כללים מומלצים של Mandiant

נתמך ב:

המדריך הזה עוזר למנתחים במרכז תפעול אבטחה (SOC) ולמהנדסי זיהוי ליצור בסיס לזיהוי איומים ברמת דיוק גבוהה. הוא מסביר איך הכללים המומלצים של Mandiant ב-Google Security Operations מספקים בסיס מותאם אישית לזיהוי איומים, שנועד לזהות התנהגויות של גורמים זדוניים תוך צמצום עומס ההתראות ב-SOC.

תרחישים נפוצים לדוגמה

תרחישים נפוצים לשימוש בתהליך העבודה הזה:

זיהוי איומים אוטומטי בסיסי

המטרה: ליצור בסיס לזיהוי איומים שנאספו, שמזהה התנהגויות של גורמים זדוניים בלי הגדרה ידנית של כל כלל בנפרד.

הערך: אסטרטגיית הארכיטקטורה העיקרית של המלצות הבסיס של Mandiant משתמשת בזיהויים משולבים (מתאמים של כמה אירועים וכמה זיהויים) לצד מודיעין איומי סייבר יישומי (ATI) ברמת דיוק גבוהה. כשנותנים עדיפות ללוגיקה מורכבת עם כמה שלבים על פני התראות רועשות על אירוע יחיד, מקבלים כברירת מחדל רמת ודאות גבוהה יותר בזיהוי, ודרישות ההתאמה הראשוניות של הכללים מצטמצמות.

כיסוי זיהוי ללא מכסה

המטרה: להגדיל את הכיסוי של זיהוי האיומים בסביבה שלכם בלי לנצל את מכסות הקיבולת של הכללים בהתאמה אישית.

הערך: הכללים המומלצים של Mandiant לא נכללים במכסות הקיבולת של הכללים בהתאמה אישית, וכך אתם יכולים למקסם את הכיסוי בלי לפגוע בקיבולת.

מונחים חשובים

  • כללים מומלצים של Mandiant: כללי זיהוי מוכנים מראש ב-Google Security Operations שמזהים התנהגויות של גורמים זדוניים, תוך צמצום עומס ההתראות ב-SOC.
  • זיהויים משולבים: קורלציות של כמה אירועים וכמה זיהויים שמתעדפות לוגיקה משולבת בכמה שלבים על פני התראות של אירוע יחיד.
  • מודיעין איומים יישומי (ATI): מודיעין איומים מדויק ביותר המשמש לצד גילוי מורכב בתוכנית הבסיסית שנבחרה.
  • שירות מינוי לתגים: שירות שפועל ברקע ומבצע פריסה אוטומטית של כללים וניהול מחזור חיים של כללים שתויגו באמצעות google.mandiant.recommended.

לפני שמתחילים

כדי לנהל מינויים לתגים, אתם צריכים את ההרשאות הבאות ב-IAM:

  • chronicle.tagSubscriptions.create
  • chronicle.tagSubscriptions.delete
  • chronicle.tagSubscriptions.get
  • chronicle.tagSubscriptions.list
  • chronicle.tagSubscriptions.update

מושגי מפתח ותשתית תיוג כללים

ההמלצה של Mandiant ל-baseline משתמשת בלוח הבקרה של הכללים המאוחדים של Google SecOps ובשירות מינוי ברקע כדי להפוך את הפריסה ואת ניהול מחזור החיים לאוטומטיים.

תגים של המערכת ותגים בהתאמה אישית

מערכת Google SecOps מתייגת באופן אוטומטי כל כלל זיהוי בקו הבסיס שנבחר באמצעות התג:

google.mandiant.recommended

התג הזה מאפשר ל-Google SecOps לזהות, להפעיל ולעדכן באופן אוטומטי כללים מומלצים.

מינויים לתגים

במקום להפעיל כל כלל בנפרד באופן ידני, אתם יכולים להירשם לתג באמצעות שירות המינויים:

  • סנכרון אוטומטי: הרשמה לתג google.mandiant.recommended מפעילה את שירות המינוי.
  • אכלוס LiveRules: השירות במינוי מאכלס ומפעיל באופן אוטומטי את כללי YARA-L התואמים, עם הגדרות הזיהוי וההתראה המומלצות.

כדי לנהל את המינויים לתגים:

  1. עוברים למרכז הבקרה Rules & Detections, בוחרים בכרטיסייה Overview ולוחצים על Manage tag subscriptions.
  2. מאתרים את התג Mandiant Recommended ומפעילים את המינוי באמצעות המתג. כדי לבטל את ההרשמה, מעבירים את המתג למצב כבוי.

כשנרשמים לתג Mandiant Recommended, כל הכללים שנבחרו עם התג הזה מוגדרים באופן אוטומטי להגדרות המומלצות לזיהוי ולהתראה. אם אתם צריכים לשנות את ההגדרות האלה, אתם יכולים לעדכן כל כלל בכרטיסייה סקירה כללית של הכלל. אזהרה מציינת ששיניתם את ההגדרות מהמינוי המומלץ של Mandiant. אתם יכולים להשתמש בתכונה "החרגות של כללים שנבחרו" במקום לשנות את הגדרות הכללים. מידע נוסף זמין במאמר החרגות של כללי ביטול.

כדי לראות את כל ההבדלים בין ההגדרות המומלצות של Mandiant לבין ההגדרות שהוחלפו, עוברים לכרטיסייה Overview ולוחצים על View diff and align. הפעולה הזו פותחת חלונית סקירה כללית שמאפשרת לאפס את ההגדרות ששיניתם בחזרה לברירות המחדל המומלצות של Mandiant. הכפתור הזה מופיע רק אם הערך של התאמה נמוך מ-100%.

תצוגה שמורה שנבחרה

‫Google SecOps מוסיף תצוגה שמורה שמוצמדת כברירת מחדל בשם Mandiant Recommended rules ללוח הבקרה של Unified Rules. התצוגה משתמשת בקריטריונים הבאים לסינון: (rule_owner:"*" AND archived=false) AND (tags:"google.mandiant.recommended").

מידע נוסף על חיפוש כללים זמין במאמר חיפוש ברשימת הכללים.

פתרון בעיות

בקטע הזה מוסבר איך לפתור בעיות נפוצות ואיך פועלים הכללים המומלצים.

אם משביתים את ההתראות הרגילות בכלל מומלץ של Mandiant, מוצגת הודעת אזהרה במקום הגבלה קשיחה. לפני שמשביתים את ההתראות על כללים מומלצים, חשוב לוודא שהצוות שלכם ממשיך לעקוב באופן פעיל אחרי ההתראות.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.