Regole consigliate di Mandiant

Supportata in:

Questa guida aiuta gli analisti del Security Operations Center (SOC) e i tecnici del rilevamento a stabilire una base di riferimento per il rilevamento delle minacce ad alta fedeltà. Spiega come le regole Mandiant Recommended in Google Security Operations forniscono una base di riferimento per il rilevamento delle minacce progettata per identificare i comportamenti degli attori delle minacce, riducendo al minimo l'affaticamento degli avvisi del SOC.

Casi d'uso comuni

I casi d'uso comuni per questo workflow includono:

Baseline di rilevamento automatico delle minacce

Obiettivo: stabilire una base di riferimento per il rilevamento delle minacce selezionata che identifichi i comportamenti degli autori delle minacce senza una configurazione manuale regola per regola.

Valore: una strategia architetturale di base della baseline Mandiant Recommended utilizza rilevamenti compositi (correlazioni multi-evento e multi-rilevamento) insieme ad Applied Threat Intelligence (ATI) ad alta precisione. Dare la priorità alla logica composita multifase rispetto agli avvisi rumorosi di singoli eventi offre una maggiore affidabilità di rilevamento per impostazione predefinita e riduce i requisiti di ottimizzazione delle regole iniziali.

Copertura del rilevamento senza quota

Obiettivo: massimizzare la copertura del rilevamento delle minacce nell'ambiente senza consumare le quote di capacità delle regole personalizzate.

Valore: le regole Mandiant Recommended non vengono conteggiate ai fini delle quote di capacità delle regole personalizzate, il che ti consente di massimizzare la copertura senza sacrificare la capacità.

Terminologia chiave

  • Regole consigliate da Mandiant: regole di rilevamento predefinite in Google Security Operations che identificano i comportamenti degli autori delle minacce riducendo al minimo l'affaticamento da avvisi del SOC.
  • Rilevamenti compositi: correlazioni tra più eventi e più rilevamenti che danno priorità alla logica composita multifase rispetto agli avvisi relativi a singoli eventi.
  • Applied Threat Intelligence (ATI): threat intelligence ad alta precisione utilizzata insieme ai rilevamenti compositi nella base di riferimento selezionata.
  • Servizio di abbonamento ai tag: un servizio in background che automatizza il deployment delle regole e la gestione del ciclo di vita per le regole taggate con google.mandiant.recommended.

Prima di iniziare

Per gestire le sottoscrizioni dei tag, devi disporre delle seguenti autorizzazioni IAM:

  • chronicle.tagSubscriptions.create
  • chronicle.tagSubscriptions.delete
  • chronicle.tagSubscriptions.get
  • chronicle.tagSubscriptions.list
  • chronicle.tagSubscriptions.update

Concetti chiave e infrastruttura di tagging delle regole

La base di riferimento consigliata da Mandiant utilizza la dashboard delle regole unificate di Google SecOps e un servizio in abbonamento in background per automatizzare il deployment e la gestione del ciclo di vita.

Tag di sistema e personalizzati

Google SecOps aggiunge automaticamente a ogni regola di rilevamento in questa base di riferimento selezionata il tag:

google.mandiant.recommended

Questo tag consente a Google SecOps di identificare, attivare e aggiornare automaticamente le regole consigliate.

Abbonamenti ai tag

Anziché richiedere l'attivazione manuale regola per regola, puoi iscriverti al tag utilizzando il servizio in abbonamento:

  • Sincronizzazione automatica: l'iscrizione al tag google.mandiant.recommended attiva il servizio in abbonamento.
  • Compilazione di LiveRules: il servizio in abbonamento compila e attiva automaticamente le regole YARA-L corrispondenti con le impostazioni di rilevamento e avviso consigliate.

Per gestire le iscrizioni ai tag:

  1. Vai alla dashboard Regole e rilevamenti, seleziona la scheda Panoramica e fai clic su Gestisci iscrizioni ai tag.
  2. Individua il tag Consigliato da Mandiant e attiva l'abbonamento impostando l'opzione su On. Per annullare l'iscrizione, disattiva l'opzione.

Quando ti iscrivi al tag Consigliato da Mandiant, tutte le regole selezionate con questo tag vengono impostate automaticamente sulle impostazioni di rilevamento e avviso consigliate. Se devi eseguire l'override di queste impostazioni, puoi aggiornare ogni regola utilizzando la scheda Panoramica della regola. Un avviso indica che hai modificato le impostazioni rispetto alla base di riferimento dell'abbonamento Mandiant Recommended. In alternativa alla modifica delle impostazioni delle regole, puoi utilizzare la funzionalità delle esclusioni delle regole selezionate. Per saperne di più, consulta Esclusioni delle regole di soppressione.

Per visualizzare tutte le differenze tra le configurazioni consigliate da Mandiant e i tuoi override, vai alla scheda Panoramica e fai clic su Visualizza differenze e allinea. Viene visualizzato un riquadro di panoramica che ti consente di ripristinare gli override ai valori predefiniti consigliati da Mandiant. Questo pulsante viene visualizzato solo quando il valore di Allineamento è inferiore al 100%.

Visualizzazione salvata selezionata

Google SecOps aggiunge una visualizzazione salvata bloccata predefinita denominata Regole consigliate da Mandiant alla dashboard Regole unificate. La visualizzazione utilizza i seguenti criteri di filtro: (rule_owner:"*" AND archived=false) AND (tags:"google.mandiant.recommended").

Per saperne di più sulla ricerca delle regole, consulta Cerca nell'elenco delle regole.

Risoluzione dei problemi

Questa sezione fornisce informazioni per risolvere i problemi comuni e comprendere il comportamento delle regole consigliate.

La disattivazione degli avvisi standard su una regola consigliata da Mandiant attiva un messaggio di avviso anziché una restrizione rigida. Verifica che il tuo team mantenga una copertura attiva prima di disattivare gli avvisi sulle regole consigliate.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.