Minacce cloud

Supportata in:

Questo documento fornisce una panoramica dei set di regole nella categoria Cloud Threats, delle origini dati richieste e della configurazione che puoi utilizzare per ottimizzare gli avvisi generati da ogni set di regole. Questi set di regole aiutano a identificare le minacce negli ambienti Google Cloudutilizzando i dati Google Cloud e negli ambienti AWS utilizzando i dati AWS.

Descrizioni dei set di regole

Nella categoria Cloud Threats sono disponibili i seguenti set di regole.

L'abbreviazione CDIR sta per Cloud Detection, Investigation, and Response.

Rilevamenti predefiniti per i dati di Google Cloud

I set di regoleGoogle Cloud aiutano a identificare le minacce negli ambienti Google Cloud utilizzando i dati sugli eventi e sul contesto e includono i seguenti set di regole:

  • Azione amministratore: attività associata ad azioni amministrative, ritenuta sospetta, ma potenzialmente legittima a seconda dell'utilizzo dell'organizzazione.
  • CDIR SCC Enhanced Exfiltration: contiene regole sensibili al contesto che correlano i risultati di esfiltrazione di Security Command Center con altre origini log, tra cui i log di Cloud Audit Logs, il contesto di Sensitive Data Protection, il contesto di BigQuery e i log di configurazione errata di Security Command Center.
  • CDIR SCC Enhanced Defense Evasion: contiene regole sensibili al contesto che correlano i risultati di Security Command Center Evasion o Defense Evasion con i dati di altre origini datiGoogle Cloud , inclusi Cloud Audit Logs.
  • CDIR SCC Enhanced Malware: contiene regole sensibili al contesto che correlano i risultati di Security Command Center Malware con i dati, tra cui l'occorrenza di indirizzi IP e domini e i relativi punteggi di prevalenza, oltre ad altre origini dati, inclusi i log di Cloud DNS.
  • CDIR SCC Enhanced Persistence: contiene regole sensibili al contesto che correlano i risultati di persistenza di Security Command Center con i dati provenienti dalle origini, inclusi i log di Cloud DNS e i log di analisi IAM.
  • CDIR SCC Enhanced Privilege Escalation: contiene regole sensibili al contesto che correlano i risultati di Security Command Center relativi all'escalation dei privilegi con i dati di diverse altre origini dati, tra cui Cloud Audit Logs.
  • CDIR SCC Credential Access: contiene regole sensibili al contesto che correlano i risultati di Security Command Center Credential Access con i dati di diverse altre origini dati, tra cui Cloud Audit Logs
  • CDIR SCC Enhanced Discovery: contiene regole context-aware che correlano i risultati di escalation di Security Command Center Discovery con i dati provenienti da origini come i servizi Google Cloud e Cloud Audit Logs.
  • CDIR SCC Brute Force: contiene regole sensibili al contesto che correlano i risultati dell'escalation di attacchi brute force di Security Command Center con i dati, inclusi i log di Cloud DNS.
  • CDIR SCC Data Destruction: contiene regole sensibili al contesto che correlano i risultati di escalation di Security Command Center Data Destruction con i dati di diverse altre origini dati, tra cui Cloud Audit Logs.
  • CDIR SCC Inhibit System Recovery: contiene regole sensibili al contesto che correlano i risultati di Security Command Center Inhibit System Recovery con i dati di diverse altre origini dati, tra cui Cloud Audit Logs.
  • CDIR SCC Execution: contiene regole context-aware che correlano i risultati di Security Command Center Execution con i dati di diverse altre origini dati, tra cui Cloud Audit Logs.
  • CDIR SCC Initial Access: contiene regole sensibili al contesto che correlano i risultati di accesso iniziale di Security Command Center con i dati di diverse altre origini dati, tra cui Cloud Audit Logs.
  • CDIR SCC Impair Defenses: contiene regole sensibili al contesto che correlano i risultati di Security Command Center Impair Defenses con i dati di diverse altre origini dati, tra cui Cloud Audit Logs.
  • CDIR SCC Impact: contiene regole che rilevano i risultati di Impact di Security Command Center con una classificazione di gravità Critica, Alta, Media e Bassa.
  • CDIR SCC Cloud IDS: contiene regole che rilevano i risultati di Cloud Intrusion Detection System da Security Command Center con una classificazione di gravità Critica, Alta, Media e Bassa.
  • CDIR SCC Cloud Armor: contiene regole che rilevano i risultati di Google Cloud Armor da Security Command Center.
