Mandiant 推荐的规则
本指南可帮助安全运维中心 (SOC) 分析师和检测工程师建立高保真威胁检测基准。本课程介绍了 Google Security Operations 中的 Mandiant 推荐规则如何提供精选威胁检测基准，旨在识别威胁行为者的行为，同时最大限度地减少 SOC 提醒疲劳。
常见使用场景
此工作流的常见用例包括：
自动威胁检测基准
目标：建立精选威胁检测基准，无需手动逐条配置规则即可识别威胁行为者的行为。
价值：Mandiant 推荐基准的核心架构策略是使用复合检测（多事件和多检测关联）以及高精度应用威胁情报 (ATI)。优先采用多阶段复合逻辑，而非嘈杂的单事件提醒，默认情况下可提供更高的检测置信度，并减少初始规则调整要求。
无配额检测覆盖范围
目标：在不消耗自定义规则容量配额的情况下，最大限度地扩大整个环境中的威胁检测覆盖范围。
价值：Mandiant 推荐规则不计入自定义规则容量配额，让您在不牺牲容量的情况下最大限度地扩大覆盖范围。
主要术语
- Mandiant 推荐规则：Google Security Operations 中的精选检测规则，可识别威胁行为者的行为，同时最大限度地减少 SOC 提醒疲劳。
- 复合检测：多事件和多检测关联，优先考虑多阶段复合逻辑，而非单事件提醒。
- 实用威胁情报 (ATI)：与精选基准中的复合检测搭配使用的高精度威胁情报。
- 标记订阅服务：一项后台服务，可自动为标记有
google.mandiant.recommended的规则执行规则部署和生命周期管理。
准备工作
如需管理标签订阅，您必须拥有以下 IAM 权限：
chronicle.tagSubscriptions.createchronicle.tagSubscriptions.deletechronicle.tagSubscriptions.getchronicle.tagSubscriptions.listchronicle.tagSubscriptions.update
关键概念和规则标记基础架构
Mandiant 推荐基准使用 Google SecOps 统一规则信息中心和后台订阅服务来自动执行部署和生命周期管理。
系统标记和自定义标记
Google SecOps 会自动为此精选基准中的每条检测规则添加以下标签：
google.mandiant.recommended
此标记可让 Google SecOps 自动识别、启用和更新推荐的规则。
标记订阅
您可以使用订阅服务订阅该标记，而无需手动逐个启用规则：
- 自动同步：订阅
google.mandiant.recommended标记会触发订阅服务。 - LiveRules 填充：订阅服务会自动填充并启用相应的 YARA-L 规则，并应用推荐的检测和提醒设置。
如需管理标签订阅，请执行以下操作：
- 前往规则和检测信息中心，选择概览标签页，然后点击管理标签订阅。
- 找到 Mandiant Recommended 标记，然后将切换开关设置为开启，以启用订阅。如需退订，请将开关切换到关闭状态。
订阅 Mandiant Recommended 标记后，所有带有该标记的精选规则都会自动设为推荐的检测和提醒设置。如果您需要覆盖这些设置，可以使用规则的概览标签页更新每条规则。警告表示您更改了 Mandiant 推荐订阅基准中的设置。您可以使用精选规则排除功能，而不必更改规则设置。如需了解详情，请参阅禁止规则排除项。
如需查看 Mandiant 推荐配置与您的覆盖设置之间的所有差异，请前往概览标签页，然后点击查看差异并对齐。这会打开一个概览抽屉式导航栏，您可以在其中将替换设置重置为 Mandiant 推荐的默认设置。仅当一致性值低于 100% 时，此按钮才会显示。
精选保存的视图
Google SecOps 会向您的统一规则信息中心添加一个名为 Mandiant 推荐的规则的默认固定已保存视图。该视图使用以下过滤条件：(rule_owner:"*" AND archived=false) AND (tags:"google.mandiant.recommended")。
如需详细了解如何搜索规则，请参阅搜索规则列表。
问题排查
本部分提供的信息可帮助您解决常见问题并了解推荐规则的行为。
针对建议规则的警告通知
在 Mandiant 推荐规则上停用标准提醒会触发警告消息，而不是硬性限制。在停用针对推荐规则的提醒之前，请先确认您的团队会持续监控。