未優先處理的 IoC 比對威脅

本文將說明如何整合 Google 的入侵指標 (IoC) 資訊動態饋給，擴大精選偵測規則範圍。這些規則集會根據精選的威脅情報，找出 Google Security Operations 環境中的惡意活動，特別著重於可透過高準確度指標 (例如 IP、網域和檔案雜湊) 識別的威脅。

Google SecOps Enterprise Plus 客戶預設會啟用這個類別的規則集。精確和廣泛規則的狀態都會設為「已啟用」，以支援製作人和複合偵測，並填入 IOC 中繼資料。不過，這些規則並非用於在警告佇列中產生干擾。因此，快訊功能預設為「關閉」。這樣一來，系統就能比對 Google 動態消息中大量精選的 IoC，並支援更深入的關聯，而不會產生警示疲勞。

如果自訂這些設定，Google 建議將這個類別的「快訊」設為「關閉」。

非優先 IoC 比對規則類別可全面涵蓋標準代管內容經常遺漏的威脅，包括加密貨幣挖礦、指揮與控制 (C2) 通訊，以及使用惡意匿名服務。「 Applied Threat Intelligence curated detections」(應用威脅情報精選偵測規則) 以 Mandiant 為基礎，並使用警示優先順序邏輯 (Active Breach 或 High 指定)，而「non-prioritized IoC Matching」(未排定優先順序的入侵指標比對) 類別則著重於 比對 Google 資訊來源中大量精選的入侵指標，以專門 識別特定威脅活動。

規則集說明

「Applied Threat Intelligence - Non-prioritized IOC Matching」(應用威脅情報 - 非優先 IOC 比對) 類別包含下列規則集：

• 應用威脅情報 - 非優先網域 IOC 比對
• 應用威脅情報 - 非優先檔案 IOC 比對
• 應用威脅情報 - 非優先 IP IOC 比對
• 應用威脅情報 - 精選複合式資料

這些規則集包含的邏輯，旨在偵測特定 Google IoC 動態饋給的直接命中情形。這些規則會做為產生器規則，標記與安全性相關的事件，並填入中繼資料，以便進行更深入的關聯分析，而非直接產生警示。

瞭解非優先 IoC 比對識別規則

這些規則會直接比對 Google 的入侵指標 (IoC) 資訊來源，標記與安全性相關的事件。這些指標的設計目的是做為偵測漏斗的識別層，提供惡意基礎架構或工具的高可信度指標。

支援的指標和記錄類型

規則會依據 Google SecOps 統合資料模型 (UDM) 記錄，將各種記錄來源正規化，以比對下列動態饋給類型：

修改規則集中的規則

按照標準 Mandiant Hunt 設定，您可以調整 IoC 比對規則在環境中的運作方式：

• 廣泛：偵測任何可能惡意的動態消息命中。雖然這能提供最大程度的能見度，但可能會增加 VPN 或 Proxy IP 等常見指標的偵測量。此外，建議您不要為這些廣泛規則啟用快訊，但保持偵測功能開啟。
• 精確：著重於可信度最高的行為叢集，盡可能減少雜訊。

如要修改設定，請使用 Google SecOps 規則清單，切換每項規則的「狀態」(啟用/停用) 和「快訊」(開啟/關閉)。

調整規則集中的快訊

使用規則排除項目，防止特定授權內部工具或已知良好流量觸發 ATI 警示。這有助於維持高訊號雜訊比，特別適合用來排除管理工具的授權使用，否則 RMM 工具動態饋給可能會標記這類使用行為。

如需使用 IoC 動態饋給的自訂 YARA-L 規則範例，請參閱「比對 IP 位址與入侵指標」。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。