Mandiant 建議規則
本指南可協助資安營運中心 (SOC) 分析師和偵測工程師，建立高準確度的威脅偵測基準。並說明 Google Security Operations 的 Mandiant Recommended 規則如何提供精選威脅偵測基準，在識別威脅發動者行為的同時，盡可能減少 SOC 警示疲勞。
常見用途
這個工作流程的常見用途包括：
自動化威脅偵測基準
目標：建立精選威脅偵測基準，不必手動逐一設定規則，即可識別威脅來源行為。
價值：Mandiant 建議基準的核心架構策略，是使用複合偵測 (多事件和多偵測關聯) 搭配高精確度的應用威脅情報 (ATI)。優先採用多級式複合邏輯，而非雜亂的單一事件警示，預設可提高偵測信賴度，並減少初始規則調整需求。
免配額偵測範圍
目標：盡可能擴大環境中的威脅偵測範圍，同時不消耗自訂規則容量配額。
價值：Mandiant 建議規則不會計入自訂規則容量配額，因此您可以在不犧牲容量的情況下，盡可能擴大涵蓋範圍。
重要術語
- Mandiant 建議規則：Google Security Operations 的精選偵測規則，可識別威脅發動者行為，同時盡可能減少 SOC 警告疲勞。
- 複合偵測：多事件和多偵測關聯，優先處理多級式複合邏輯，而非單一事件警示。
- 應用威脅情報 (ATI)：高精確度的威脅情報，與精選基準中的複合偵測功能搭配使用。
- 標記訂閱服務：這項背景服務會自動部署規則，並管理標記為
google.mandiant.recommended的規則生命週期。
事前準備
如要管理標記訂閱項目，您必須具備下列 IAM 權限：
chronicle.tagSubscriptions.createchronicle.tagSubscriptions.deletechronicle.tagSubscriptions.getchronicle.tagSubscriptions.listchronicle.tagSubscriptions.update
重要概念和規則標記基礎架構
Mandiant 建議基準會使用 Google SecOps 統一規則資訊主頁和背景訂閱服務，自動執行部署和生命週期管理作業。
系統和自訂標記
Google SecOps 會自動為這個精選基準中的每項偵測規則加上標記：
google.mandiant.recommended
Google SecOps 會根據這個標記，自動識別、啟用及更新建議規則。
標記訂閱
您可以使用訂閱服務訂閱標記，而不必手動啟用各項規則：
- 自動同步：訂閱
google.mandiant.recommended標記會觸發訂閱服務。 - LiveRules 填入：訂閱服務會自動填入並啟用對應的 YARA-L 規則，並提供建議的偵測和警告設定。
如要管理標記訂閱項目，請按照下列步驟操作：
- 前往「規則與偵測」資訊主頁，選取「總覽」分頁標籤，然後按一下「管理標記訂閱項目」。
- 找到「Mandiant Recommended」標記，然後將切換鈕設為開啟，啟用訂閱項目。如要取消訂閱，請將切換鈕設為關閉。
訂閱「Mandiant Recommended」標記後，所有含有該標記的精選規則都會自動套用建議的偵測和警告設定。如要覆寫這些設定，請在規則的「總覽」分頁中更新各項規則。警告表示您變更了 Mandiant 建議訂閱基準的設定。您可以使用精選規則排除功能，做為變更規則設定的替代方案。詳情請參閱「抑制規則排除項目」。
如要查看 Mandiant 建議設定與覆寫設定之間的所有差異，請前往「Overview」(總覽) 分頁，然後按一下「View diff and align」(查看差異並調整)。系統會開啟總覽導覽匣，讓你將覆寫設定重設為 Mandiant 建議的預設值。只有在「Alignment」值低於 100% 時，才會顯示這個按鈕。
精選已儲存的檢視畫面
Google SecOps 會在統合規則資訊主頁中，新增名為「Mandiant Recommended rules」的預設固定儲存檢視畫面。該檢視畫面使用下列篩選條件：(rule_owner:"*" AND archived=false) AND (tags:"google.mandiant.recommended")。
如要進一步瞭解如何搜尋規則，請參閱「搜尋規則清單」。
疑難排解
本節提供解決常見問題的資訊，並說明建議規則的行為。
建議規則的警告通知
停用 Mandiant 建議規則的標準快訊功能時，系統會顯示警告訊息，而非強制限制。停用建議規則的警告功能前，請確認團隊仍會主動監控。
還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。