Mendeteksi ancaman dengan aturan terpadu

Didukung di:

Panduan ini ditujukan bagi engineer deteksi yang ingin mendeteksi ancaman untuk organisasi mereka. Panduan ini menjelaskan cara memanfaatkan antarmuka Aturan Terpadu untuk mempercepat kemampuan deteksi ancaman.

Kasus penggunaan umum

Kasus penggunaan umum untuk alur kerja ini mencakup:

Deployment aturan yang dipercepat

Tujuan: Mengidentifikasi dan mengaktifkan pendeteksian terseleksi dengan cepat untuk taktik musuh tertentu (misalnya, Initial Access).

Nilai: Mengurangi waktu rata-rata untuk mendeteksi (MTTD) vektor serangan umum tanpa memerlukan pengembangan aturan manual.

Pengelolaan siklus proses aturan terpusat

Tujuan: Memantau eksekusi, status, dan histori deployment aturan dari satu konsol.

Nilai: Meningkatkan pengawasan operasional dan memastikan bahwa deteksi aktif berfungsi seperti yang diharapkan.

Terminologi utama

  • Deteksi terseleksi: Set deteksi bawaan yang dikelola oleh pakar keamanan Google Cloud.

  • Antarmuka Aturan Terpadu: Konsol pengelolaan gabungan untuk aturan YARA-L kustom dan konten pilihan.

  • Deployment aturan: Status aturan (aktif atau diarsipkan) dan konfigurasi pemberitahuan terkait.

  • Perburuan retro: Proses yang menjalankan aturan terhadap data historis untuk menemukan instance ancaman di masa lalu.

Sebelum memulai

Jika tim Anda menggunakan peran IAM kustom, pastikan Anda memiliki izin berikut untuk menggunakan dasbor dan editor Aturan Terpadu.

Jika organisasi Anda menggunakan Kontrol Akses Berbasis Peran Data (Data RBAC), Anda juga harus memiliki akses ke cakupan yang terkait dengan aturan yang ingin Anda kelola. Untuk mengetahui informasi selengkapnya, lihat Ringkasan RBAC data.

Izin dasbor Aturan Terpadu

Izin Izin IAM yang diperlukan
View
  • chronicle.rules.list
  • chronicle.retrohunts.list
  • chronicle.ruleDeployments.list
  • chronicle.legacies.legacySearchCustomerStats
  • chronicle.legacies.legacyGetRuleCounts
  • chronicle.legacies.legacyGetRulesTrends
  • chronicle.legacies.legacyGetCuratedRulesTrends
  • chronicle.sharedPreferenceSets.get
  • chronicle.sharedPreferenceSets.list
  • chronicle.rules.get
  • chronicle.rules.listRevisions
  • chronicle.legacies.legacyTestRuleStreaming
  • chronicle.legacies.legacyFetchAlertsView
Edit
  • chronicle.retrohunts.create
  • chronicle.ruleDeployments.update
  • chronicle.rules.modifyRules
  • chronicle.rules.create
  • chronicle.rules.update
  • chronicle.rules.verifyRuleText

Tampilan tersimpan - mencantumkan dan membuat tampilan aturan tersimpan

Bagian ini mencantumkan izin yang diperlukan untuk membuat tampilan tersimpan. Tampilan tersimpan memungkinkan Anda membuat dan menyimpan kumpulan filter aturan, kumpulan kolom, dan tata urutan kustom untuk akses cepat di dasbor Aturan Terpadu.