  • CDIR SCC Custom Module: contiene regole che rilevano i risultati dei moduli personalizzati di Event Threat Detection da Security Command Center.
  • Cloud Hacktool: attività rilevata da piattaforme di sicurezza offensive note o da strumenti o software offensivi utilizzati in natura da soggetti malintenzionati che prendono di mira specificamente le risorse cloud.
  • Cloud SQL Ransom: rileva l'attività associata all'esfiltrazione o al riscatto di dati all'interno dei database Cloud SQL.
  • Strumenti Kubernetes sospetti: rileva i comportamenti di ricognizione e sfruttamento degli strumenti Kubernetes open source.
  • Abuso di RBAC di Kubernetes: rileva l'attività di Kubernetes associata all'abuso dei controlli degli accessi basati su ruoli (RBAC) che tentano l'escalation dei privilegi o il movimento laterale.
  • Azioni sensibili sui certificati Kubernetes: rileva le azioni sui certificati Kubernetes e sulle richieste di firma del certificato (CSR) che potrebbero essere utilizzate per stabilire la persistenza o l'escalation dei privilegi.
  • Abuso di IAM: attività associata all'abuso di ruoli e autorizzazioni IAM per potenzialmente eseguire l'escalation dei privilegi o spostarsi lateralmente all'interno di un determinato progetto Cloud o in un'organizzazione Cloud.
  • Potenziale attività di esfiltrazione: rileva l'attività associata alla potenziale esfiltrazione di dati.
  • Mascheramento delle risorse: rileva Google Cloud risorse create con nomi o caratteristiche di un'altra risorsa o tipo di risorsa. Questo potrebbe essere utilizzato per mascherare l'attività dannosa eseguita dalla risorsa o al suo interno, con l'intenzione di apparire legittima.
  • Minacce serverless: rileva le attività associate a potenziali compromissioni o abusi delle risorse serverless in Google Cloud, tra cui Cloud Run e Cloud Run Functions.
  • Interruzione del servizio: rileva azioni distruttive o dannose che, se eseguite in un ambiente di produzione funzionante, potrebbero causare un'interruzione significativa. Il comportamento rilevato è comune e probabilmente innocuo negli ambienti di test e sviluppo.
  • Comportamento sospetto: attività che si ritiene siano insolite e sospette nella maggior parte degli ambienti.
  • Modifica sospetta dell'infrastruttura: rileva le modifiche all'infrastruttura di produzione che sono in linea con le tattiche di persistenza note
  • Configurazione indebolita: attività associata all'indebolimento o al degrado di un controllo di sicurezza. Ritenuto sospetto, potenzialmente legittimo a seconda dell'utilizzo da parte dell'organizzazione.
  • Potenziale esfiltrazione di dati da parte di addetti ai lavori da Chrome: rileva l'attività associata a potenziali comportamenti di minaccia interna, tra cui l'esfiltrazione di dati o la perdita di dati potenzialmente sensibili al di fuori di un'organizzazione Google Workspace. Sono inclusi i comportamenti di Chrome considerati anomali rispetto a una base di riferimento di 30 giorni.
  • Potenziale esfiltrazione di dati da Drive da parte di addetti ai lavori: rileva l'attività associata a potenziali comportamenti di minaccia interna, tra cui l'esfiltrazione di dati o la perdita di dati potenzialmente sensibili al di fuori di un'organizzazione Google Workspace. Sono inclusi i comportamenti di Drive considerati anomali rispetto a una base di riferimento di 30 giorni.
  • Potenziale esfiltrazione di dati da parte di addetti ai lavori da Gmail: rileva l'attività associata a potenziali comportamenti di minaccia interna, tra cui l'esfiltrazione di dati o la perdita di dati potenzialmente sensibili al di fuori di un'organizzazione Google Workspace. Sono inclusi i comportamenti di Gmail considerati anomali rispetto a una base di riferimento di 30 giorni.
  • Potenziale compromissione dell'account Workspace: rileva comportamenti di minaccia interna che indicano che l'account potrebbe essere stato potenzialmente compromesso e potrebbe portare a tentativi di escalation dei privilegi o di movimento laterale all'interno di un'organizzazione Google Workspace. Sono inclusi i comportamenti considerati rari o anomali rispetto a una base di riferimento di 30 giorni.
  • Azioni amministrative sospette di Workspace: rileva comportamenti che indicano potenziali evasioni, downgrade della sicurezza o comportamenti rari e anomali mai visti negli ultimi 30 giorni da parte di utenti con privilegi più elevati, inclusi gli amministratori.

