管理提醒和 IOC 匹配项

支持：

提醒和 IOC 页面会显示影响您企业的所有提醒和失陷指标 (IOC)。

  • 如需打开提醒和 IOC 页面，请依次点击检测 > 提醒和 IOC。

该页面包含提醒标签页和 IOC 匹配项标签页：

  • 使用提醒标签页可查看企业中的当前提醒。

    提醒可以由安全基础设施、安全人员或 Google Security Operations 规则生成。

    在启用了数据 RBAC 的系统中，您只能查看源自与您分配的范围相关联的规则的提醒和检测结果。如需详细了解数据 RBAC 对检测的影响，请参阅检测。

  • 使用 IOC 匹配项标签页可查看已被标记为可疑且已在企业中出现的 IOC。

    Google Security Operations 会持续从您的基础设施和其他安全数据源中提取数据，并自动将可疑的安全指标与您的安全数据相关联。如果找到匹配项（例如，在您的企业中发现可疑网域），Google SecOps 会将该事件标记为 IOC，并将其显示在 IOC 匹配项标签页上。如需了解详情，请参阅 Google SecOps 如何自动匹配 IOC。

    在启用了数据 RBAC 的系统中，您只能查看您有权访问的资产的 IOC 匹配项。如需了解详情，请参阅数据 RBAC 对 Google SecOps 功能的影响。

    在 IoC 匹配项信息中心，您可以查看 IoC 详细信息，例如置信度分数、严重级别、Feed 名称和类别。

在“提醒和 IOC”页面上配置常用视图选项

本部分介绍了您可以在提醒和 IOC 页面的提醒和 IOC 匹配项标签页上配置的常见视图选项。

指定要显示的列

使用列管理器指定您希望该标签页显示的列。

配置日期和时间范围

如需指定您希望提醒和 IOC 匹配项标签页显示的提醒和 IOC 匹配项的日期和时间范围，请执行以下操作：

  1. 点击日历图标。设置日期和时间范围对话框随即打开。您可以使用范围标签页上的预设时间范围来指定日期和时间范围，也可以在事件时间标签页上选择事件发生的具体时间。

  2. 如需使用预设选项指定日期和时间范围，请点击范围标签页，然后选择以下选项之一：

    • 今天
    • 过去一小时
    • 过去 12 小时
    • 最后一天
    • 上周
    • 过去 2 周
    • 上个月
    • 过去 2 个月
    • 自定义：在日历上选择开始日期和结束日期，然后点击开始时间和结束时间字段以选择时间。

  3. 如需根据事件指定日期和时间范围，请点击事件时间标签页，在日历上选择日期，然后选择以下选项之一：

    • 确切时间：点击事件时间字段，然后选择事件发生的确切时间。
    • +/- 1 分钟
    • +/- 3 分钟
    • +/- 5 分钟
    • +/- 10 分钟
    • +/- 15 分钟
    • +/- 1 小时
    • +/- 2 小时
    • +/- 6 小时
    • +/- 12 小时
    • +/- 1 天
    • +/- 3 天
    • +/- 1 周

对提醒和 IOC 匹配项进行排序

您可以按升序或降序对显示的提醒和 IOC 匹配项进行排序。点击列标题可对列表进行排序。

查看提醒

提醒标签页会显示在指定日期和时间范围内在您的企业中检测到的提醒列表。您可以使用此标签页一目了然地查看有关提醒的信息，例如严重级别、优先级、风险评分和判定结果。颜色编码的图标和符号可帮助您快速识别需要立即关注的提醒。

查看其他信息

如需查看有关提醒的更多信息，请执行以下操作：

  • 展开提醒行，即可查看事件时间戳、类型和摘要。
  • 点击列表中的提醒名称，以切换到提醒视图，并查看有关提醒及其状态的其他信息。

刷新“提醒”表格

使用提醒表格标题中的刷新时间菜单，选择提醒表格的刷新频率。您可以使用以下选项：

  • 立即刷新
  • 不自动刷新（默认）
  • 每 5 分钟刷新一次
  • 每 15 分钟刷新一次
  • 每小时刷新一次

由复合检测生成的提醒

提醒可由复合检测生成，复合检测使用复合规则，这些规则会使用其他规则的输出（检测结果），并结合事件、指标或实体风险信号。这些规则可检测出单个规则可能遗漏的复杂多阶段威胁。

