Gestisci i rilevamenti predefiniti

Supportata in:

Questo documento descrive come utilizzare le pagine dei rilevamenti predefiniti.

Per i clienti di Google Security Operations, il team di Google Cloud Threat Intelligence (GCTI) offre analisi delle minacce pronte all'uso nell'ambito del modello di destino condiviso per la sicurezza di Google Cloud . Nell'ambito di questi rilevamenti predefiniti, GCTI fornisce e gestisce un insieme di regole YARA-L per aiutare i clienti a identificare le minacce alla loro azienda. Queste regole gestite da GCTI:

  • Fornire ai clienti informazioni immediatamente utilizzabili che possono essere applicate ai dati importati.

  • Sfrutta la threat intelligence di Google fornendo ai clienti un modo per utilizzarla all'interno di Google SecOps.

Prima di iniziare

Per informazioni sulle policy di rilevamento delle minacce predefinite, consulta quanto segue:

Per verificare che i dati richiesti per ogni policy siano nel formato corretto, consulta Verifica l'importazione dati dei log utilizzando le regole di test.

Funzionalità dei rilevamenti predefiniti

Di seguito sono riportate alcune delle principali funzionalità dei rilevamenti predefiniti:

  • Rilevamento predefinito: rilevamento predefinito creato e gestito da GCTI per i clienti di Google SecOps.

  • Set di regole: raccolta di regole gestite da GCTI per i clienti di Google SecOps. GCTI fornisce e gestisce più set di regole. Il cliente ha la possibilità di attivare o disattivare queste regole all'interno del proprio account Google SecOps e di attivare o disattivare gli avvisi per queste regole. Nuove regole e set di regole verranno forniti periodicamente dal GCTI in base ai cambiamenti del panorama delle minacce.

    Quando Google rilascia contenuti selezionati nuovi o aggiornati, si applicano i seguenti comportamenti predefiniti:

    • Nuovi set di regole (pacchetti di regole): per impostazione predefinita, sono disattivati (lo stato è Disattivato e l'opzione Avvisi è impostata su Off). Tuttavia, i set di regole nelle categorie Applied Threat Intelligence (ATI) vengono attivati automaticamente per le istanze Enterprise Plus.
    • Nuove regole aggiunte a un set di regole esistente: ereditano automaticamente lo stato corrente e la configurazione degli avvisi del set di regole principale per il loro livello di precisione (Preciso o Ampio).
    • Regole aggiornate (nuove revisioni delle regole): mantengono la configurazione esistente di stato e avvisi per regola.

Apri la pagina dei rilevamenti predefiniti e i set di regole

Per aprire la pagina dei rilevamenti predefiniti, completa i seguenti passaggi:

  1. Seleziona Regole dal menu principale.

  2. Fai clic su Rilevamenti predefiniti per aprire la visualizzazione dei set di regole.

La pagina Rilevamento predefinito fornisce informazioni su ciascuno dei set di regole attivi per il tuo account Google SecOps, tra cui:

  • Ultimo aggiornamento: l'ora dell'ultimo aggiornamento del set di regole da parte di GCTI.

  • Regole abilitate: indica quali regole precise e generali sono abilitate per ogni set di regole. Le regole precise rilevano minacce dannose con un alto grado di affidabilità. Le regole generali cercano comportamenti sospetti che potrebbero essere più comuni e produrre più falsi positivi. Per un set di regole potrebbero essere disponibili sia regole precise che generali.

  • Avvisi: indica per quali regole precise e generali sono attivati gli avvisi per ogni set di regole.

  • Tattiche Mitre: identificatore delle tattiche Mitre ATT&CK® coperte da ogni set di regole. Le tattiche MITRE ATT&CK® rappresentano l'intento alla base del comportamento dannoso.

  • Tecniche Mitre: identificatore delle tecniche Mitre ATT&CK® coperte da ogni set di regole. Le tecniche MITRE ATT&CK® rappresentano azioni specifiche del comportamento dannoso

Da questa pagina puoi anche attivare o disattivare la regola e gli avvisi per la regola. Puoi farlo sia per le regole generiche che per quelle precise.

