威胁情报概览
支持的平台：
Google SecOps
SIEM
Google Threat Intelligence 提供了一种全面而主动的方法来识别、分析和缓解安全威胁。它利用 Google 的庞大基础设施、全球遥测数据和高级分析功能，提供实用数据分析洞见并提升组织的安全水平。
Google Threat Intelligence 包含威胁检测、恶意软件和钓鱼式攻击活动分析、实时威胁提醒，以及可与安全信息和事件管理 (SIEM) 和安全编排、Automation 和响应 (SOAR) 平台等安全工具无缝集成的情报 Feed。
您可以使用以下集成方法在 Google SecOps 中集成和使用 Google 威胁情报：
应用型威胁情报 (ATI)
这种全托管式原生流水线可自动整理和应用 Google 的威胁情报。
- 许可：
- Google SecOps 企业 Plus 版
- 功能：
- 提供高级自动化威胁情报功能。
- 包含完全内置且受管理的集成，可自动使用 Google、Mandiant 和 VirusTotal 的全方位情报，提供自动化的上下文、丰富信息和提醒，而无需手动配置流水线。
- 将一线专业知识与 Google 卓越的全网威胁监测能力相结合，提供有关威胁形势的统一视图。
- 让安全团队能够将警报置于上下文中，了解威胁行为者的策略，并在工作流程中直接使用情报。
- 集成步骤：请参阅实用威胁情报概览。
自带许可 (BYOL) Google Threat Intelligence 集成
此客户部署的流水线会将许可的 Google Threat Intelligence (GTI) 数据（威胁列表、IoC 流和攻击者背景信息）注入到 Google SecOps 中。此方法可让您在 Google SecOps 环境中部署和管理资源（例如 Cloud Run 函数、Cloud Scheduler、Secret Manager），以从 Chronicle API 中提取数据并将其流式传输到 Google SecOps。
- 许可：
- Google SecOps 标准版或企业版。
- 有效的 Google Threat Intelligence 许可，用于使用自带许可 (BYOL) 集成。
- Enterprise+ 许可包含 BYOL 集成的权限。
- 功能：
- 让您可以使用客户部署的流水线将数据注入到 Google SecOps 中，以增强检测和威胁搜寻功能。
- 用单一的统一解决方案取代了旧版分散的连接器。
- 集成步骤：请参阅 BYOL 威胁情报集成。
集成您自己的威胁情报 Feed
借助此集成方法，您可以将自定义或第三方入侵指标 (IoC) 和威胁情报 Feed（例如 MISP、STIX/TAXII、商业威胁情报提供商或自定义 CSV 和 JSON 列表）直接注入到 Google SecOps 中。Google SecOps 会将传入的 Feed 解析为统一数据模型 (UDM) 实体上下文图 (ECG)，以支持针对事件遥测数据的自动化 IoC 匹配、最长 30 天的数据回溯搜寻以及自定义 YARA-L 规则检测。
- 许可：
- 适用于所有 Google SecOps 许可层级。
- 功能：
- 使用原生 Google SecOps Feed（例如 Cloud Storage、HTTPS、Amazon S3、STIX/TAXII 和 MISP）注入第三方威胁 Feed。
- 将威胁指示器和情境元数据直接标准化为具有时间间隔有效性窗口的 UDM 实体记录（例如
DOMAIN_NAME、IP_ADDRESS、FILE和URL）。 - 近乎实时地将传入的遥测数据与您的自定义威胁情报 Feed 进行关联，并进行回溯分析。
- 支持通过自动 IoC 匹配和自定义 YARA-L 相关性规则进行威胁检测。
- 集成步骤：请参阅集成您自己的威胁情报 Feed。