复合检测有助于通过定义的规则互动和触发器来分析事件。通过关联来自不同来源和攻击阶段的数据，可以提高准确率、减少假正例，并提供安全威胁的全面视图。

提醒标签页会在输入列中显示提醒的来源。如果提醒来自复合检测，则该列会显示 Detection。

如需查看触发提醒的复合检测，请在提醒标签页上执行以下操作之一：

  • 展开提醒行，然后在检测表中查看复合检测。
  • 点击规则名称以打开检测页面。
  • 点击提醒名称，打开提醒详情标签页。

过滤提醒

您可以使用过滤条件缩小显示的提醒列表范围。

执行以下步骤，为提醒列表添加过滤条件：

  1. 点击标签页左上角的过滤条件图标或添加过滤条件，打开添加过滤条件对话框。

  2. 请指定以下信息：

    • 字段：输入要过滤的对象，或开始在字段中输入对象，然后从列表中选择。
    • 运算符：输入 =（仅显示）或 !=（滤除），以指明应如何处理该值。
    • 值：选中要匹配或滤除的字段对应的复选框。显示的列表取决于字段值。

  3. 点击应用。该过滤条件会以条状标签的形式显示在提醒表格上方的过滤条件栏中。您可以根据需要添加多个过滤条件。

如需清除过滤条件，请点击过滤条件条状标签上的 x 将其移除。

查看 IOC 匹配项

IOC 匹配项标签页会显示在您的网络中检测到并与智能威胁 Feed 中已知可疑 IOC 列表匹配的 IOC。您可以查看有关 IoC 的信息，例如类型、优先级、状态、类别、资产、广告系列、来源、IoC 注入时间、首次发现时间和上次发现时间。颜色编码的图标和符号可帮助您快速识别哪些 IOC 需要您注意。

Google SecOps 如何自动匹配 IOC

Google SecOps 会自动将提取的安全数据与来自各种威胁情报 Feed 的已知威胁指标进行关联。提取安全数据后，系统会先将其标准化为统一数据模型 (UDM)。IOC 匹配引擎会持续将这些标准化 UDM 事件与来自所有已配置 Feed 的威胁指标进行比较。找到匹配项后，Google SecOps 会生成 IOC 匹配提醒。这种自动匹配流程对于网域和 IPv4 地址尤其有效。

下图展示了端到端流程：

IOC 匹配流程

如需详细了解如何注入数据，请参阅 Google SecOps 数据注入。

IOC 版本

Google SecOps 会保留所有注入的 IOC 版本，并使用最近注入且在给定结束日期之前有效的版本。如果您注入的 IOC 没有结束日期，它将无限期保持有效。如果您稍后注入具有特定时间范围（开始日期和结束日期）的同一 IOC，则该 IOC 会在其有效期间（包括开始日期前 5 天的回溯期）覆盖无限期版本。

此限时 IOC 到期后，Google SecOps 会自动还原为使用之前的 IOC 版本（如果该版本仍处于有效状态，例如无限期有效版本）。 提取有时间限制的 IOC 不会删除或永久失效之前提取的无限期 IOC。

提取数据后，系统会持续分析 UDM 事件数据，以查找与已知恶意域名、IP 地址和文件哈希（MD5、SHA-256 和 SHA-1）匹配的 IOC。找到匹配项后，IOC 会显示在 IOC 匹配项标签页中。

威胁情报来源

Google SecOps 使用多个来源进行 IOC 匹配：

  • Google 提供的情报：Google SecOps 包含来自 Google 的 Mandiant、VirusTotal 和 Google Threat Intelligence 的集成威胁情报。这些 Feed 会自动提供，并提供来自全球威胁分析的各种指标。购买企业 Plus 版套餐的客户还可以访问更高级的 Feed，例如 Mandiant Breach Analytics。
  • 客户提供的 Feed：您可以将自己的专有或第三方威胁情报 Feed 注入 Google SecOps。这些 Feed（例如 MISP_IOC）会经过标准化处理，并纳入到同一个 IOC 匹配流程中，以便您将安全数据与和贵组织相关的指标关联起来。