Dispositivi e tipi di log supportati

Le sezioni seguenti descrivono i dati richiesti dai set di regole nella categoria Cloud Threats.

Per importare i dati dai servizi Google Cloud , consulta Importa i log di Cloud in Google SecOps. Contatta il tuo rappresentante Google SecOps se devi raccogliere questi log utilizzando un meccanismo diverso.

Google SecOps fornisce parser predefiniti che analizzano e normalizzano i log non elaborati dei servizi Google Cloud per creare record UDM con i dati richiesti da questi set di regole.

Per un elenco di tutte le origini dati supportate da Google SecOps, consulta Parser predefiniti supportati.

Tutti i set di regole

Per utilizzare qualsiasi set di regole, ti consigliamo di Cloud Audit Logs di Cloud Google Cloud. Alcune regole richiedono ai clienti di abilitare il logging di Cloud DNS. Assicurati che i servizi Google Cloud siano configurati per registrare i dati nei seguenti log:

Set di regole Cloud SQL Ransom

Per utilizzare il set di regole Cloud SQL Ransom, ti consigliamo di raccogliere i seguenti dati Google Cloud :

Set di regole SCC avanzate di CDIR

Tutti i set di regole che iniziano con il nome CDIR SCC Enhanced utilizzano i risultati di Security Command Center Premium contestualizzati con diverse altre origini log Google Cloud , tra cui:

  • Cloud Audit Logs
  • Log di Cloud DNS
  • Analisi di Identity and Access Management (IAM)
  • Contesto di Sensitive Data Protection
  • Contesto BigQuery
  • Contesto di Compute Engine

Per utilizzare i set di regole CDIR SCC Enhanced, ti consigliamo di raccogliere i seguenti dati Google Cloud :

  • Dati di log elencati nella sezione Tutti i set di regole.

  • I seguenti dati dei log, elencati per nome del prodotto ed etichetta di importazione di Google SecOps:

    • BigQuery (GCP_BIGQUERY_CONTEXT)
    • Compute Engine (GCP_COMPUTE_CONTEXT)
    • IAM (GCP_IAM_CONTEXT)
    • Sensitive Data Protection (GCP_DLP_CONTEXT)
    • Cloud Audit Logs (GCP_CLOUDAUDIT)
    • Attività di Google Workspace (WORKSPACE_ACTIVITY)
    • Query Cloud DNS (GCP_DNS)

  • Le seguenti classi di risultati di Security Command Center, elencate per identificatore findingClass e etichetta di importazione di Google SecOps:

    • Threat (GCP_SECURITYCENTER_THREAT)
    • Misconfiguration (GCP_SECURITYCENTER_MISCONFIGURATION)
    • Vulnerability (GCP_SECURITYCENTER_VULNERABILITY)
    • SCC Error (GCP_SECURITYCENTER_ERROR)

I set di regole CDIR SCC Enhanced dipendono anche dai dati dei servizi Google Cloud . Per inviare i dati richiesti a Google SecOps, assicurati di completare quanto segue:

I seguenti set di regole creano un rilevamento quando vengono identificati i risultati di Event Threat Detection di Security Command Center, Google Cloud Armor, Sensitive Actions Service di Security Command Center e moduli personalizzati per Event Threat Detection:

  • CDIR SCC Cloud IDS
  • CDIR SCC Cloud Armor
  • Impatto SCC CDIR
  • CDIR SCC Enhanced Persistence
  • CDIR SCC Enhanced Defense Evasion
  • Modulo personalizzato SCC CDIR

Set di regole Strumenti sospetti di Kubernetes

Per utilizzare il set di regole Kubernetes Suspicious Tools, ti consigliamo di raccogliere i dati elencati nella sezione Tutti i set di regole. Assicurati che i servizi Google Cloud siano configurati per registrare i dati nei log dei nodi di Google Kubernetes Engine (GKE)

Set di regole per l'abuso di RBAC Kubernetes

Per utilizzare il set di regole Abuso di RBAC di Kubernetes, ti consigliamo di raccogliere gli audit log di Cloud, elencati nella sezione Tutti i set di regole.

