Indagine su un avviso GCTI
Gli avvisi di Google Cloud Threat Intelligence (GCTI) derivano sia dall'infrastruttura interna di rilevamento delle minacce di Google sia dalla ricerca fornita dagli analisti della sicurezza di GCTI.
Per i clienti di Google Security Operations, gli avvisi GCTI vengono visualizzati nella pagina Avvisi e IOC. Si trovano nella colonna Origine. Gli avvisi generati da GCTI sono etichettati come Rilevamenti selezionati.
Visualizzare un avviso GCTI
Per visualizzare gli avvisi GCTI:
- Dalla barra di navigazione, fai clic su Rilevamento > Avvisi e indicatori di compromissione.
- Nella scheda Origine, gli avvisi GCTI sono etichettati come Rilevamenti curati. Fai clic su Fonte per spostare in alto tutti gli avvisi con il tag Rilevamenti curati.
- Fai clic sul link nella colonna Nome dell'avviso che vuoi esaminare.
Quando fai clic sul testo nella colonna Nome, si apre una pagina con tre schede: Panoramica, Grafico e Cronologia avvisi. Grafico è un grafico interattivo che ti consente di espandere la ricerca. La cronologia avvisi mostra informazioni importanti sull'avviso.
Per scoprire come utilizzare Grafico e Cronologia avvisi, segui i passaggi descritti in Esaminare un avviso.
Vai alla dashboard delle regole GCTI
La dashboard Rilevamenti curati è la posizione in cui si trovano tutte le regole correlate a GCTI.
Per accedere alla dashboard Rilevamenti curati:
- Nella barra di navigazione, fai clic su Rilevamento > Regole e rilevamenti.
- Sono presenti quattro schede: Dashboard delle regole, Editor delle regole, Rilevamenti curati ed Esclusioni. Fai clic su Rilevamenti selezionati. In Rilevamenti curati si trovano tutte le regole GCTI e gli avvisi che generano.
Esaminare le regole GCTI
Sopra la tabella sono presenti due schede: Set di regole e Dashboard.
In Set di regole, è presente una tabella che mostra tutte le regole e i set di regole (gruppi di regole utilizzate insieme). In questa scheda puoi:
- Comprimere o espandere le diverse sezioni
- Attivare o disattivare Avvisi e Stato
- Utilizza le caselle nell'angolo in alto a sinistra della tabella per applicare le modifiche a un singolo insieme di regole o a tutti gli insiemi di regole.
La sezione Dashboard mostra le regole separate per categoria.
Se fai clic su un avviso nella sezione Dashboard, si apre una pagina che mostra una cronologia dei rilevamenti recenti per quell'avviso.
Utilizzo di regole precise e generali
Esistono due tipi di regole nei set di regole: precise e generiche. Puoi attivare o disattivare separatamente le regole precise o generiche a seconda del tipo di ricerca che stai eseguendo.
- Le regole precise sono regole che rilevano comportamenti dannosi con un grado di affidabilità maggiore e meno falsi positivi grazie alla natura più specifica della regola.
- Le regole generali rilevano comportamenti potenzialmente dannosi o anomali. Poiché queste regole sono più generali di quelle precise, la probabilità di falsi positivi è maggiore.
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.