Izin Izin IAM yang diperlukan
Manage
  • chronicle.sharedPreferenceSets.get
  • chronicle.sharedPreferenceSets.list
  • chronicle.sharedPreferenceSets.create
  • chronicle.sharedPreferenceSets.update
  • chronicle.sharedPreferenceSets.delete

Izin editor aturan

Komponen Izin IAM (jika Anda menggunakan IAM) Izin analis (jika Anda menggunakan RBAC lama)
Halaman Editor aturan

chronicle.ruleDeployments.list

chronicle.rules.list

 detectRulesView
Bagian daftar referensi terkait

chronicle.referenceLists.get

chronicle.referenceLists.list

 referenceListView
Bagian tabel data terkait

chronicle.dataTables.get

chronicle.dataTables.list

 T/A
Tombol Buat aturan baru

chronicle.rules.verifyRuleText

chronicle.rules.create

 detectRulesCreate
Tombol Uji aturan chronicle.legacies.legacyRunTestRule detectRulesRun
Menu Cakupan aturan chronicle.rules.update detectRulesEdit
Tombol Simpan aturan chronicle.rules.update detectRulesEdit
Tombol Simpan sebagai aturan baru chronicle.rules.create detectRulesCreate
Tombol Rule retro hunt chronicle.retrohunts.create detectRulesRun
Tombol Aturan aktif chronicle.ruleDeployments.update detectRulesEdit
Tombol Notifikasi aturan chronicle.ruleDeployments.update detectRulesEdit
Tombol Frekuensi eksekusi aturan chronicle.ruleDeployments.update detectRulesEdit
Tombol Arsipkan dan batalkan pengarsipan aturan chronicle.ruleDeployments.update detectRulesEdit
Melihat aturan pilihan di editor chronicle.featuredContentRules.list T/A

Mengelola preferensi antarmuka terpadu Anda

Anda dapat beralih antara pengalaman terpadu dan tampilan lama untuk dasbor Aturan Terpadu dan editor aturan. Setelah Anda menentukan pilihan, instance Anda akan menyimpan preferensi Anda dan memuat versi spesifik tersebut secara default.

  • Dasbor Aturan Terpadu: Untuk mengaktifkan dasbor Aturan Terpadu, buka dasbor Aturan dan klik Coba halaman Aturan Terpadu baru kami. Untuk memilih tidak ikut, klik Kembali ke dasbor Aturan lama.

  • Editor aturan: Untuk mengaktifkan editor aturan baru, buka halaman editor aturan, lalu klik Halaman editor aturan baru. Untuk memilih tidak ikut, klik Halaman editor aturan lama.

Tampilan tersimpan pilihan

Dasbor Aturan Terpadu menyertakan tampilan tersimpan default yang memungkinkan Anda memfilter dan mengatur aturan dengan cepat. Tabel berikut menjelaskan tampilan tersimpan pilihan default ini:

Tampilan yang disimpan Deskripsi Kriteria filter
Aturan tidak responsif Menampilkan aturan yang mengalami masalah eksekusi atau berada dalam status eksekusi non-default. Aturan yang tidak diarsipkan dengan execution_state tidak sama dengan default.
Aturan Google yang aktif dan memberikan pemberitahuan Menampilkan aturan pilihan yang dibuat oleh Google yang aktif dan dikonfigurasi untuk menghasilkan pemberitahuan. Aturan dengan rule_owner ditetapkan ke GOOGLE, archived ditetapkan ke false, alerting_enabled ditetapkan ke true, dan live_mode_enabled ditetapkan ke true.
Aturan yang menggunakan ECG Menampilkan aturan yang memanfaatkan data Entity Context Graph (ECG). Aturan yang tidak diarsipkan yang menggunakan graph.entity.
Aturan persistensi & eskalasi akses Menampilkan aturan yang terkait dengan taktik persistensi dan eskalasi akses. Aturan yang tidak diarsipkan dan diberi tag TA0003 (Persistence) atau TA0004 (Eskalasi Akses).
Aturan yang direkomendasikan Mandiant Menampilkan aturan dengan keyakinan tinggi dan telah diperiksa oleh pakar yang diseleksi oleh Mandiant. Untuk mengetahui informasi selengkapnya, lihat Aturan yang direkomendasikan Mandiant. Aturan yang tidak diarsipkan dan diberi tag google.mandiant.recommended.

