管理警示和 IOC 比對

「快訊和入侵指標」頁面會顯示影響貴企業的所有快訊和入侵指標 (IOC)。

• 如要開啟「快訊與 IOC」頁面，請依序點選「偵測」>「快訊與 IOC」。

這個頁面包含「快訊」和「IOC 比對」分頁：

• 您可以使用「快訊」分頁查看企業目前的快訊。

  警告可由安全基礎架構、安全人員或 Google Security Operations 規則產生。

  在啟用資料 RBAC 的系統中，您只能查看與指派範圍相關聯的規則所產生的快訊和偵測結果。如要進一步瞭解資料 RBAC 對偵測功能的影響，請參閱「偵測」。

• 使用「IOC Matches」(IOC 比對) 分頁，查看貴機構中標示為可疑的 IOC。

  Google Security Operations 會持續從基礎架構和其他安全資料來源擷取資料，並自動將可疑的安全指標與安全資料建立關聯。如果找到相符項目 (例如在企業中發現可疑網域)，Google SecOps 會將事件標示為 IOC，並顯示在「IOC Matches」(IOC 比對) 分頁中。詳情請參閱「Google SecOps 如何自動比對 IOC」。

  在啟用資料 RBAC 的系統中，您只能查看有權存取的資產 IOC 比對結果。詳情請參閱「資料 RBAC 對 Google SecOps 功能的影響」。

  在「IoC 相符項目」資訊主頁，您可以查看 IOC 詳細資料，例如信賴分數、嚴重程度、動態饋給名稱和類別。

在「快訊與 IOC」頁面設定常見檢視選項

本節說明您可以在「Alerts & IOCs」(警告和 IOC) 頁面的「Alerts」(警告) 和「IOC Matches」(IOC 比對結果) 分頁中設定的常見檢視選項。

指定要顯示的資料欄

使用資料欄管理工具，指定要在分頁中顯示的資料欄。

設定日期和時間範圍

如要指定「快訊」和「IOC 比對」分頁顯示的快訊和 IOC 比對結果日期和時間範圍，請按照下列步驟操作：

1. 按一下「日曆」圖示。「設定日期和時間範圍」對話方塊隨即開啟。您可以使用「範圍」分頁上的預設時間範圍指定日期和時間範圍，也可以在「事件時間」分頁上選擇事件發生的特定時間。

2. 如要使用預設選項指定日期和時間範圍，請按一下「Range」(範圍) 分頁標籤，然後選取下列其中一個選項：

   • 今天
   • 過去 1 小時
   • 過去 12 小時
   • 最近 1 天
   • 上週
   • 過去 2 週
   • 上個月
   • 過去 2 個月
   • 自訂：在日曆上選取開始和結束日期，然後按一下「開始時間」和「結束時間」欄位選取時間。

3. 如要根據事件指定日期和時間範圍，請按一下「事件時間」分頁標籤，在日曆上選取日期，然後選取下列其中一個選項：

   • 確切時間：按一下「事件時間」欄位，然後選取事件發生的具體時間。
   • +/- 1 分鐘
   • +/- 3 分鐘
   • +/- 5 分鐘
   • +/- 10 分鐘
   • +/- 15 分鐘
   • +/- 1 小時
   • +/- 2 小時
   • +/- 6 小時
   • +/- 12 小時
   • +/- 1 天
   • +/- 3 天
   • +/- 1 週

排序警告和 IOC 比對結果

您可以依遞增或遞減順序，排序顯示的快訊和 IOC 比對結果。按一下欄標題即可排序清單。

查看快訊

「快訊」分頁會列出在指定日期和時間範圍內，貴企業偵測到的快訊。您可以在這個分頁中，一目瞭然地查看警示資訊，例如嚴重性、優先順序、風險評分和判定結果。圖示和符號會以顏色區分，方便您快速找出需要立即處理的警示。

