Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

“新出现的威胁中心”详情视图

支持的平台：

Google SecOps

新兴威胁中心 Feed 可提供所选广告系列、操作或报告的详细视图。当您在 Feed 中选择某个威胁时，系统会打开一个页面，其中包含 Google Threat Intelligence 中的信息以及您环境中的数据，以帮助您分析威胁影响和覆盖范围。

每个页面都包含多个可展开的面板，其中显示了相关的威胁情报、检测数据和关联实体。在每个面板中，点击版块名称旁边的 chevron_forward 箭头以展开该版块并查看更多详细信息。

主要术语

攻击行动：威胁行为者针对多个组织发起的一系列有组织、有协调的攻击，目的是实现共同的目标。
行动：针对单个组织的集中式攻击，通常源自直接调查，并受到保护以确保受害者的身份保密。

“新出现的威胁”详细视图

新兴威胁中心的详细视图包含以下面板：

关联的规则
已停用的规则
近期关联的实体
IOC

关联的规则

关联规则面板会列出与所选攻击活动相关的检测规则，并包含一个 MITRE ATT&CK 矩阵可视化图表，其中显示了您的规则对特定战术、技术和程序 (TTP) 的覆盖范围。规则关联仅适用于广告系列，而不适用于报告。

“新兴威胁”会持续从 Google Threat Intelligence 提取情报，并将其与组织的遥测数据进行对齐。它通过以下流程自动执行广告系列发现、丰富和关联：

提取行动情报：系统会自动从 Google Threat Intelligence 收集行动情报，其中包括来自全球研究、Mandiant 突发事件响应行动和 Mandiant Managed Defense 遥测的数据。
生成模拟日志事件：在后台，Gemini 会生成高保真度的匿名模拟日志事件，这些事件可反映真实的攻击者行为。
自动突出显示检测覆盖范围：系统会针对 Google Cloud 威胁情报 (GCTI) 精选检测规则运行模拟日志事件，并生成覆盖范围报告，其中显示了 Google SecOps 的检测范围以及存在的差距。
加快规则创建速度：发现差距后，Gemini 会根据测试的模式自动起草新的检测规则，并提供规则逻辑和预期行为的摘要。最后一步需要人工审核并批准这些规则，然后才能将其移至生产环境。

下表介绍了关联规则面板中的列：

列名称	说明
规则名称	显示规则标题和关联的规则集或检测类别。点击规则名称可打开 `Detections` 页面，其中显示了此规则生成的检测结果。
标记	列出应用于检测规则的规则标记或标签。
过去 4 周的活动	显示相应规则在过去四周内的提醒或检测活动。
上次检测时间	显示规则生成的最新提醒的时间戳。
严重级别	表示为相应规则生成的检测结果配置的严重级别。
提醒	指定是否为相应规则启用提醒。
直播状态	显示规则在您的环境中处于有效状态还是无效状态。

如果没有任何规则与广告系列或操作相关联，则该面板会显示“无规则”文本。

查看 MITRE ATT&CK 覆盖范围

关联规则面板包含一个 MITRE ATT&CK 可视化矩阵，用于显示您的规则对特定战术、技术和程序 (TTP) 的覆盖范围。

您可以使用以下标签页来更改可视化图表的布局：

卡片：以详细卡片的形式查看按策略分组的技术。
概览：查看保险范围的简明摘要。
迷你地图：查看覆盖率矩阵的概要彩色网格。

过滤和搜索矩阵

使用以下列表过滤矩阵中显示的规则：

规则类型：按“全部”“精选”或“自定义”规则过滤矩阵。
有效状态：按规则的当前部署状态进行过滤。
提醒状态：按提醒状态（全部、开启或关闭）过滤规则。

如需查找特定覆盖范围信息，请使用“按以下条件搜索”列表，按 TTP、日志类型、MITRE 数据源或规则名称搜索矩阵。

自定义热点图指标

点击查看选项可自定义热点图指标：

显示子技术：显示或隐藏矩阵中的子技术。
聚合模式：更改系统计算热点图颜色的方式：
- 累计：显示技术及其子技术的总覆盖率。
- 标准化平均覆盖率：显示技术及其子技术的标准化平均覆盖率。
- 最薄弱的环节：显示技术及其子技术的最低覆盖率值。

查看技术详情

点击特定卡片即可打开详细的情境面板。此面板提供有关所选技术的深入详细信息，包含以下部分：

说明：所选 MITRE ATT&CK 技术的详细说明。
子技术：一个表格，列出了相关的子技术以及每项子技术的关联规则数量。
精选规则：一个表格，用于显示与您应用的过滤条件相符的相关规则。此表格包含规则名称、实时状态、提醒状态和具体 TTP。
日志类型：一个表格，列出了适用的日志类型及其对应的 MITRE 数据源。