Mempercepat deteksi ancaman dengan aturan yang diseleksi

Anda dapat menggunakan antarmuka Unified Rules untuk mengidentifikasi deteksi taktik MITRE ATT&CK tertentu. Untuk menemukan aturan yang mengaktifkan pemberitahuan dan terkait dengan akses awal, lakukan hal berikut:

  1. Buka dasbor Aturan Terpadu.

  2. Gunakan kotak penelusuran untuk memfilter ancaman tertentu.

    Misalnya, untuk menemukan aturan pilihan yang terkait dengan akses awal (taktik MITRE ATT&CK TA0001), gunakan kueri penelusuran berikut:

    alerting_enabled = true AND tags:"TA0001"

    Untuk pemfilteran yang kompleks, lihat sintaksis lanjutan di halaman aturan Penelusuran.

  3. Opsional: Pilih aturan dari hasil penelusuran untuk melihat detail aturan.

  4. Klik Menu di samping aturan yang ingin Anda deploy.

  5. Klik tombol Live rule dan Alerting untuk mulai mendeteksi ancaman secara aktif.

Anda dapat melacak eksekusi, status, dan histori pemberitahuan aturan dari dasbor.

Menggunakan tampilan tersimpan

Dasbor Aturan Terpadu mendukung tampilan tersimpan. Tampilan tersimpan memungkinkan Anda membuat dan menyimpan kumpulan filter aturan, kumpulan kolom, dan tata urutan kustom untuk akses cepat di dasbor Aturan Terpadu.

Membuat tampilan kustom

  1. Buka dasbor Aturan Terpadu.

  2. Klik menu Saved views, lalu pilih Save as a new view.

  3. Ketik nama tampilan, lalu klik Simpan.

  4. Konfigurasi filter, kolom, dan tata urutan target Anda di dasbor Aturan Terpadu.

Menerapkan tampilan tersimpan

Untuk memperbarui dasbor dengan konfigurasi tersimpan, lakukan tindakan berikut:

  1. Buka dasbor Aturan Terpadu.

  2. Klik menu Tampilan tersimpan, lalu pilih tampilan tersimpan yang diperlukan dari daftar.

  3. Klik Simpan.

Mengelola tampilan tersimpan

Untuk mengubah, mengganti nama, menyembunyikan, atau menghapus tampilan tersimpan, lakukan tindakan berikut:

  1. Klik menu Tampilan tersimpan, lalu pilih Kelola tampilan.

  2. Klik Simpan.

Pemecahan masalah

Bagian ini memberikan informasi untuk menyelesaikan masalah umum dan memahami batasan antarmuka Aturan Terpadu.

Latensi dan batas

  • Eksekusi aturan: Mungkin ada sedikit keterlambatan penerapan (biasanya beberapa menit) antara menyimpan aturan dan melihat metrik eksekusi pertamanya di dasbor.

  • Batas perburuan retro: Pendeteksian terseleksi tidak dapat dijalankan sebagai perburuan retro. Selain itu, perburuan retro tunduk pada batas periode lihat balik berdasarkan tingkat retensi data Anda.

Perbaikan error

Kode error Deskripsi masalah Perbaiki
403 Dilarang Tidak memiliki izin untuk melihat konten pilihan. Pastikan chronicle.featuredContentRules.list ditambahkan ke peran IAM Anda.
Deployment gagal Error atau konflik sintaksis aturan. Gunakan tombol Test rule di editor Aturan untuk memvalidasi sintaksis YARA-L.
user does not have access to scope <scope_name> Pengguna tidak memiliki izin RBAC Data yang diperlukan untuk cakupan yang ditetapkan ke aturan. Pastikan Anda memiliki akses ke cakupan yang diperlukan. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi RBAC Data untuk pengguna.
The rule has been modified by someone else Pengguna lain telah menyimpan versi baru aturan sejak Anda membukanya. Salin perubahan Anda, muat ulang halaman untuk memuat versi terbaru, lalu terapkan kembali dan simpan perubahan Anda.
rules editing not enabled Pengeditan aturan dinonaktifkan untuk instance Google SecOps Anda. Hubungi administrator Anda untuk mengaktifkan pengeditan aturan.

Langkah berikutnya

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.