查看其他資訊

如要查看快訊的其他資訊，請按照下列步驟操作：

• 展開快訊列，即可查看事件時間戳記、類型和摘要。
• 在清單中點選快訊「名稱」，即可切換至「快訊檢視畫面」，查看快訊和狀態的其他資訊。

重新整理「警告」表格

使用「快訊」表格標頭中的「重新整理時間」選單，選取「快訊」表格的重新整理頻率。可用選項如下：

• 立即重新整理
• 不自動重新整理 (預設)
• 每 5 分鐘重新整理一次
• 每 15 分鐘重新整理一次
• 每小時重新整理一次

複合偵測項目產生的警告

複合偵測可產生快訊，這類偵測會使用複合規則，而複合規則會使用其他規則的輸出內容 (偵測結果)，並結合事件、指標或實體風險信號。這些規則可偵測個別規則可能遺漏的複雜多階段威脅。

複合偵測功能可透過定義的規則互動和觸發條件，協助分析事件。這項功能可提升準確率、減少偽陽性，並透過關聯不同來源和攻擊階段的資料，提供安全威脅的全面檢視畫面。

「快訊」分頁的「輸入」欄會顯示快訊來源。如果警告來自複合偵測項目，該欄會顯示 Detection。

如要查看觸發警告的複合偵測項目，請在「警告」分頁中執行下列任一操作：

• 展開警告列，在「偵測項目」表格中查看複合偵測項目。
• 按一下「規則名稱」，開啟「偵測」頁面。
• 按一下快訊「名稱」，開啟「快訊詳細資料」分頁。

篩選警告

您可以使用篩選器縮小顯示的快訊清單範圍。

請按照下列步驟，為快訊清單新增篩選器：

1. 按一下分頁左上角的「篩選器」圖示或「新增篩選器」，開啟「新增篩選器」對話方塊。

2. 指定下列資訊：

   • 欄位：輸入要篩選的物件，或在欄位中輸入物件，然後從清單中選取。
   • 運算子：輸入 = (僅顯示) 或 != (篩除)，指出值的處理方式。
   • 值：勾選要比對或篩除的欄位。系統會根據「Field」值顯示清單。

3. 按一下 [套用]。篩選器會以方塊形式，顯示在「快訊」表格上方的篩選器列中。您可以視需要新增多個篩選器。

如要清除篩選器，請按一下篩選器方塊上的「x」x，將其移除。

查看 IOC 比對結果

「IOC Matches」(IOC 比對) 分頁會顯示在網路中偵測到的 IOC，並與智慧威脅動態饋給中已知的可疑 IOC 清單進行比對。您可以查看 IOC 的相關資訊，例如類型、優先順序、狀態、類別、資產、廣告活動、來源、IOC 擷取時間、首次出現時間和上次出現時間。您可透過顏色編碼的圖示和符號，快速找出需要留意的 IOC。

Google SecOps 如何自動比對 IOC

Google SecOps 會自動將擷取的安全資料，與各種威脅情報來源的已知威脅指標建立關聯。擷取安全性資料時，系統會先將資料正規化為統合式資料模型 (UDM)。IOC 比對引擎會持續將這些標準化 UDM 事件，與所有已設定動態饋給的威脅指標進行比較。找到相符項目時，Google SecOps 會產生 IOC 比對警示。這項自動比對程序特別適用於網域和 IPv4 位址。

下圖說明端對端程序：

如要進一步瞭解如何擷取資料，請參閱「Google SecOps 資料擷取」。

IOC 版本

Google SecOps 會保留所有擷取的 IOC 版本，並使用最近擷取且在指定結束日期前有效的版本。如果擷取的 IOC 沒有結束日期，就會無限期保持有效。如果之後擷取相同的 IOC，並指定特定日期範圍 (開始和結束日期)，則在有效期間內，系統會覆寫無限期版本，包括開始日期前五天的回溯期。

這類 IOC 到期後，Google SecOps 會自動還原至先前的 IOC 版本 (如果仍有效，例如無限期有效版本)。擷取限時 IOC 不會刪除或永久失效先前擷取的無限期 IOC。

資料擷取後，系統會持續分析 UDM 事件資料，找出與已知惡意網域名稱、IP 位址和檔案雜湊 (MD5、SHA-256 和 SHA-1) 相符的入侵指標。找到相符項目時，IOC 會顯示在「IOC Matches」(IOC 比對結果) 分頁。

威脅情報來源

Google SecOps 會使用多個來源進行 IOC 比對：

• Google 提供的情報：Google SecOps 整合了 Google Mandiant、VirusTotal 和 Google Threat Intelligence 的威脅情報。這些動態饋給會自動提供，並提供全球威脅分析的各種指標。Enterprise Plus 套件客戶還能存取 Mandiant Breach Analytics 等更進階的動態饋給。
• 客戶提供的動態饋給：您可以將自己的專屬或第三方威脅情報動態饋給，擷取至 Google SecOps。這些動態饋給 (例如 MISP_IOC) 會經過正規化，並納入相同的 IOC 比對程序，讓您能將安全性資料與貴組織相關的指標建立關聯。

Google SecOps 內建下列威脅情報來源：

即時和回溯性比對

Google SecOps 會透過以下兩種方式比對 IOC：

• 即時比對：擷取新的安全性遙測資料並正規化後，系統會立即根據所有可用的 IOC 動態饋給進行檢查。如有相符項目，系統會近乎即時地觸發快訊。
• 追溯比對：新的 IOC 加入任何整合的威脅情報動態饋給 (無論是 Google 還是客戶提供) 時，Google SecOps 會自動掃描歷來資料 (最長可達完整資料保留期限，通常為一年)，找出這些新指標過去是否曾出現。這樣一來，即使在擷取時不知道指標，系統仍會分析歷來活動，找出潛在入侵。

用於比對的 UDM 欄位

自動化 IOC 比對引擎主要會比對 UDM 事件中的網域名稱和 IP 位址。下表詳細說明系統會根據您的方案，使用哪些特定 UDM 欄位自動比對 IOC：

瞭解使用的 UDM 欄位，有助於確保資料剖析器正確將原始記錄欄位對應至適當的 UDM 欄位，以便有效比對 IOC。

如果您使用 Google SecOps Enterprise Plus 套件，且已啟用套用威脅情報 (ATI) 功能，系統會根據 GTI 分數分析 IOC 並排定優先順序。詳情請參閱「Applied Threat Intelligence 優先順序總覽」和「Applied Threat Intelligence Fusion Feed」。

進階 IOC 比對技術

除了「IOC 比對」分頁中顯示的自動 IOC 比對功能外，Google SecOps 還提供多種強大方法，可進行更精細或自訂的 IOC 關聯。

使用實體圖表和 YARA-L 規則

實體圖可讓您擷取各種情境實體 (包括代表 IOC 的實體)，並使用 YARA-L 偵測規則將這些實體與事件資料彙整。這可實現多維度 IOC 比對。

在實體圖中，用於比對 IOC 的常見實體類型包括：IP_ADDRESS、DOMAIN_NAME、FILE (用於雜湊) 和 URL。

實體圖表可使用兩種背景資訊：

• Google 提供的背景資訊 (GLOBAL_CONTEXT)：Google SecOps 會預先填入實體圖，並加入 GCTI、安全瀏覽和 VirusTotal 等動態饋給，並標示為 source_type = "GLOBAL_CONTEXT"。
• 客戶提供的背景資訊 (ENTITY_CONTEXT)：您可以擷取自己的 IOC 動態饋給 (例如來自 Anomali、Recorded Future、STIX)，或使用 Ingestion API 新增自訂 IOC。這類項目通常會標示 source_type = "ENTITY_CONTEXT"。

實體圖譜有效性的重要考量：根據預設，實體圖譜項目僅在擷取時間戳記前後約 5 天內有效。也就是說，如要持續比對，至少每五天就必須重新擷取比對內容資料。不過，如果實體包含 metadata.threat 欄位，則不再適用 +/- 5 天的到期時間，因此適合用於歷來 IOC 比對。

使用 GLOBAL_CONTEXT 的 YARA-L 規則範例：

rule google_safebrowsing_process_launch {
  meta:
    author      = "noam@"
    description = "Detects Process Launch events against Critical or High severity Google's SafeBrowsing database."

  events:
    $e.metadata.event_type = "PROCESS_LAUNCH"
    $e.target.process.file.sha256 = $hash

    $g.graph.metadata.entity_type = "FILE"
    $g.graph.entity.file.sha256 = $hash
    $g.graph.metadata.source_type = "GLOBAL_CONTEXT"
    $g.graph.metadata.threat.severity = "CRITICAL" or
    $g.graph.metadata.threat.severity = "HIGH"

  match:
    $hash over 10m

  condition:
    $e and $g
}

如需使用 YARA-L 進行內容感知分析和 IOC 比對的詳細範例，請參閱「比對 IP 位址與入侵指標」。

使用資料表和 YARA-L 規則比對 IOC

您可以在 YARA-L 規則中使用資料表，比對 IOC 清單。資料表會取代已淘汰的參考清單。資料表支援多個資料欄和資料類型 (例如字串、規則運算式和 CIDR)，可讓您在單一規則中比對多個 IOC。

資料欄比較和資料列比較是在 YARA-L 規則中使用資料表的兩種方法：

• 資料欄比較會使用 in 關鍵字，檢查特定資料表資料欄的任何資料列中是否存在某個欄位的值。這項功能可用來檢查單一資料欄中的值清單。
• 資料列式比較會使用等式或比較運算子，將 UDM 事件欄位與資料表資料欄彙整。如果進行多項比較，所有條件都必須與資料表中的同一列相符。這項程序可讓您進行多欄 IOC 比對。使用資料列比較功能的規則必須包含 match 區段。

範例：YARA-L 規則比對資料表欄中的 IP

rule ioc_ip4_matches {
  meta:
    description = "IOC IPv4 matching using data tables"
  events:
    $ioc.metadata.event_type = "NETWORK_CONNECTION"
    $ioc.target.ip = $dip
    // checks if the IP address is in the ip_address column of data table "string_demo_list"
    $dip in %string_demo_list.ip_address

  condition:
    $ioc
}

如要進行多維度比對 (例如 IP 位址 + 通訊埠)，您可以對有多個資料欄的資料表進行資料列比對。以下範例使用名為 connections_watchlist 的資料表，其中包含 ip 和 port 資料欄：

rule ioc_ip4_and_port_matches {
  meta:
    description = "Matches on IP address and port using a data table"
  events:
    $ioc.metadata.event_type = "NETWORK_CONNECTION"
    $ioc.target.ip = $dip
    $ioc.target.port = $dport

    // row-based join: both ip and port must match same row in data table "connections_watchlist"
    %connections_watchlist.ip = $dip
    %connections_watchlist.port = $dport

  match:
    $dip, $dport over 5m

  condition:
    $ioc
}

使用 BigQuery 分析歷來 IOC

Google SecOps 資料湖泊 (BigQuery) 中的 datalake.ioc_matches 資料表，提供強大的歷史 IOC 比對資料查詢功能。Google SecOps 的「IOC 比對」分頁著重於網域，但您可以使用 BigQuery 分析 IP 位址比對結果等。

查詢特定 IP 位址 IOC 比對結果的 SQL 範例：

-- Add your IP IOC Matches here
DECLARE __IP_IOCS__ ARRAY <STRING>;
SET __IP_IOCS__ = ['40.79.150.120'];
------
SELECT
  MIN(DATE(TIMESTAMP_SECONDS(CAST(day_bucket_seconds AS INT64)), 'UTC')) AS first_observed,
  MAX(DATE(TIMESTAMP_SECONDS(CAST(day_bucket_seconds AS INT64)), 'UTC')) AS last_observed,
  COUNT(4) AS hits,
  ioc_value,
  feed_log_type,
  is_global,
  CONCAT(COALESCE(asset.namespace, "untagged"),":",COALESCE(asset.hostname, asset.asset_ip_address, asset.mac, "-")) AS asset
FROM
  `datalake.ioc_matches`
WHERE
  ioc_value IN UNNEST(__IP_IOCS__)
  AND ioc_type = "IOC_TYPE_IP"
GROUP BY
  4,
  5,
  6,
  7