已停用的规则

已停用的规则面板会列出与广告系列或操作相关的当前未启用的检测规则（如果有）。这有助于您发现潜在的威胁覆盖范围缺口。广告系列或操作的规则关联如关联规则中所述。

下表介绍了各列：

列名称	说明
规则名称	显示已停用规则的名称。点击规则名称可打开详细视图，其中会介绍规则的逻辑、配置和关联的规则集，类似于 `Curated Detections` 页面上的视图。
类别	显示规则类型或类别。
规则集	标识规则来源，例如 Mandiant Frontline Threats、Mandiant Hunt Rules 或 Mandiant Intel Emerging Threats。
精确率	指明规则精确度类型（宽泛或精确）。
提醒	显示提醒是否已启用。
上次更新时间	显示上次修改规则时的时间戳。

近期关联的实体

近期关联的实体面板会列出您环境中与所选威胁相关联且可能受到该威胁影响的实体。

该面板会列出符合以下条件的用户和资源实体：

在过去 7 天内的检测结果中出现过。
出现在与威胁关联的 IoC 相关的事件中。
具有分配的风险得分。

下表介绍了最近关联的实体面板中的列：

列名称	说明
实体名称	显示与广告系列或操作相关联的素材资源或实体。点击实体名称以打开风险分析页面，该页面会显示相应实体近期风险得分变化的详细信息以及促成这些变化的检测结果。
实体类型	表示实体类型，例如资产或用户账号。
IOC 匹配项	显示广告系列或行动中与组织的遥测数据相匹配且与近期检测到的实体相关联的 IoC 数量。
实体风险得分	显示根据近期 IoC 匹配情况计算出的实体的风险得分。

IOC

IOC 面板会显示以下表格：

IOC 匹配项
与 GTI 相关联的 IOC

IOC 匹配项

IOC 匹配项表格会列出在所选广告系列或操作的环境中检测到或匹配到的 IOC。

下表介绍了各列：

列名称	说明
IOC	显示网域、IP 地址、哈希值或网址。点击 IoC 会打开 `Entity context` 面板，其中提供了有关 IoC 的更多信息以及该 IoC 在您的环境中的出现位置。
类型	显示 IoC 类别，例如 DOMAIN、IP、FILE (HASH_SHA256) 或 URL。
GTI 评分	显示 GTI 分配的威胁得分，范围为 0-100。
GCTI 优先级	表示由 GCTI 分配的相对优先级。
资产	列出您的环境中涉及与 IoC 匹配的事件的资产。
关联	显示相应指示器的相关 GTI 实体，例如威胁行为者或攻击活动。
首次出现时间	显示首次在您的环境中检测到相应指标的时间。
上次出现时间	显示最近一次在您的环境中检测到相应指标的时间。

当您点击表格中的 IoC 时，系统会打开“实体上下文”面板，以提供有关该指示器的其他信息。如需了解有关查看实体属性、提醒和采取快速行动的一般信息，请参阅使用 UDM 搜索调查实体。

您还可以使用“实体上下文”面板查看以下高级威胁详情：

时间点状态：使用日期和时间选择器查看实体在特定时间点的属性。
相关支持请求：查看与实体相关的支持请求表，其中包含指定回溯期（例如过去 30 天）内的支持请求。此表格包含支持请求的名称、阶段、优先级和状态。
关联的威胁情报：展开底部部分，查看与实体相关联的相关 Google Threat Intelligence 数据。这些部分包括：
- 报告：查看相关威胁报告及其发布日期。
- 广告系列：查看关联的威胁广告系列及其创建时间。
- 操作：查看关联的威胁操作及其创建时间。
- 行为者：识别关联的威胁行为者及其近期活动的日期。
- 恶意软件：识别与实体关联的恶意软件系列。

与 GTI 相关联的 IOC

“与 GTI 关联的 IOC”表格列出了 GTI 与广告系列或行动关联的其他 IOC。点击文件、网址、网域或 IP 地址标签页，即可查看相应类别的具体指示。

下表介绍了各列：

列名称	说明
IOC	显示网域、IP 地址、哈希值或网址。
类型	显示 IoC 类别，例如 DOMAIN、IP、FILE、HASH_SHA256 或 URL。
GTI 评分	显示 GTI 分配的威胁得分，范围为 0-100。
关联的行为者	列出了与 IoC 关联的威胁行为者。您可以点击演员的姓名，在 `Actor Details` 面板中查看更多信息。如需了解详情，请参阅查看关联的攻击者和恶意软件。
关联的恶意软件	列出与 IoC 关联的恶意软件系列。您可以点击恶意软件名称，在 `Malware Details` 面板中查看更多信息。如需了解详情，请参阅查看相关攻击者和恶意软件。
GTI 发现的时间	显示 GTI 首次记录到 IoC 的时间戳。
GTI 上次更新时间	显示 GTI 最近一次更新 IoC 的时间戳。