Ausgewählte Erkennungen verwalten

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie die Seiten für ausgewählte Erkennungen verwenden.

Für Google Security Operations-Kunden bietet das Google Cloud Threat Intelligence (GCTI)-Team im Rahmen des Fate-Sharing-Modells von Google Cloud Security sofort einsatzbereite Bedrohungsanalysen an. Im Rahmen dieser ausgewählten Erkennungen stellt das GCTI eine Reihe von YARA-L-Regeln bereit und verwaltet sie, um Kunden bei der Identifizierung von Bedrohungen für ihr Unternehmen zu unterstützen. Diese von GCTI verwalteten Regeln:

  • Kunden sofort umsetzbare Informationen zur Verfügung stellen, die für ihre aufgenommenen Daten verwendet werden können.

  • Nutzt die Threat Intelligence von Google, indem Kunden die Möglichkeit erhalten, sie in Google SecOps zu verwenden.

Hinweis

Informationen zu vordefinierten Richtlinien zur Bedrohungserkennung finden Sie hier:

Informationen dazu, wie Sie prüfen, ob die für die einzelnen Richtlinien erforderlichen Daten im richtigen Format vorliegen, finden Sie unter Aufnahme von Protokolldaten mithilfe von Testregeln prüfen.

Funktionen für ausgewählte Erkennungen

Im Folgenden finden Sie einige der wichtigsten Funktionen für ausgewählte Erkennungen:

  • Ausgewählte Erkennung: Ausgewählte Erkennung, die von GCTI für Google SecOps-Kunden erstellt und verwaltet wird.

  • Regelsätze: Sammlung von Regeln, die von GCTI für Google SecOps-Kunden verwaltet werden. GCTI stellt mehrere Regelsätze bereit und verwaltet sie. Der Kunde hat die Möglichkeit, diese Regeln in seinem Google SecOps-Konto zu aktivieren oder zu deaktivieren und Benachrichtigungen für diese Regeln zu aktivieren oder zu deaktivieren. Neue Regeln und Regelsätze werden regelmäßig vom GCTI-Team bereitgestellt, wenn sich die Bedrohungslandschaft ändert.

    Wenn Google neue oder aktualisierte kuratierte Inhalte veröffentlicht, gelten die folgenden Standardverhalten:

    • Neue Regelsätze (Regelpakete): Standardmäßig deaktiviert (Status ist Deaktiviert und Benachrichtigungen sind Aus). Regelsätze unter den Applied Threat Intelligence-Kategorien (ATI) werden jedoch automatisch für Enterprise Plus-Instanzen aktiviert.
    • Neue Regeln, die einem vorhandenen Regelsatz hinzugefügt werden: Sie übernehmen automatisch die aktuelle Status- und Benachrichtigungskonfiguration des übergeordneten Regelsatzes für ihre Genauigkeitsstufe (Präzise oder Breit).
    • Aktualisierte Regeln (neue Regelversionen): Behalten ihre bestehende Status- und Benachrichtigungskonfiguration pro Regel bei.

Seite „Ausgewählte Erkennungen“ und Regelsätze öffnen

So öffnen Sie die Seite mit den ausgewählten Erkennungen:

  1. Wählen Sie im Hauptmenü Regeln aus.

  2. Klicken Sie auf Ausgewählte Erkennungen, um die Ansicht der Regelsätze zu öffnen.

Auf der Seite „Ausgewählte Erkennung“ finden Sie Informationen zu den für Ihr Google SecOps-Konto aktiven Regelsätzen, z. B.:

  • Zuletzt aktualisiert: Zeitpunkt, zu dem das GCTI-Team den Regelsatz zuletzt aktualisiert hat.

  • Aktivierte Regeln: Gibt an, welche exakten und allgemeinen Regeln für jeden Regelsatz aktiviert sind. Mithilfe exakter Regeln können Sie schädliche Bedrohungen zuverlässig erkennen. Mit allgemeinen Regeln wird nach verdächtigem Verhalten gesucht, das häufiger vorkommen und mehr falsch positive Ergebnisse liefern kann. Für einen Regelsatz können sowohl exakte als auch allgemeine Regeln verfügbar sein.

  • Benachrichtigungen: Gibt an, für welche der exakten und allgemeinen Regeln Benachrichtigungen für jeden Regelsatz aktiviert sind.

  • Mitre-Taktiken: Kennung der von jedem Regelsatz abgedeckten Mitre ATT&CK®-Taktiken. Sie machen die Absichten hinter schädlichem Verhalten deutlich.

  • Mitre-Techniken: Kennung der von den einzelnen Regelsätzen abgedeckten Mitre ATT&CK®-Techniken. Sie zeigen spezifische Aktionen von schädlichem Verhalten auf.