Google SecOps 中提供以下开箱即用的威胁情报来源：

Google SecOps 企业版软件包 Google SecOps 企业 Plus 版套餐
扩充的开源情报 (OSINT) 扩充的开源情报 (OSINT)
Mandiant Fusion
VirusTotal

实时和追溯匹配

Google SecOps 通过以下两种方式执行 IOC 匹配：

  • 实时匹配：注入新的安全遥测数据并进行标准化后，系统会立即根据所有可用的 IOC Feed 对其进行检查。任何匹配项都会近乎实时地触发提醒。
  • 追溯匹配：当新的 IOC 添加到任何集成的威胁情报 Feed（无论是 Google 提供的还是客户提供的）时，Google SecOps 会自动扫描您的历史数据（最长可达完整的数据保留期限，通常为一年），以查找这些新指标在过去是否出现过。这样可以确保分析历史活动是否存在潜在入侵，即使在注入时指标未知也是如此。

用于匹配的 UDM 字段

自动化 IOC 匹配引擎主要侧重于匹配 UDM 事件中发现的域名和 IP 地址。下表详细说明了根据您的软件包，哪些特定 UDM 字段用于自动 IOC 匹配：

企业版套餐 企业 Plus 版套餐
about.file
network.dns.answers
network.dns.questions network.dns.questions
principal.administrative_domain
principal.asset
principal.ip
principal.process.file principal.process.file
principal.process.parent_process.file principal.process.parent_process.file
security_result.about.file security_result.about.file
src.file src.file
src.ip
target.asset.ip
target.domain.name
target.file target.file
target.hostname target.hostname
target.ip target.ip
target.process.file target.process.file
target.process.parent_process.file

了解使用了哪些 UDM 字段有助于确保数据解析器正确地将原始日志字段映射到适当的 UDM 字段，以便进行有效的 IOC 匹配。

如果您使用的是 Google SecOps 企业 Plus 版，并且启用了应用威胁情报 (ATI) 功能，系统会根据 GTI 评分对 IOC 进行分析和优先级排序。如需了解详情，请参阅实用威胁情报优先级概览和实用威胁情报融合 Feed。

高级 IOC 匹配技术

除了 IOC 匹配项标签页中显示的自动 IOC 匹配之外，Google SecOps 还提供了多种强大的方法，可实现更精细或自定义的 IOC 关联。

使用实体图和 YARA-L 规则

借助实体图，您可以注入各种类型的上下文实体（包括代表 IOC 的实体），并使用 YARA-L 检测规则将这些实体与事件数据联接。这样可以实现多维 IOC 匹配。

实体图中用于 IOC 匹配的常见实体类型包括：IP_ADDRESS、DOMAIN_NAME、FILE（用于哈希）和 URL。

实体图可以使用两种上下文：

  • Google 提供的上下文 (GLOBAL_CONTEXT)：Google SecOps 会使用 GCTI、安全浏览和 VirusTotal 等 Feed 预先填充实体图，这些 Feed 带有 source_type = "GLOBAL_CONTEXT" 标签。
  • 客户提供的背景信息 (ENTITY_CONTEXT)：您可以注入自己的 IOC Feed（例如，来自 Anomali、Recorded Future、STIX），也可以使用 Ingestion API 添加自定义 IOC。这些通常带有 source_type = "ENTITY_CONTEXT" 标签。

关于实体图有效性的重要注意事项：默认情况下，实体图条目仅在提取时间戳前后大约 5 天内有效。这意味着，为了实现持续匹配，必须至少每五天重新提取一次情境数据。不过，如果实体包含 metadata.threat 字段，则此 +/- 5 天的过期时间不再适用，因此适合进行历史 IOC 匹配。

使用 GLOBAL_CONTEXT 的 YARA-L 规则示例：

rule google_safebrowsing_process_launch {
  meta:
    author      = "noam@"
    description = "Detects Process Launch events against Critical or High severity Google's SafeBrowsing database."

  events:
    $e.metadata.event_type = "PROCESS_LAUNCH"
    $e.target.process.file.sha256 = $hash

