Este documento oferece uma visão geral dos conjuntos de regras na categoria "Ameaças do macOS", das fontes de dados necessárias e da configuração que você pode usar para ajustar os alertas gerados por esses conjuntos de regras.
Os conjuntos de regras na categoria "Ameaças do macOS" ajudam a identificar ameaças em ambientes do macOS usando o CrowdStrike Falcon, o sistema de auditoria do macOS (AuditD) e os registros do sistema Unix.
Essa categoria inclui os seguintes conjuntos de regras:
Mandiant Intel Emerging Threats: esse conjunto de regras contém regras derivadas de campanhas de inteligência e eventos significativos da Mandiant, que abrangem atividades geopolíticas e de ameaças de alto impacto, conforme avaliado pela Mandiant. Essa atividade pode incluir conflitos geopolíticos, exploração, phishing, malvertising, ransomware e comprometimentos da cadeia de suprimentos.
Dispositivos e tipos de registros aceitos
Esta seção lista os dados exigidos por cada conjunto de regras. Entre em contato com seu representante do Google Security Operations se você estiver coletando dados de endpoint usando um software de EDR diferente.
Para uma lista de todas as fontes de dados compatíveis com o Google SecOps, consulte
Analistas padrão compatíveis.
Conjuntos de regras de ameaças de linha de frente e ameaças emergentes da Mandiant Intel
Esses grupos de regras foram testados e são compatíveis com as seguintes fontes de dados de EDR do Google SecOps:
Carbon Black (CB_EDR)
SentinelOne (SENTINEL_EDR)
Crowdstrike Falcon (CS_EDR)
Esses grupos de regras estão sendo testados e otimizados para as seguintes fontes de dados de EDR compatíveis com o Google SecOps:
Tanium
Cybereason EDR (CYBEREASON_EDR)
Lima Charlie (LIMACHARLIE_EDR)
OSQuery
Zeek
Cylance (CYLANCE_PROTECT)
Para ingerir esses registros no Google SecOps, consulte Ingerir dados do Google Cloud no Google SecOps. Entre em contato com seu representante do Google SecOps se precisar coletar esses registros usando outro mecanismo.
Para uma lista de todas as fontes de dados compatíveis com o Google SecOps, consulte
Analistas padrão compatíveis
Ajustar alertas retornados pela categoria "Ameaças do macOS"
É possível reduzir o número de detecções geradas por uma regra ou um conjunto de regras usando exclusões de regras.
Na exclusão de regra, você define os critérios de um evento da UDM que o exclui da avaliação pelo conjunto de regras.
Crie uma ou mais exclusões de regra para identificar critérios em um evento da UDM que
impedem que ele seja avaliado por esse conjunto de regras ou por regras específicas
do conjunto. Consulte Configurar exclusões de regras para informações sobre como fazer isso.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-08-21 UTC."],[[["\u003cp\u003eThis document overviews the macOS Threats rule sets in Google SecOps, designed to detect threats in macOS environments using various data sources.\u003c/p\u003e\n"],["\u003cp\u003eThe macOS Threats category utilizes CrowdStrike Falcon, macOS Auditing System (AuditD), and Unix system logs to identify potential threats.\u003c/p\u003e\n"],["\u003cp\u003eThe Mandiant Intel Emerging Threats rule set within this category is derived from Mandiant Intelligence Campaigns and covers significant geopolitical and threat activities.\u003c/p\u003e\n"],["\u003cp\u003eSupported EDR data sources for these rule sets include Carbon Black, SentinelOne, and Crowdstrike Falcon, with several others currently undergoing testing and optimization.\u003c/p\u003e\n"],["\u003cp\u003eAlerts generated by these rule sets can be tuned using rule exclusions, allowing users to define criteria in UDM events to exclude specific events from evaluation.\u003c/p\u003e\n"]]],[],null,["# Overview of macOS Threats category\n==================================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n\nThis document provides an overview of the rule sets in the macOS Threats\ncategory, the required data sources, and configuration you can use to tune the\nalerts generated by these rule sets.\n\nRule sets in the macOS Threats category help identify threats in macOS\nenvironments using CrowdStrike Falcon, macOS Auditing System (AuditD), and Unix system logs.\nThis category includes the following rule sets:\n\n- **Mandiant Intel Emerging Threats**: This rule set contains rules derived from Mandiant Intelligence Campaigns and Significant Events, which cover highly impactful geopolitical and threat activity, as assessed by Mandiant. This activity may include geopolitical conflict, exploitation, phishing, malvertising, ransomware, and supply chain compromises.\n\nSupported devices and log types\n-------------------------------\n\nThis section lists the data required by each rule set. Contact your\nGoogle Security Operations representative if you are collecting endpoint data using different EDR software.\n\nFor a list of all Google SecOps supported data sources, see\n[Supported default parsers](/chronicle/docs/ingestion/parser-list/supported-default-parsers).\n\n### Mandiant Front-Line Threats and Mandiant Intel Emerging Threats rule sets\n\nThese rule sets have been tested and are supported with the following Google SecOps supported EDR data sources:\n\n- Carbon Black (`CB_EDR`)\n- SentinelOne (`SENTINEL_EDR`)\n- Crowdstrike Falcon (`CS_EDR`)\n\nThese rule sets are being tested and optimized for the following Google SecOps supported EDR data sources:\n\n- Tanium\n- Cybereason EDR (`CYBEREASON_EDR`)\n- Lima Charlie (`LIMACHARLIE_EDR`)\n- OSQuery\n- Zeek\n- Cylance (`CYLANCE_PROTECT`)\n\nTo ingest these logs to Google SecOps, see [Ingest Google Cloud data to Google SecOps](/chronicle/docs/ingestion/cloud/ingest-gcp-logs). Contact your Google SecOps representative if you need to collect these logs using a different mechanism.\n\nFor a list of all Google SecOps supported data sources, see\n[Supported default parsers](/chronicle/docs/ingestion/parser-list/supported-default-parsers)\n\nTuning alerts returned by macOS Threats category\n------------------------------------------------\n\nYou can reduce the number of detections a rule or rule set generates using\n[rule exclusions](/chronicle/docs/detection/rule-exclusions).\n\nIn the rule exclusion, you define the criteria of a UDM event that excludes the\nevent from being evaluated by the rule set.\n\nCreate one or more rule exclusions to identify criteria in a UDM event that\nexclude the event from being evaluated by this rule set or by specific rules in\nthe rule set. See\n[Configure rule exclusions](/chronicle/docs/detection/rule-exclusions)\nfor information about how to do this.\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
