调查 GCTI 提醒

支持：

Google Cloud Threat Intelligence (GCTI) 提醒来自 Google 内部威胁检测基础架构以及由 GCTI 安全分析师提供的研究成果。

对于 Google Security Operations 客户，GCTI 提醒会显示在提醒和 IOC 页面上。它们位于来源 列下。由 GCTI 生成的提醒会被标记为精选检测 。

查看 GCTI 提醒

如需查看 GCTI 提醒，请按以下步骤操作：

  1. 在导航栏中，依次点击检测 > 提醒和 IOC 。
  2. 在来源 标签页下，GCTI 提醒会被标记为精选检测 。 点击来源 ，将所有带有精选检测 标记的提醒移到顶部。
  3. 点击要调查的提醒的名称 列中的链接。

点击名称 列中的文本后，系统会打开一个页面，其中包含三个标签页： 概览、图表 和提醒历史记录。图表 是一个交互式图表，可让您扩大搜索范围。提醒历史记录 会向您显示有关提醒的重要信息。

如需了解如何使用图表 和提醒历史记录 ，请按照 调查提醒中的步骤操作。

精选检测 信息中心是所有与 GCTI 相关的规则所在的位置。

如需前往精选检测 信息中心，请按以下步骤操作：

  1. 在导航栏中，依次点击检测 > 规则和检测 。
  2. 有四个标签页：规则信息中心、规则编辑器、 精选检测和排除项。点击精选检测 。 精选检测 是所有 GCTI 规则及其生成的提醒所在的位置。

调查 GCTI 规则

表格上方有两个标签页：规则集 和信息中心 。

在规则集 中，有一个表格显示了所有规则和规则集 （一起使用的规则组）。在此标签页中，您可以执行以下操作：

  • 展开或收起不同的部分
  • 启用或停用提醒 和状态
  • 使用表格左上角的框，对单个规则集或所有规则集应用更改

精选检测

信息中心 部分会按类别显示规则。

规则信息中心

如果您点击信息中心 部分中的提醒，系统会打开一个页面，其中显示该提醒的近期检测时间轴。

使用精确规则和广泛规则

规则集 中有两种类型的规则：精确 和广泛 。您可以根据要执行的搜索类型，分别启用或停用精确 或广泛 规则。

  • 精确规则 可发现极有可能是恶意行为且需要调查的恶意行为。如果您希望安全团队对精确规则生成的安全事件采取直接补救措施，请启用精确规则。

  • 广泛规则 可识别和标记可能是恶意行为或异常行为的行为，作为潜在的相关安全信号。如果目标是收集上下文数据以进行检测，请启用广泛规则。 这些规则的检测结果不适用于个人操作。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。