Auf dieser Seite können Sie die Regel und die Benachrichtigungen für die Regel auch aktivieren oder deaktivieren. Dies ist sowohl für allgemeine als auch für exakte Regeln möglich.

Dashboard für ausgewählte Erkennungen öffnen

Das Dashboard für ausgewählte Erkennungen enthält Informationen zu jeder ausgewählten Erkennung, die eine Erkennung für die Logdaten in Ihrem Google SecOps-Konto generiert hat. Regeln mit Erkennungen werden nach Regelsatz gruppiert.

So öffnen Sie das Dashboard für ausgewählte Erkennungen:

  1. Wählen Sie im Hauptmenü Regeln aus. Der Standard-Tab ist „Ausgewählte Erkennungen“ und die Standardansicht ist „Regelsätze“.

  2. Klicken Sie auf Dashboard.

    Ausgewählte Erkennungen

    Abbildung 2: Dashboard für ausgewählte Erkennungen

  3. Im Dashboard „Ausgewählte Erkennungen“ werden alle Regelsätze angezeigt, die für Ihr Google SecOps-Konto verfügbar sind. Jedes Display enthält Folgendes:

    • Diagramm, in dem die aktuelle Aktivität für jede der Regeln eines Regelsatzes erfasst wird.

    • Zeitpunkt der letzten Erkennung.

    • Status der einzelnen Regeln.

    • Schweregrad der letzten Erkennungen.

    • Gibt an, ob Benachrichtigungen aktiviert oder deaktiviert sind.

  4. Sie können die Regeleinstellungen bearbeiten, indem Sie auf das Menüsymbol  oder den Namen des Regelsatzes klicken.

  5. Klicken Sie auf Regelsätze, um zur Ansicht „Regelsätze“ zurückzukehren. In der Ansicht „Regelsätze“ finden Sie Informationen zu den für Ihr Google SecOps-Konto aktiven Regelsätzen.

Details zu einem Regelsatz ansehen

Sie können die Einstellungen für jede ausgewählte Erkennung ändern. Klicken Sie dazu auf das Menüsymbol  für den Regelsatz und wählen Sie dann Regeleinstellungen ansehen und bearbeiten aus.

Sie können den Regelsatz im Bereich Einstellungen aktivieren oder deaktivieren. Mit den Ein/Aus-Buttons Status und Benachrichtigung können Sie die präzisen und allgemeinen Regeln im Regelsatz aktivieren oder deaktivieren. Sie können Benachrichtigungen auch aktivieren oder deaktivieren.

Sie können sich auch alle Ausschlüsse ansehen, die für den Regelsatz konfiguriert wurden. Sie können die Ausschlüsse bearbeiten, indem Sie auf Ansehen klicken. Weitere Informationen finden Sie unter Benachrichtigungsunterdrückung konfigurieren.

Regeleinstellungen

Abbildung 3: Regeleinstellungen

Änderung aller Regeln in einem Regelsatz

Im Bereich Einstellungen werden die Einstellungen für alle Regeln in einem Regelsatz angezeigt. Sie können die Einstellungen ändern, um ausgewählte Erkennungen zu erstellen, die auf die Nutzung und Anforderungen Ihrer Organisation zugeschnitten sind.

  • Präzise Regeln: Finden schädliches Verhalten mit höherer Konfidenz und weniger falsch positiven Ergebnissen, da die Regel spezifischer ist.

  • Allgemeine Regeln: Finden Sie Verhalten, das potenziell schädlich oder anomal ist, aber in der Regel mehr falsch positive Ergebnisse liefert, da die Regel allgemeiner ist.

  • Status: Aktivieren Sie den Status einer Regel als „Präzise“ oder „Allgemein“, indem Sie die entsprechende Option Status auf Aktiviert setzen.

  • Benachrichtigungen: Aktivieren Sie Benachrichtigungen, um Erkennungen zu erhalten, die von entsprechenden exakten oder allgemeinen Regeln erstellt wurden. Setzen Sie dazu die Option Benachrichtigungen auf An.

Regelausschlüsse konfigurieren

Sie können Regelausschlüsse konfigurieren, um die Anzahl der Benachrichtigungen von ausgewählten GCTI-Erkennungen zu verwalten. Weitere Informationen finden Sie unter Benachrichtigungsunterdrückung konfigurieren.

Ausgewählte Erkennungen ansehen

Sie können sich alle ausgewählten Erkennungen in der Ansicht „Ausgewählte Erkennungen“ ansehen. In dieser Ansicht können Sie alle mit der Regel verknüpften Erkennungen prüfen und von der Zeitachse zu anderen Ansichten wie der Asset-Ansicht wechseln.

So öffnen Sie die Ansicht „Kuratierte Erkennung“:

  1. Klicken Sie auf Dashboard.

  2. Klicken Sie in der Spalte „Regel“ auf den Link mit dem Regelnamen.

Nächste Schritte

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten