Rileva le minacce con regole unificate

Supportata in:

Questa guida è rivolta ai detection engineer che vogliono rilevare le minacce per la propria organizzazione. Spiega come sfruttare l'interfaccia delle regole unificate per accelerare le funzionalità di rilevamento delle minacce.

Casi d'uso comuni

I casi d'uso comuni di questo workflow includono:

Deployment accelerato delle regole

Obiettivo: identificare e attivare rapidamente i rilevamenti predefiniti per tattiche specifiche degli avversari (ad esempio, Initial Access).

Valore: riduce il tempo medio di rilevamento (MTTD) per i vettori d'attacco comuni senza richiedere lo sviluppo manuale delle regole.

Gestione centralizzata del ciclo di vita delle regole

Obiettivo: monitorare l'esecuzione, lo stato e la cronologia di deployment delle regole da un'unica console.

Valore: migliora la supervisione operativa e garantisce che i rilevamenti attivi funzionino come previsto.

Terminologia chiave

  • Rilevamenti selezionati: set di rilevamento predefiniti gestiti dagli esperti di sicurezza di Google Cloud.

  • Interfaccia delle regole unificata: una console di gestione consolidata sia per le regole YARA-L personalizzate sia per i contenuti selezionati.

  • Deployment della regola: lo stato di una regola (pubblicata o archiviata) e la relativa configurazione degli avvisi associata.

  • Retro hunt: un processo che esegue una regola sui dati storici per trovare istanze passate di una minaccia.

Prima di iniziare

Se il tuo team utilizza ruoli IAM personalizzati, assicurati di disporre delle seguenti autorizzazioni per lavorare con la dashboard e l'editor delle regole unificate.

Se la tua organizzazione utilizza il controllo degli accessi basato su ruoli (RBAC) dei dati, devi anche avere accesso agli ambiti associati alle regole che vuoi gestire. Per saperne di più, consulta la panoramica del RBAC dei dati.

Autorizzazioni della dashboard Regole unificate

Autorizzazione Autorizzazione IAM obbligatoria
View
  • chronicle.rules.list
  • chronicle.retrohunts.list
  • chronicle.ruleDeployments.list
  • chronicle.legacies.legacySearchCustomerStats
  • chronicle.legacies.legacyGetRuleCounts
  • chronicle.legacies.legacyGetRulesTrends
  • chronicle.legacies.legacyGetCuratedRulesTrends
  • chronicle.sharedPreferenceSets.get
  • chronicle.sharedPreferenceSets.list
  • chronicle.rules.get
  • chronicle.rules.listRevisions
  • chronicle.legacies.legacyTestRuleStreaming
  • chronicle.legacies.legacyFetchAlertsView
Edit
  • chronicle.retrohunts.create
  • chronicle.ruleDeployments.update
  • chronicle.rules.modifyRules
  • chronicle.rules.create
  • chronicle.rules.update
  • chronicle.rules.verifyRuleText

Visualizzazioni salvate: elenca e crea visualizzazioni delle regole salvate

Questa sezione elenca le autorizzazioni necessarie per creare visualizzazioni salvate. Le visualizzazioni salvate ti consentono di creare e salvare un insieme personalizzato di filtri delle regole, insiemi di colonne e ordinamenti per un accesso rapido nella dashboard Regole unificate.

Autorizzazione Autorizzazione IAM obbligatoria
Manage
  • chronicle.sharedPreferenceSets.get
  • chronicle.sharedPreferenceSets.list
  • chronicle.sharedPreferenceSets.create
  • chronicle.sharedPreferenceSets.update
  • chronicle.sharedPreferenceSets.delete

Autorizzazioni dell'editor di regole

Componente Autorizzazione IAM (se utilizzi IAM) Autorizzazione Analyst (se utilizzi RBAC legacy)
Pagina Editor di regole

chronicle.ruleDeployments.list

chronicle.rules.list

 detectRulesView
Sezione dell'elenco di riferimenti correlati

chronicle.referenceLists.get

chronicle.referenceLists.list

 referenceListView
Sezione della tabella dei dati correlati

chronicle.dataTables.get

chronicle.dataTables.list

 N/D
Pulsante Crea nuova regola

chronicle.rules.verifyRuleText

chronicle.rules.create

 detectRulesCreate
Pulsante Testa regola chronicle.legacies.legacyRunTestRule detectRulesRun
Menu Ambito della regola chronicle.rules.update detectRulesEdit
Pulsante Salva regola chronicle.rules.update detectRulesEdit
Pulsante Salva come nuova regola chronicle.rules.create detectRulesCreate
Pulsante RetroHunt per la regola chronicle.retrohunts.create detectRulesRun
Pulsante di attivazione/disattivazione Regola attiva chronicle.ruleDeployments.update detectRulesEdit
Attivazione/disattivazione di Avviso regola chronicle.ruleDeployments.update detectRulesEdit
Attiva/disattiva Frequenza di esecuzione delle regole chronicle.ruleDeployments.update detectRulesEdit
Attivazione/disattivazione dell'archiviazione e dell'annullamento dell'archiviazione delle regole chronicle.ruleDeployments.update detectRulesEdit
Visualizza la regola selezionata nell'editor chronicle.featuredContentRules.list N/D

Gestisci le preferenze dell'interfaccia unificata

Puoi passare dall'esperienza unificata alla visualizzazione precedente sia per la dashboard Regole unificate sia per l'editor delle regole. Una volta effettuata una selezione, l'istanza salva la preferenza e carica la versione specifica per impostazione predefinita.

  • Dashboard Regole unificate: per attivare la dashboard Regole unificate, vai alla dashboard Regole e fai clic su Prova la nostra nuova pagina Regole unificate. Per disattivare questa opzione, fai clic su Torna alla dashboard Regole precedente.

  • Editor delle regole: per attivare il nuovo editor delle regole, vai alla pagina dell'editor delle regole e fai clic su Nuova pagina dell'editor delle regole. Per disattivare questa opzione, fai clic su Pagina dell'editor delle regole legacy.

Visualizzazioni salvate selezionate

La dashboard Regole unificate include visualizzazioni salvate predefinite che ti consentono di filtrare e organizzare rapidamente le regole. La tabella seguente descrive queste visualizzazioni salvate selezionate predefinite:

Visualizzazione salvata Descrizione Criteri di filtro
Regole non integre Visualizza le regole che presentano problemi di esecuzione o che si trovano in uno stato di esecuzione non predefinito. Regole non archiviate con execution_state diverso da default.
Regole di Google attive e con avvisi Mostra le regole selezionate create da Google che sono attive e configurate per generare avvisi. Regole con rule_owner impostato su GOOGLE, archived impostato su false, alerting_enabled impostato su true e live_mode_enabled impostato su true.
Regole che utilizzano l'ECG Visualizza le regole che utilizzano i dati del grafico di contesto delle entità (ECG). Regole non archiviate che utilizzano graph.entity.
Regole di persistenza ed escalation dei privilegi Visualizza le regole relative alle tattiche di persistenza ed escalation dei privilegi. Regole non archiviate con tag TA0003 (Persistenza) o TA0004 (Escalation dei privilegi).
Regole consigliate da Mandiant Visualizza regole ad alta affidabilità, verificate da esperti e curate da Mandiant. Per saperne di più, consulta Regole consigliate da Mandiant. Regole non archiviate con tag google.mandiant.recommended.

Accelera il rilevamento delle minacce con regole selezionate

Puoi utilizzare l'interfaccia Unified Rules per identificare i rilevamenti per tattiche MITRE ATT&CK specifiche. Per trovare le regole con avvisi attivati e correlate all'accesso iniziale, segui questi passaggi:

  1. Vai alla dashboard Regole unificate.

  2. Utilizza la barra di ricerca per filtrare minacce specifiche.

    Ad esempio, per trovare regole selezionate relative all'accesso iniziale (tattica MITRE ATT&CK TA0001), utilizza la seguente query di ricerca:

    alerting_enabled = true AND tags:"TA0001"

    Per filtri complessi, consulta la sintassi avanzata nella pagina delle regole di ricerca.

  3. (Facoltativo) Seleziona una regola dai risultati di ricerca per visualizzarne i dettagli.

  4. Fai clic su Menu accanto alla regola di cui vuoi eseguire il deployment.

  5. Fai clic sui pulsanti di attivazione/disattivazione Regola live e Avvisi per iniziare a rilevare attivamente le minacce.

Puoi monitorare l'esecuzione, lo stato e la cronologia degli avvisi della regola dalla dashboard.

Utilizza le visualizzazioni salvate

La dashboard Regole unificate supporta le visualizzazioni salvate. Le visualizzazioni salvate ti consentono di creare e salvare un insieme personalizzato di filtri delle regole, insiemi di colonne e ordinamenti per un accesso rapido nella dashboard Regole unificate.

Crea una vista personalizzata

  1. Vai alla dashboard Regole unificate.

  2. Fai clic sul menu Visualizzazioni salvate e seleziona Salva come nuova visualizzazione.

  3. Digita il nome della visualizzazione e fai clic su Salva.

  4. Configura i filtri, le colonne e l'ordinamento dei target nella dashboard Regole unificate.

Applica una visualizzazione salvata

Per aggiornare la dashboard con una configurazione salvata:

  1. Vai alla dashboard Regole unificate.

  2. Fai clic sul menu Visualizzazioni salvate e seleziona la visualizzazione salvata richiesta dall'elenco.

  3. Fai clic su Salva.

Gestisci visualizzazioni salvate

Per modificare, rinominare, nascondere o eliminare una visualizzazione salvata, segui questi passaggi:

  1. Fai clic sul menu Visualizzazioni salvate e seleziona Gestisci visualizzazioni.

  2. Fai clic su Salva.

Risoluzione dei problemi

Questa sezione fornisce informazioni per risolvere i problemi comuni e comprendere le limitazioni dell'interfaccia Unified Rules.

Latenza e limiti

  • Esecuzione delle regole: potrebbe verificarsi un breve ritardo di propagazione (in genere alcuni minuti) tra il salvataggio di una regola e la visualizzazione delle prime metriche di esecuzione nella dashboard.

  • Limiti della ricerca retroattiva: i rilevamenti predefiniti non possono essere eseguiti come ricerche retroattive. Inoltre, le ricerche retroattive sono soggette ai limiti della finestra temporale in base al livello di conservazione dei dati.

Correzione degli errori

Codice di errore Descrizione del problema Correggi
403 - Vietato Autorizzazioni mancanti per visualizzare i contenuti selezionati. Assicurati che chronicle.featuredContentRules.list sia aggiunto al tuo ruolo IAM.
Deployment non riuscito Errore di sintassi o conflitto della regola. Utilizza il pulsante Testa regola nell'editor delle regole per convalidare la sintassi YARA-L.
user does not have access to scope <scope_name> L'utente non dispone delle autorizzazioni RBAC per i dati necessarie per l'ambito assegnato alla regola. Assicurati di avere accesso all'ambito richiesto. Per saperne di più, consulta Configura il RBAC dei dati per gli utenti.
The rule has been modified by someone else Un altro utente ha salvato una nuova versione della regola da quando l'hai aperta. Copia le modifiche, aggiorna la pagina per caricare l'ultima versione, quindi applica di nuovo e salva le modifiche.
rules editing not enabled La modifica delle regole è disattivata per la tua istanza di Google SecOps. Contatta l'amministratore per attivare la modifica delle regole.

Passaggi successivi

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.