    $g.graph.metadata.entity_type = "FILE"
    $g.graph.entity.file.sha256 = $hash
    $g.graph.metadata.source_type = "GLOBAL_CONTEXT"
    $g.graph.metadata.threat.severity = "CRITICAL" or
    $g.graph.metadata.threat.severity = "HIGH"

  match:
    $hash over 10m

  condition:
    $e and $g
}

如需查看使用 YARA-L 进行情境感知分析和 IOC 匹配的详细示例，请参阅将 IP 地址与失陷指标进行匹配。

IOC 与数据表和 YARA-L 规则匹配

您可以在 YARA-L 规则中使用数据表来匹配 IOC 列表。数据表取代了已弃用的参考列表。数据表支持多列和多种数据类型（例如字符串、正则表达式和 CIDR），让您可以在单个规则中匹配多个 IOC。

基于列的比较和基于行的比较是在 YARA-L 规则中使用数据表的两种方法：

  • 基于列的比较会使用 in 关键字检查字段的值是否存在于特定数据表列的任何行中。这对于检查单列中的值列表非常有用。
  • 基于行的比较使用等式或比较运算符将 UDM 事件字段联接到数据表列。进行多项比较时，所有条件都必须与数据表中的同一行匹配。通过此流程，您可以执行多列 IOC 匹配。使用基于行的比较的规则需要 match 部分。

示例：YARA-L 规则匹配数据表列中的 IP

rule ioc_ip4_matches {
  meta:
    description = "IOC IPv4 matching using data tables"
  events:
    $ioc.metadata.event_type = "NETWORK_CONNECTION"
    $ioc.target.ip = $dip
    // checks if the IP address is in the ip_address column of data table "string_demo_list"
    $dip in %string_demo_list.ip_address

  condition:
    $ioc
}

对于多维匹配（例如，IP 地址 + 端口），您可以对包含多列的数据表使用基于行的比较。以下示例使用名为 connections_watchlist 的数据表，其中包含 ip 和 port 列：

rule ioc_ip4_and_port_matches {
  meta:
    description = "Matches on IP address and port using a data table"
  events:
    $ioc.metadata.event_type = "NETWORK_CONNECTION"
    $ioc.target.ip = $dip
    $ioc.target.port = $dport

    // row-based join: both ip and port must match same row in data table "connections_watchlist"
    %connections_watchlist.ip = $dip
    %connections_watchlist.port = $dport

  match:
    $dip, $dport over 5m

  condition:
    $ioc
}

BigQuery，用于历史 IOC 分析

Google SecOps 数据湖 (BigQuery) 中的 datalake.ioc_matches 表提供了一种强大的方法来查询历史 IOC 匹配数据。虽然 Google SecOps 的 IOC 匹配项标签页侧重于域名，但您可以使用 BigQuery 分析 IP 地址匹配项等。

用于查询特定 IP 地址 IOC 匹配项的 SQL 示例：

-- Add your IP IOC Matches here
DECLARE __IP_IOCS__ ARRAY <STRING>;
SET __IP_IOCS__ = ['40.79.150.120'];
------
SELECT
  MIN(DATE(TIMESTAMP_SECONDS(CAST(day_bucket_seconds AS INT64)), 'UTC')) AS first_observed,
  MAX(DATE(TIMESTAMP_SECONDS(CAST(day_bucket_seconds AS INT64)), 'UTC')) AS last_observed,
  COUNT(4) AS hits,
  ioc_value,
  feed_log_type,
  is_global,
  CONCAT(COALESCE(asset.namespace, "untagged"),":",COALESCE(asset.hostname, asset.asset_ip_address, asset.mac, "-")) AS asset
FROM
  `datalake.ioc_matches`
WHERE
  ioc_value IN UNNEST(__IP_IOCS__)
  AND ioc_type = "IOC_TYPE_IP"
GROUP BY
  4,
  5,
  6,
  7

以下是截断的结果：

行 first_observed last_observed 次点击 ioc_value feed_log_type is_global 资产
1 2025-02-23 2025-03-05 64 40.79.150.120 CATCH_ALL false untagged:192.168.12.16
2 2025-02-27 2025-03-05 29 40.79.150.120 CATCH_ALL false untagged:192.168.12.129

