Zusammengesetzte Erkennungen – Übersicht

Unterstützt in:

In diesem Dokument werden zusammengesetzte Erkennungen vorgestellt und es wird erläutert, wie sie Workflows zur Bedrohungserkennung durch die Korrelation von Ausgaben aus mehreren Regeln verbessern können.

Zusammengesetzte Erkennungen werden von Regeln generiert, die Erkennungen aus anderen Regeln als Eingabe verwenden – kombiniert mit Ereignissen, Messwerten oder Entitätsrisikosignalen. Diese Regeln werden dann mit Ereignissen, Messwerten oder Entitätsrisikosignalen kombiniert, um komplexe, mehrstufige Bedrohungen zu erkennen, die von einzelnen Regeln möglicherweise nicht erkannt werden.

Zusammengesetzte Erkennungen helfen bei der Analyse von Ereignissen durch definierte Regelinteraktionen und Trigger. Dies verbessert die Genauigkeit, reduziert falsch positive Ergebnisse und bietet einen umfassenden Überblick über Sicherheitsbedrohungen, indem Daten aus verschiedenen Quellen und Angriffsphasen korreliert werden.

Die folgenden Konzepte definieren die Bausteine zusammengesetzter Regeln und verdeutlichen, wie sie in Erkennungsworkflows funktionieren:

  • Zusammengesetzte Regeln: Verwenden Erkennungen oder Benachrichtigungen (oder beides) als Eingabe. Optional können Sie sie mit Ereignissen, Messwerten und einer Vielzahl von Kontextdaten aus dem Entitätsdiagramm anreichern, z. B. mit Prävalenzdaten, Threat Intelligence oder einem Entitätsrisikowert. Diese Regeln müssen immer einen Abschnitt „match“ enthalten und können auf Metafelder, match-Variablen und outcome-Variablen aus Eingaberegeln verweisen.

  • Erkennung: Ausgabe, die generiert wird, wenn die Bedingungen einer Regel erfüllt sind.

  • Reine Erkennungsregeln: Zusammengesetzte Regeln, die nur Erkennungen oder Benachrichtigungen als Eingaben verwenden.

Wann sollten zusammengesetzte Erkennungen verwendet werden?

Zusammengesetzte Erkennungen können für die folgenden Ziele nützlich sein:

  • Ergebnisse von zwei oder mehr Regeln korrelieren (z. B. Verknüpfung einer Erkennung von heruntergeladener Malware mit einer nachfolgenden C2-Beaconing-Warnung vom selben Host).

  • Benachrichtigungen mit zugehörigen Ereignisdaten anreichern.

  • Reduzieren Sie die Ermüdung durch Warnmeldungen, indem Sie eine endgültige Warnmeldung nur dann auslösen, wenn eine ungenaue Erkennung mit geringer Zuverlässigkeit mehrmals oder in Kombination mit anderen verdächtigen Aktivitäten auftritt.

  • Erstellen Sie eine Benachrichtigung für einen komplexen, mehrstufigen Angriff, bei dem jede Phase bereits durch eine eigene Regel identifiziert wird.

Vorteile zusammengesetzter Erkennungen

Zusammengesetzte Erkennungen bieten folgende Vorteile:

  • Mehrstufige Angriffe aufdecken: Cyberangriffe sind oft vielschichtig und miteinander verbunden. Die zusammengesetzte Erkennung zeigt das umfassendere Angriffsszenario, indem scheinbar isolierte Sicherheitsereignisse verknüpft werden. Mit zusammengesetzten Erkennungen lässt sich beispielsweise die gesamte Abfolge eines Angriffs identifizieren, z. B. ein anfänglicher Verstoß, gefolgt von einer Rechteausweitung und einem Datenabfluss.

  • Weniger Benachrichtigungen: Zusammengesetzte Regeln fassen Benachrichtigungen zusammen und filtern sie, sodass Sie sich auf die wichtigsten konzentrieren können. So können Vorfälle mit großen Auswirkungen priorisiert und die allgemeine Alarmmüdigkeit reduziert werden.

  • Erkennungsgenauigkeit verbessern: Kombinieren Sie Informationen aus UDM-Ereignissen (Unified Data Model), Regelerkennungen, Entitätskontext, UEBA-Ergebnissen (User and Entity Behavior Analytics) und Datentabellen, um eine genauere Erkennungslogik zu erstellen.

  • Komplexe Logik optimieren: Komplexe Erkennungsszenarien in überschaubare, miteinander verbundene und wiederverwendbare Regeln aufteilen, um die Entwicklung und Wartung zu vereinfachen.

  • In Dashboards verwenden: Integrieren Sie zusammengesetzte Erkennungen nahtlos als Datenquellen für Google SecOps-Dashboards. Sie können damit Visualisierungen erstellen, die mehrstufige Angriffsmuster zusammenfassen, um komplexe Risiken besser zu verstehen.

Gängige Anwendungsfälle

In diesem Abschnitt werden einige gängige Anwendungsfälle für zusammengesetzte Erkennungen aufgeführt.

Erkennungen mit Kontext aus Rohergebnissen anreichern

In diesem Anwendungsfall wird eine allgemeine Warnung aus einem System mit Ereignisprotokollen aus einem anderen System verknüpft.

  • Ziel: Die spezifische lokale Aktion identifizieren, die eine Warnung mit hoher Priorität ausgelöst hat.

