרך Mandiant Fusion Intelligence, שדורש רישיון ל-Google SecOps Enterprise Plus. מידע נוסף על כתיבת כללי YARA-L של פיד Fusion זמין במאמר סקירה כללית על פיד Fusion של Applied מודיעין איומי סייבר.

אלה המודלים של העדיפות שזמינים:

עדיפות של הפרה פעילה

המודל Active breach נותן עדיפות לאינדיקטורים ש-Mandiant זיהתה בפריצות פעילות או בפריצות בעבר, שבהן פסיקת ה-GTI היא Malicious ורמת החומרה של ה-GTI היא High.

התכונות הרלוונטיות שבהן המודל משתמש כוללות: GTI Verdict,‏ GTI Severity,‏ Active IR,‏ Prevalence ו-Attribution.

עדיפות גבוהה

במודל High, המערכת נותנת עדיפות לאינדיקטורים שלא נצפו בחקירות של Mandiant, אבל זוהו על ידי Google Threat Intelligence כמשויכים לגורמים זדוניים או לתוכנות זדוניות. אינדיקטורים של רשת במודל הזה מנסים להתאים רק תנועה ברשת בכיוון יוצא.

התכונות הרלוונטיות שבהן המודל משתמש כוללות: GTI Verdict,‏ GTI Severity,‏ Prevalence ו-Attribution.

עדיפות בינונית

המודל Medium נותן עדיפות לאינדיקטורים שזוהו על ידי Google Threat Intelligence עם פסיקת GTI מסוג Malicious ורמת חומרה High ב-GTI, גם אם הם לא נצפו בחקירות של Mandiant. אינדיקטורים של רשת במודל הזה תואמים רק לתנועה יוצאת ברשת.

התכונות הרלוונטיות שבהן המודל משתמש כוללות את: GTI Verdict,‏ GTI Severity,‏ Prevalence ו-Blocked.

אימות כתובת IP נכנסת

מודל האימות של כתובת IP נכנסת נותן עדיפות לכתובות IP שמאמתות את התשתית המקומית בכיוון של רשת נכנסת. כדי שתהיה התאמה, תוסף האימות של UDM חייב להיות קיים באירועים. למרות שהיא לא נאכפת בכל סוגי המוצרים, קבוצת הכללים הזו גם מנסה לסנן חלק מאירועי האימות שנכשלו. לדוגמה, קבוצת הכללים הזו לא חלה על סוגים מסוימים של אימות SSO.

התכונות הרלוונטיות שהמודל משתמש בהן כוללות: GTI Verdict,‏ Blocked,‏ Network Direction ו-Active IR.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.