Set di regole Azioni sensibili per i certificati Kubernetes

Per utilizzare il set di regole Azioni sensibili sui certificati Kubernetes, ti consigliamo di raccogliere gli audit log di Cloud, elencati nella sezione Tutti i set di regole.

Set di regole relativi a Google Workspace

I seguenti set di regole rilevano pattern nei dati di Google Workspace:

  • Potenziale esfiltrazione di dati da Chrome da parte di addetti ai lavori
  • Potenziale esfiltrazione di dati da Drive da parte di addetti ai lavori
  • Potenziale esfiltrazione di dati da parte di addetti ai lavori da Gmail
  • Potenziale compromissione dell'account Workspace
  • Azioni amministrative sospette di Workspace

Questi set di regole richiedono i seguenti tipi di log, elencati per nome del prodotto ed etichetta di importazione di Google SecOps:

  • Attività di Workspace (WORKSPACE_ACTIVITY)
  • Avvisi di Workspace (WORKSPACE_ALERTS)
  • Dispositivi ChromeOS di Workspace (WORKSPACE_CHROMEOS)
  • Dispositivi mobili Workspace (WORKSPACE_MOBILE)
  • Utenti di Workspace (WORKSPACE_USERS)
  • Google Chrome Browser Cloud Management (CHROME_MANAGEMENT)
  • Log di Gmail (GMAIL_LOGS)

Per importare i dati richiesti, segui questi passaggi:

Set di regole Serverless Threats

I log di Cloud Run includono log delle richieste e log dei container, che vengono importati come tipo di log GCP_RUN in Google SecOps. I log di GCP_RUN possono essere importati utilizzando l'importazione diretta o utilizzando i feed e Cloud Storage. Per filtri dei log specifici e ulteriori dettagli sull'importazione, consulta Esportazione dei log di Google Cloud in Google SecOps. Il seguente filtro di esportazione esporta i log di Google Cloud Cloud Run (GCP_RUN), oltre ai log predefiniti, sia tramite il meccanismo di importazione diretta sia tramite Cloud Storage e i sink:

log_id("run.googleapis.com/stdout") OR
log_id("run.googleapis.com/stderr") OR
log_id("run.googleapis.com/requests") OR
log_id("run.googleapis.com/varlog/system)

Rilevamenti predefiniti per i set di regole AWS

I set di regole AWS in questa categoria aiutano a identificare le minacce negli ambienti AWS utilizzando i dati sugli eventi e sul contesto e includono i seguenti set di regole:

  • AWS - Compute: rileva attività anomale relative alle risorse di computing AWS, tra cui EC2 e Lambda.
  • AWS - Data: rileva l'attività AWS associata alle risorse di dati, inclusi gli snapshot RDS o i bucket S3 resi disponibili pubblicamente.
  • AWS - GuardDuty: avvisi AWS GuardDuty sensibili al contesto per comportamento, accesso alle credenziali, cryptomining, rilevamento, evasione, esecuzione, esfiltrazione, impatto, accesso iniziale, malware, test di penetrazione, persistenza, policy, escalation dei privilegi e accesso non autorizzato.
  • AWS - Hacktools: rileva l'utilizzo di strumenti di hacking in un ambiente AWS, come scanner, toolkit e framework.
  • AWS - Identity: rilevamenti di attività AWS associate ad attività IAM e di autenticazione, inclusi accessi insoliti da più località geografiche, creazione di ruoli eccessivamente permissivi o attività IAM da strumenti sospetti.
  • AWS - Logging and Monitoring: rileva l'attività AWS correlata alla disattivazione dei servizi di logging e monitoraggio, tra cui CloudTrail, CloudWatch e GuardDuty.
  • AWS - Network: rileva modifiche non sicure alle impostazioni della rete AWS, come gruppi di sicurezza e firewall.
  • AWS - Organizzazione: rileva l'attività AWS associata alla tua organizzazione, inclusa l'aggiunta o la rimozione di account ed eventi imprevisti relativi all'utilizzo della regione.
  • AWS - Secret: rileva l'attività AWS associata a secret, token e password, inclusa l'eliminazione di secret KMS o secret di Secrets Manager.