以下是截斷的結果：

您也可以建構串連字串，查詢 datalake.events 資料表，進行多維度 IOC 比對，例如：

DECLARE
  __IOC_MULTIPLE_ATTRIBUTES__ ARRAY <STRING>;
SET
  __IOC_MULTIPLE_ATTRIBUTES__ = ['1.2.3.4,80', '1.2.3.4,443'];
SELECT
  MIN(TIMESTAMP_SECONDS(metadata.event_timestamp.seconds)) AS first_seen,
  MAX(TIMESTAMP_SECONDS(metadata.event_timestamp.seconds)) AS last_seen,
  target_ip,
  target.port
FROM
  `datalake.events`,
  UNNEST(target.ip) target_ip
WHERE
  DATE(hour_time_bucket) BETWEEN DATE_SUB(CURRENT_DATE, INTERVAL 60 DAY)
  AND DATE_SUB(CURRENT_DATE, INTERVAL 1 DAY)
  AND target_ip != ""
  AND target.port > 0
  AND CONCAT(target_ip,",",CAST(target.port AS STRING)) IN UNNEST(__IOC_MULTIPLE_ATTRIBUTES__)
GROUP BY 3,4

UDM 搜尋和 Search API

• UDM 搜尋：支援使用資料表 (舊稱參照清單) 進行單一維度搜尋 (例如雜湊清單)。不過，這項功能不支援跨多個不同群組的複雜 OR 邏輯 (例如 (IP1 AND Port1) OR (IP2 AND Port2))。
• Search API：舊版 Search API 可有效比對雜湊、IP 位址和網域名稱的 IOC，並傳回相符的資產。

篩選 IOC 比對結果

您可以使用篩選器，縮小「IOC」表格中顯示的 IOC 清單範圍。

請按照下列步驟，為 IOC 清單新增篩選器：

1. 按一下「IOC」表格左上角的「篩選器」圖示，開啟「篩選器」對話方塊。

2. 設定下列項目：

   • 邏輯運算子：選取「OR」可比對任一組合條件 (析取)，選取「AND」則可比對所有組合條件 (合取)。
   • 資料欄：選取要篩選的資料欄。
   • 「僅顯示」或「篩除」：在中間欄選取「僅顯示」或「篩除」，指定值的處理方式。
   • 值：根據「欄」值，勾選要顯示或篩除的值。
     

3. 按一下 [套用]。篩選器會以方塊形式，顯示在「IOC」表格上方的篩選器列中。您可以視需要新增多個篩選器。

如要清除篩選器，請按一下篩選器方塊上的「x」，或點選「全部清除」。

篩選重大 IOC 的範例

如要尋找嚴重程度為「重大」的 IOC，請在左欄選取「嚴重程度」，在中間欄選取「僅顯示」，在右欄選取「重大」。

篩選 Applied Threat Intelligence IOC 的範例

如果只想查看 Applied Threat Intelligence IOC，請在左欄選取「Sources」，在中間欄選取「Show only」，在右欄選取「Mandiant」。

您也可以使用分頁左側的「篩選器」展開式面板篩選 IOC。展開資料欄名稱，找出所需的值，然後按一下「更多」圖示，選取「僅顯示」或「篩除」。

查看及管理 IOC 比對詳細資料

如要查看事件詳細資料 (例如優先順序、類型、來源、IC 分數和類別)，請按一下 IOC，開啟「IOC details」頁面。在這個頁面中，您可以執行下列操作：

• 查看事件優先順序
• 查看關聯

查看事件優先順序

使用「事件」分頁，查看系統如何排定 IOC 事件的優先順序。

按一下事件，開啟「事件檢視器」，其中會顯示優先順序、原因和事件詳細資料。

查看關聯

使用「關聯」分頁，查看任何攻擊者或惡意軟體的關聯，協助調查入侵事件並排定警示優先順序。

SOAR 警告

如果是 Google SecOps 整合式客戶，這個頁面會顯示 SOAR 快訊，並包含案件 ID。按一下案件 ID，開啟「案件」頁面。在「案件」頁面中，您可以查看快訊和相關案件的資訊，並採取應對措施。詳情請參閱「案件總覽」。

如要管理警告狀態或關閉警告，請按照下列步驟操作：

1. 前往「案件」頁面。
2. 在「案件詳細資料」部分 >「警告總覽」中，按一下「前往案件」即可存取案件。

限制

Google SecOps 一次最多可處理 10,000 個 IOC 比對項目。這項限制適用於「快訊和 IOC」頁面顯示的所有搜尋參數。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。