非优先 IoC 匹配威胁

本文档概述了通过集成 Google 的失陷指标 (IoC) Feed 来扩展精选检测功能。这些规则集以精选威胁情报为基础，用于识别 Google Security Operations 环境中的恶意活动，特别是通过 IP、网域和文件哈希等高保真指标识别的威胁。

对于 Google SecOps 企业 Plus 版客户，系统默认启用此类别中的规则集。对于精确规则和广泛规则，状态均设置为已启用 ，以支持生成器和复合检测，并填充 IOC 元数据。不过，这些规则并非旨在生成提醒队列中的干扰信息。因此，系统默认将提醒设置为关闭 。这样，系统就可以匹配 Google Feed 中的大量精选 IoC，并支持更深层次的相关性分析，而不会导致提醒疲劳。

如果您自定义这些设置，Google 建议您将此类别的提醒设置为关闭 。

非优先 IoC 匹配规则类别可全面覆盖标准托管内容经常遗漏的威胁，包括加密货币挖矿、命令和控制 (C2) 通信以及使用恶意匿名化服务。 实战化威胁情报精选检测 基于 Mandiant，并使用提醒优先级逻辑（Active Breach 或 High 指定），而非优先 IoC 匹配类别则侧重于 匹配 Google Feed 中的大量精选 IoC，以专门 识别特定的威胁活动。

规则集说明

实战化威胁情报 - 非优先 IOC 匹配 类别包含以下规则集：

• 实战化威胁情报 - 非优先网域 IOC 匹配
• 实战化威胁情报 - 非优先文件 IOC 匹配
• 实战化威胁情报 - 非优先 IP IOC 匹配
• 实战化威胁情报 - 精选复合规则

这些规则集包含旨在检测针对特定 Google IoC Feed 的直接命中的逻辑。它们充当生成器规则，用于标记与安全相关的事件并填充元数据以进行更深层次的相关性分析，而不是直接生成提醒。

了解非优先 IoC 匹配识别规则

这些规则利用与 Google 的 IoC Feed 的直接匹配来标记与安全相关的事件。它们旨在充当检测漏斗的识别层，提供恶意基础架构或工具的高可信度指标。

支持的指标和日志类型

这些规则依赖于 Google SecOps 统一数据模型 (UDM) 记录，该记录会对各种日志来源进行标准化，以与以下 Feed 类型进行匹配：

修改规则集中的规则

按照标准的 Mandiant Hunt 配置，您可以调整 IoC 匹配规则在您的环境中的运作方式：

• 广泛 ：检测任何潜在的恶意 Feed 命中。虽然可以提供最大的可见性，但可能会增加 VPN 或代理 IP 等常见指标的检测量。此外，建议您在保持检测开启状态的同时，不要为这些广泛规则启用提醒。
• 精确 ：专注于可信度最高的行为集群，以最大限度地减少干扰。

如需修改设置，请使用 Google SecOps 规则列表切换每条规则的状态（已启用/已停用）和提醒（开启/关闭）。

调整规则集中的提醒

使用 规则排除项 可防止 特定的授权内部工具或已知良好的流量触发 基于 ATI 的提醒。这有助于您保持较高的信噪比，尤其适用于排除对管理工具的授权使用，否则这些工具可能会被 RMM 工具 Feed 标记。

如需查看使用 IoC Feed 的自定义 YARA-L 规则示例，请参阅 根据失陷指标匹配 IP 地址。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。