Descripción general de la puntuación de IC

La inteligencia sobre amenazas aplicada en Google Security Operations evalúa y etiqueta los indicadores de compromiso (IoC) con una puntuación de confianza del indicador (IC-Score). El IC-Score agrega la información de más de 100 fuentes de inteligencia de código abierto y propiedad de Mandiant en una sola calificación. Con el aprendizaje automático, a cada fuente de inteligencia se le asigna un nivel de confianza según la calidad de la inteligencia que proporciona, que se determina a través de evaluaciones humanas y métodos basados en datos a gran escala. El IC-Score captura la probabilidad de que un indicador determinado esté asociado con actividad maliciosa (un verdadero positivo). Para obtener más información sobre cómo se evalúa un indicador para la fuente de IC-Score, consulta las descripciones de las fuentes de IC-Score.

La puntuación IC representa la probabilidad de que el indicador sea malicioso, es decir, un verdadero positivo. Para calcular la probabilidad final de maliciosidad, el modelo de aprendizaje automático incorpora toda la información disponible sobre el indicador, ponderada según la confianza aprendida para cada fuente de información. Dado que solo hay dos resultados posibles, malicioso o benigno, todos los indicadores comienzan con una probabilidad del 50% de ser cualquiera de los dos cuando no hay información disponible. Con cada fragmento de información adicional, esa puntuación de referencia se acerca a una probabilidad del 0% de maliciosidad (conocida como benigna) o a una probabilidad del 100% de maliciosidad (conocida como maliciosa). Google SecOps incorpora indicadores de compromiso (IOC) seleccionados por Applied Threat Intelligence con una puntuación de IC superior a 80. En la siguiente tabla, se describe el rango de las puntuaciones posibles.

Información sobre la antigüedad del indicador

El sistema de IC-Score incorpora información nueva, actualiza los datos de enriquecimiento y borra la información antigua durante los siguientes eventos de puntuación.

• Una nueva observación del indicador en una de nuestras fuentes de OSINT o en los sistemas de supervisión propios de Mandiant

• Períodos de espera específicos del indicador para cada fuente y enriquecimiento

Los períodos de espera se determinan según la última fecha en que se vio el indicador en la fuente o el enriquecimiento pertinente. Es decir, el análisis de incumplimientos considera que la información está desactualizada y deja de tenerla en cuenta como un factor activo en el cálculo de la puntuación después de una cantidad específica de días desde que se observó el indicador por última vez en una fuente determinada o desde que el servicio de enriquecimiento actualizó la información.El análisis de incumplimientos deja de considerar los períodos de espera como un factor activo en el cálculo de la puntuación.

En la siguiente tabla, se describen los atributos de marcas de tiempo importantes asociados con un indicador.

Descripción de la fuente de la puntuación de IC

Los indicadores de IC-Score muestran por qué un indicador tiene la puntuación que tiene. Los explicadores muestran qué categorías del sistema proporcionaron qué evaluaciones de confianza sobre un indicador. Para calcular la puntuación de IC, Applied Threat Analytics evalúa varias fuentes propias y de terceros. Cada categoría de fuente y fuente específica tiene un recuento resumido de las respuestas de veredicto malicioso o benigno que se devolvieron, junto con una evaluación de la calidad de los datos de la fuente. Los resultados se combinan para determinar la puntuación IC. En la siguiente tabla, se proporciona una explicación detallada de las categorías de fuentes.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.