Apri la dashboard dei rilevamenti predefiniti

La dashboard dei rilevamenti predefiniti mostra informazioni su ogni rilevamento predefinito che ha generato un rilevamento rispetto ai dati di log nel tuo account Google SecOps. Le regole con rilevamenti sono raggruppate per set di regole.

Per aprire la dashboard dei rilevamenti predefiniti, completa i seguenti passaggi:

  1. Seleziona Regole dal menu principale. La scheda predefinita è Rilevamenti predefiniti e la visualizzazione predefinita è Set di regole.

  2. Fai clic su Dashboard.

    Rilevamenti predefiniti

    Figura 2: dashboard dei rilevamenti predefiniti

  3. La dashboard Rilevamenti predefiniti mostra ciascuno dei set di regole disponibili per il tuo account Google SecOps. Ogni display include quanto segue:

    • Grafico che monitora l'attività corrente per ciascuna delle regole associate a un set di regole.

    • Data/ora dell'ultimo rilevamento.

    • Stato di ogni regola.

    • Gravità dei rilevamenti recenti.

    • Indica se gli avvisi sono attivati o disattivati.

  4. Puoi modificare le impostazioni della regola facendo clic sull'icona del menu o sul nome del set di regole.

  5. Fai clic su Set di regole per tornare alla visualizzazione dei set di regole. La visualizzazione dei set di regole fornisce informazioni su ogni set di regole attivo per il tuo account Google SecOps.

Visualizza i dettagli di un set di regole

Puoi modificare le impostazioni di qualsiasi rilevamento predefinito facendo clic sull'icona del menu per il set di regole e selezionando Visualizza e modifica le impostazioni delle regole.

Puoi attivare o disattivare il set di regole nella sezione Impostazioni. I pulsanti di attivazione/disattivazione Stato e Avvisi ti consentono di attivare o disattivare le regole precise e generali nel set di regole. Puoi anche attivare o disattivare gli avvisi.

Puoi anche visualizzare tutte le esclusioni configurate per il set di regole. Puoi modificare le esclusioni facendo clic su Visualizza. Per saperne di più, consulta Configura la soppressione degli avvisi.

Impostazioni delle regole

Figura 3: Impostazioni delle regole

Modifica di tutte le regole di un set di regole

La sezione Impostazioni mostra le impostazioni per tutte le regole di un set di regole. Puoi modificare le impostazioni per creare rilevamenti predefiniti specifici per l'utilizzo e le esigenze della tua organizzazione.

  • Regole precise: rilevano comportamenti dannosi con un livello di affidabilità più elevato e con meno falsi positivi grazie alla natura più specifica della regola.

  • Regole generali: rilevano comportamenti potenzialmente dannosi o anomali, ma con un numero di falsi positivi tipicamente maggiore a causa della natura più generale della regola.

  • Stato: attiva lo stato di una regola come precisa o generica impostando l'opzione Stato corrispondente su Attivata.

  • Avvisi: attiva gli avvisi per ricevere i rilevamenti creati dalle regole precise o generali corrispondenti impostando l'opzione Avvisi su On.

Configura le esclusioni delle regole

Per gestire il volume di avvisi provenienti dai rilevamenti predefiniti di GCTI, puoi configurare le esclusioni delle regole. Per saperne di più, consulta Configura la soppressione degli avvisi.

Visualizza i rilevamenti predefiniti

Puoi visualizzare qualsiasi rilevamento predefinito nella visualizzazione Rilevamento predefinito. Questa visualizzazione ti consente di esaminare i rilevamenti associati alla regola e di passare ad altre visualizzazioni, come la visualizzazione Asset dalla Timeline.

Per aprire la visualizzazione dei rilevamenti predefiniti, completa i seguenti passaggi:

  1. Fai clic su Dashboard.

  2. Fai clic sul link del nome della regola nella colonna Regola.

Passaggi successivi

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.