Dispositivi e tipi di log supportati per AWS

Questi set di regole sono stati testati e sono supportati con le seguenti origini dati di Google SecOps, elencate per nome del prodotto ed etichetta di importazione.

Per informazioni sulla configurazione dell'importazione dei dati AWS, consulta Configura l'importazione dei dati AWS.

Per un elenco di tutte le origini dati supportate, consulta Parser predefiniti supportati.

Le sezioni seguenti descrivono i dati richiesti dai set di regole che identificano i pattern nei dati.

Puoi importare i dati AWS utilizzando un bucket Amazon Simple Storage Service (Amazon S3) come tipo di origine o, facoltativamente, utilizzando Amazon S3 con Amazon Simple Queue Service (Amazon SQS). A livello generale, dovrai effettuare le seguenti operazioni:

  • Configura Amazon S3 o Amazon S3 con Amazon SQS per raccogliere i dati di log.
  • Configura un feed Google SecOps per importare i dati da Amazon S3 o Amazon SQS

Consulta Importa i log AWS in Google SecOps per i passaggi dettagliati necessari per configurare i servizi AWS e un feed Google SecOps per importare i dati AWS.

Puoi utilizzare le regole di test di AWS Managed Detection Testing per verificare che i dati AWS vengano importati in Google SecOps SIEM. Queste regole di test aiutano a verificare se i dati di log di AWS vengono importati come previsto. Dopo aver configurato l'importazione dei dati AWS, esegui in AWS le azioni che dovrebbero attivare le regole di test.

Consulta Verifica l'importazione dati AWS per la categoria Cloud Threats per informazioni su come verificare l'acquisizione dei dati AWS utilizzando le regole di test di AWS Managed Detection Testing.

Rilevamenti predefiniti per i dati di Azure

Alcuni set di regole di questa categoria sono progettati per funzionare con i dati di Azure per identificare le minacce negli ambienti Azure utilizzando dati sugli eventi, dati di contesto e avvisi. tra cui:

  • Azure - Compute: rileva attività anomale relative alle risorse di computing di Azure, tra cui Kubernetes e le macchine virtuali (VM).
  • Azure - Dati: rileva l'attività associata alle risorse di dati, tra cui autorizzazioni, modifiche e inviti di Azure Blob a utenti esterni per l'utilizzo dei servizi Azure sul tenant.
  • Azure - Defender for Cloud: identifica gli avvisi ricevuti da Microsoft Defender for Cloud sensibile al contesto relativi a comportamento degli utenti, accesso alle credenziali, cryptomining, rilevamento, evasione, esecuzione, esfiltrazione, impatto, accesso iniziale, malware, test di penetrazione, persistenza, policy, escalation dei privilegi o accesso non autorizzato in tutti i servizi cloud di Azure.
  • Azure - Hacktools: rileva l'utilizzo di strumenti di hacking in un ambiente Azure, inclusi anonimizzatori Tor e VPN, scanner e toolkit di red teaming.
  • Azure - Identity: rileva le attività relative all'autenticazione e all'autorizzazione, indicando comportamenti insoliti, tra cui l'accesso simultaneo da più posizioni geografiche, policy di gestione degli accessi eccessivamente permissive o attività Azure RBAC da strumenti sospetti.
  • Azure - Logging and Monitoring: rileva l'attività relativa alla disattivazione dei servizi di logging e monitoraggio in Azure.
  • Azure - Network: rileva modifiche non sicure e rilevanti alle impostazioni o ai dispositivi di networking di Azure, inclusi gruppi di sicurezza o firewall, Azure Web Application Firewall e policy di denial of service.
  • Azure - Organization: rileva l'attività associata alla tua organizzazione, inclusa l'aggiunta o la rimozione di abbonamenti e account.
  • Azure - Secret: rileva l'attività associata a secret, token e password (ad esempio modifiche ad Azure Key Vault o alle chiavi di accesso dell'account di archiviazione).

Dispositivi supportati e tipi di log richiesti per Azure

Questi set di regole sono stati testati e sono supportati con le seguenti origini dati, elencate per nome del prodotto ed etichetta di importazione di Google SecOps.

Importa i dati di Azure e Microsoft Entra ID

Devi importare i dati da ogni origine dati per avere la massima copertura delle regole. Consulta la seguente documentazione per informazioni su come importare i dati da ogni origine.

La sezione seguente descrive come verificare l'importazione dei dati di Azure utilizzando regole di test predefinite.