您还可以通过构建串联字符串来查询 datalake.events 表，以进行多维度 IOC 匹配，例如：

DECLARE
  __IOC_MULTIPLE_ATTRIBUTES__ ARRAY <STRING>;
SET
  __IOC_MULTIPLE_ATTRIBUTES__ = ['1.2.3.4,80', '1.2.3.4,443'];
SELECT
  MIN(TIMESTAMP_SECONDS(metadata.event_timestamp.seconds)) AS first_seen,
  MAX(TIMESTAMP_SECONDS(metadata.event_timestamp.seconds)) AS last_seen,
  target_ip,
  target.port
FROM
  `datalake.events`,
  UNNEST(target.ip) target_ip
WHERE
  DATE(hour_time_bucket) BETWEEN DATE_SUB(CURRENT_DATE, INTERVAL 60 DAY)
  AND DATE_SUB(CURRENT_DATE, INTERVAL 1 DAY)
  AND target_ip != ""
  AND target.port > 0
  AND CONCAT(target_ip,",",CAST(target.port AS STRING)) IN UNNEST(__IOC_MULTIPLE_ATTRIBUTES__)
GROUP BY 3,4

UDM 搜索和 Search API

  • UDM 搜索：支持使用数据表（之前称为参考列表）进行单维度搜索（例如哈希列表）。不过，它不支持跨多个不同群组的复杂 OR 逻辑（例如 (IP1 AND Port1) OR (IP2 AND Port2)）。
  • Search API：旧版 Search API 可有效针对哈希、IP 地址和域名进行 IOC 匹配，并返回匹配的资产。

过滤 IOC 匹配项

您可以使用过滤条件来缩小 IOC 表中显示的 IOC 列表。

执行以下步骤，为 IOC 列表添加过滤条件：

  1. 点击 IOC 表左上角的过滤条件图标，打开过滤条件对话框。

  2. 配置以下内容：

    • 逻辑运算符：选择或以匹配任一组合条件（析取），或选择和以匹配所有组合条件（合取）。
    • 列：选择要作为过滤依据的列。
    • 仅显示或滤除：在中间列中，选择仅显示或滤除，以指定应如何处理该值。
    • 值：根据列值，选中要显示或滤除的值对应的复选框。

  3. 点击应用。该过滤条件会以条状标签的形式显示在 IOC 表上方的过滤条件栏中。您可以根据需要添加多个过滤条件。

如需清除过滤条件，请点击过滤条件条状标签上的 x 将其移除，或点击全部清除。

过滤关键 IOC 的示例

如果您要查找已被确定为严重级别的 IOC，请在左侧列中选择严重级别，在中间列中选择仅显示，在右侧列中选择严重。

过滤 Applied Threat Intelligence IOC 的示例

如果您只想查看 Applied Threat Intelligence IOC，请在左侧列中选择来源，在中间列中选择仅显示，在右侧列中选择 Mandiant。

您还可以使用标签页左侧的过滤条件弹出式面板过滤 IOC。展开列名称，找到相应值，然后点击更多图标，选择仅显示或滤除。

查看和管理 IOC 匹配详情

如需查看突发事件的详细信息（例如优先级、类型、来源、IC-Score 和类别），请点击 IOC 以打开 IOC 详细信息页面。在此页面上，您可以执行以下操作：

  • 查看事件优先级
  • 查看关联情况

查看事件优先级

使用事件标签页查看观察到 IOC 的事件的优先级。

点击相应事件，打开事件查看器，其中会显示优先级、理由和事件详情。

查看关联情况

使用关联标签页可查看任何攻击者或恶意软件的关联，以帮助调查入侵事件并确定提醒的优先级。

SOAR 提醒

对于 Google SecOps 统一客户，SOAR 提醒会显示在此页面上，并包含支持请求 ID。点击支持请求 ID 以打开支持请求页面。在案例页面上，您可以获取有关提醒及其关联案例的信息，并采取响应措施。如需了解详情，请参阅案例概览。

如需管理提醒状态或关闭提醒，请执行以下操作：

  1. 前往支持请求页面。
  2. 在支持请求详情部分 > 提醒概览中，点击前往支持请求以访问支持请求。

限制

Google SecOps 一次最多可处理 10,000 个 IOC 匹配项。此限制适用于提醒和 IOC 页面公开的所有搜索参数。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。