Verifica l'importazione dei dati di Azure

La dashboard di acquisizione e integrità dei dati di Google SecOps ti consente di visualizzare informazioni sul tipo, sul volume e sull'integrità di tutti i dati acquisiti in Google SecOps utilizzando le funzionalità di acquisizione SIEM.

Puoi anche utilizzare le regole di test di Azure Managed Detection Testing per verificare l'importazione dei dati di Azure. Dopo aver configurato l'importazione, esegui nel portale di Azure le azioni che dovrebbero attivare le regole di test. Sono progettati per verificare che i dati vengano acquisiti e siano nel formato previsto per utilizzare i rilevamenti predefiniti per i dati di Azure.

Abilita le regole di test di Azure Managed Detection Testing

  1. In Google Security Operations, fai clic su Rilevamenti > Regole e rilevamenti per aprire la pagina Rilevamenti predefiniti.
  2. Seleziona Managed Detection Testing > Azure Managed Detection Testing.
  3. Attiva sia Stato che Avvisi per le regole Generale e Precisa.

Invia i dati delle azioni degli utenti per attivare le regole di test

Per verificare che i dati vengano importati come previsto, crea un utente e accedi per verificare che queste azioni attivino le regole di test. Per informazioni sulla creazione di utenti in Microsoft Entra ID, consulta Come creare, invitare ed eliminare utenti.

  1. In Azure, crea un nuovo utente Microsoft Entra ID.

    1. Vai al portale di Azure.
    2. Apri Microsoft Entra ID.
    3. Fai clic su Aggiungi, quindi su Crea nuovo utente. Per definire l'utente, segui questi passaggi:
      1. Inserisci le seguenti informazioni:
        • Nome dell'entità utente: GCTI_ALERT_VALIDATION
        • Nome dell'entità utente: GCTI_ALERT_VALIDATION
        • Nome visualizzato: GCTI_ALERT_VALIDATION
      2. Seleziona Genera automaticamente password per generare automaticamente una password per questo utente.
      3. Seleziona la casella di controllo Account Enabled (Account attivato).
      4. Apri la scheda Review + Create (Rivedi e crea).
      5. Ricorda la password generata automaticamente. Lo utilizzerai nei passaggi successivi.
      6. Fai clic su Crea.
    4. Apri una finestra del browser in modalità Incognito, quindi vai al portale Azure.
    5. Accedi con l'utente e la password appena creati.
    6. Modifica la password utente.
    7. Configura l'autenticazione a più fattori (MFA), come richiesto dalla tua organizzazione.
    8. Esci dal portale Azure e conferma la disconnessione.

  2. Per verificare che gli avvisi vengano creati in Google Security Operations, segui questi passaggi:

    1. In Google Security Operations, fai clic su Rilevamenti > Regole e rilevamenti per aprire la pagina Rilevamenti predefiniti.

    2. Fai clic su Dashboard.

    3. Nell'elenco dei rilevamenti, verifica che siano state attivate le seguenti regole:

      • tst_azure_ad_user_creation
      • tst_azure_ad_user_login

  3. Dopo aver confermato che i dati sono stati inviati e che queste regole sono state attivate, disattiva o esegui il deprovisioning dell'account utente.

Invia avvisi di esempio per attivare le regole di test

Segui questi passaggi per verificare che la generazione di avvisi di sicurezza di esempio in Azure attivi le regole di test. Per saperne di più sulla generazione di avvisi di sicurezza di esempio in Microsoft Defender for Cloud, consulta Convalida degli avvisi in Microsoft Defender for Cloud.

  1. Nel portale Azure, vai a Tutti i servizi.
  2. In Sicurezza, apri Microsoft Defender for Cloud.
  3. Vai ad Avvisi di sicurezza.
  4. Fai clic su Avvisi di esempio e poi segui questi passaggi:
    1. Seleziona il tuo abbonamento.
    2. Seleziona Tutti per Piani di Defender for Cloud.
    3. Fai clic su Crea avvisi di esempio.
  5. Verifica che gli avvisi di test vengano attivati.
  6. In Google Security Operations, fai clic su Rilevamenti > Regole e rilevamenti per aprire la pagina Rilevamenti predefiniti.
  7. Fai clic su Dashboard.
  8. Nell'elenco dei rilevamenti, verifica che siano state attivate le seguenti regole:
    • tst_azure_activity
    • tst_azure_defender_for_cloud_alerts

Esegui una richiesta API GET in Microsoft Graph Explorer per attivare le regole di test

Segui questi passaggi per verificare che la generazione di avvisi di sicurezza di esempio in Azure attivi le regole di test.

  1. Vai a Microsoft Graph Explorer.
  2. Verifica che sia selezionato il tenant appropriato.
  3. Fai clic su Esegui query.
  4. Verifica che gli avvisi di test vengano attivati.
  5. In Google Security Operations, fai clic su Rilevamenti > Regole e rilevamenti per aprire la pagina Rilevamenti predefiniti.
  6. Fai clic su Dashboard.
  7. Nell'elenco dei rilevamenti, verifica che sia stata attivata la regola tst_microsoft_graph_api_get_activity.

Disattiva i set di regole di test di rilevamento gestito di Azure

  1. In Google Security Operations, fai clic su Rilevamento > Regole e rilevamenti per aprire la pagina Rilevamenti selezionati.
  2. Seleziona le regole Managed Detection Testing > Azure Managed Detection Testing.
  3. Disattiva Stato e Avvisi per le regole Generale e Precisa.

Rilevamenti predefiniti per i dati di Office 365

I set di regole di Office 365 in questa categoria aiutano a identificare le minacce negli ambienti Office 365 utilizzando i dati sugli eventi e sul contesto e includono i seguenti set di regole:

  • Office 365 - Administrative: rileva attività dannose, sospette e ad alto rischio in Office 365, tra cui modifiche alle policy di backup, Microsoft Purview e rilevamenti ATP.

  • Office 365 - eDiscovery: rileva attività dannose, sospette e ad alto rischio in Office 365 eDiscovery, inclusi i tentativi di ricerca di credenziali o altri dati sensibili.

  • Office 365 - Email: rileva attività dannose, sospette e ad alto rischio nell'email di Office 365, inclusi tentativi di phishing, modifiche alle impostazioni email rischiose e attività email sospette.

  • Office 365 - Forms: rileva attività dannose, sospette e ad alto rischio in Office 365 Forms, inclusi i tentativi di phishing e gli aggiornamenti di stato per gli account Forms.

  • Office 365 - Identity: rileva attività dannose, sospette e ad alto rischio in Office 365 relative alla gestione di identità e accessi, tra cui potenziali furti di token, configurazioni di autenticazione rischiose, attacchi MFA, attacchi alle password e strumenti di pirateria informatica noti.

  • Office 365 - Sharepoint e OneDrive: rileva attività dannose, sospette e ad alto rischio in Office 365 Sharepoint e OneDrive, tra cui caricamenti di malware, condivisione anonima di file e ricerche di credenziali e dati finanziari.

  • Office 365 - Teams: rileva attività dannose, sospette e ad alto rischio in Office 365 Teams, tra cui il furto d'identità degli account Teams, l'esportazione di registrazioni e trascrizioni.

Dispositivi supportati e tipi di log richiesti per Office 365

Questi set di regole sono stati testati e sono supportati con le seguenti origini dati, elencate per nome del prodotto ed etichetta di importazione di Google SecOps:

Rilevamenti predefiniti per i set di regole Okta

I set di regole Okta in questa categoria aiutano a rilevare le minacce negli ambienti Okta analizzando i dati degli eventi e del contesto. Il set di regole include quanto segue:

  • Okta: identifica una serie di attività dannose e attività sospette che si verificano all'interno della piattaforma Okta, tra cui attacchi MFA, tentativi di forza bruta, password spraying, anomalie di accesso e altro ancora.

Dispositivi supportati e tipi di log richiesti per Okta

Questi set di regole sono stati testati e sono supportati con le seguenti origini dati, elencate per nome del prodotto ed etichetta di importazione di Google SecOps:

Ottimizza gli avvisi restituiti dai set di regole

Puoi ridurre il numero di rilevamenti generati da una regola o da un set di regole utilizzando le esclusioni di regole.

Un'esclusione di regola definisce i criteri utilizzati per escludere un evento dalla valutazione da parte del set di regole o di regole specifiche nel set di regole. Crea una o più esclusioni di regole per ridurre il volume dei rilevamenti. Per saperne di più, consulta Configura la soppressione degli avvisi.

Passaggi successivi

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.