  • Beispiel:

    1. In Google Cloud Event Threat Detection wird eine Benachrichtigung ausgelöst, weil eine Arbeitslast einen DNS-Aufruf an eine schädliche Domain gesendet hat. Dies ist die Erkennung.

    2. Diese Erkennung löst eine zusammengesetzte Regel aus.

    3. Die Regel sucht dann in den Rohprotokollen der Endpunkterkennung und -reaktion (EDR) (den Ereignissen) aus derselben Arbeitslast innerhalb eines Zeitfensters von einer Minute nach Befehlszeilenvorgängen, die dieselbe schädliche Domain enthielten.

    Die endgültige Benachrichtigung bietet einen umfassenden Kontext: Sie zeigt, dass eine bösartige Domain kontaktiert wurde, und den spezifischen verwendeten ssh-Befehl. Diese Informationen machen das Ergebnis weitaus nützlicher als die ursprüngliche Erkennung.

Nutzeraktivitäten nach der Anmeldung im Blick behalten

Ein primärer Anwendungsfall, bei dem das Anmeldeereignis eines Nutzers mit nachfolgenden verdächtigen Aktivitäten verknüpft wird. Eine Standardregel für mehrere Ereignisse kann eine kurze Sequenz verfolgen, aber eine zusammengesetzte Erkennung ist besser geeignet, um ein umfassendes Risikoprofil der gesamten Sitzung eines Nutzers zu erstellen.

  • Ziel: Ein einzelnes Ereignis, z. B. eine risikoreiche Anmeldung, mit einer Vielzahl von nachfolgenden „schwachen Signalen“ über einen längeren Zeitraum, z. B. einen ganzen Tag, korrelieren.

  • Beispiel: Erstellen Sie mehrere Regeln, die Erkennungen auf niedrigerer Ebene erzeugen. Verwenden Sie dann eine zusammengesetzte Regel mit einem langen Abgleichsfenster (z. B. 24 Stunden), um bei einer ersten verdächtigen Anmeldung auszulösen und sie mit einer der folgenden Erkennungen desselben Nutzers zu korrelieren:

    • Ein Nutzer, der seinen Befehlszeilenverlauf löscht.

    • Erstellung eines neuen lokalen Administratorkontos

    • Ein großer Datenupload auf eine persönliche Cloud Storage-Website.

Mit UEBA-Messwerten kombinieren

In diesem Anwendungsfall werden vorhandene UEBA-Messwerte als Ausgangspunkt für eine zusammengesetzte Erkennung verwendet, um komplexeres, langfristiges Verhalten zu finden.

  • Ziel: Einen Anstieg eines UEBA-Messwerts mit einer anderen anomalen Aktivität korrelieren.

  • Beispiel:

    1. Eine UEBA-Regel erkennt eine übermäßige Anzahl von fehlgeschlagenen Anmeldeversuchen für einen Nutzer.

    2. Eine andere UEBA-Regel erkennt eine große Anzahl ausgehender Byte von demselben Nutzer.

    3. Eine zusammengesetzte Erkennung verknüpft diese beiden separaten UEBA-Ergebnisse über einen Zeitraum von mehreren Tagen, um eine potenzielle Kontokompromittierung gefolgt von Datendiebstahl zu identifizieren.

Versuche zur Daten-Exfiltration erkennen

Dazu werden mehrere unterschiedliche Nutzeraktionen korreliert, die in Kombination auf einen Versuch hindeuten könnten, Daten zu exfiltrieren.

  • Ziel: Erstellen eines Profils für den riskanten Umgang mit Daten durch einen einzelnen Nutzer über mehrere Geräte und Aktionen hinweg.

  • Korrelierte Aktionen:

    • Anmeldung über mehrere Geräte (z. B. privater und geschäftlicher Computer)

    • Zugriff auf mehr Datenquellen als üblich.

    • Gleichzeitiges Herunterladen, Drucken und Senden von Daten per E-Mail.

    • Zählen, wie viele klassifizierte Dokumente ein Nutzer innerhalb eines Zeitraums bearbeitet.

    • Ein Kündigungsschreiben eingereicht haben.

Mehrstufige Malware erkennen

In diesem Anwendungsfall geht es darum, Malware zu identifizieren, die über einen längeren Zeitraum langsam agiert. Dies ist mit einzelnen Regeln, die kurze Abgleichsfenster haben, nur schwer zu erkennen.

  • Ziel: Den ersten Angriffsvektor mit nachfolgenden schädlichen Aktionen verknüpfen, auch wenn diese Stunden oder Tage später erfolgen.

  • Beispiel:

    1. Ein Nutzer besucht eine schädliche Website (erstes Netzwerkereignis).

    2. Eine „Dropper-Datei“ wird heruntergeladen und ausgeführt (erstes Prozessereignis).

    3. Viel später lädt die Dropper-Datei eine weitere ausführbare Datei herunter und führt sie aus (zweites Prozessereignis).

    Dafür ist ein langes match-Fenster erforderlich, um die über- und untergeordneten Prozesse zu verbinden. Dies kann durch zusammengesetzte Erkennungen erreicht werden.

Flut von Warnmeldungen verringern

In diesem Anwendungsfall geht es um die Verwaltung von Erkennungen, die zu viele „Störungen“ oder zu viele falsch positive Ergebnisse erzeugen.

  • Ziel: Eine Regel mit zu vielen Ergebnissen optimieren, ohne sie zu deaktivieren oder komplexe Ausschlüsse zu erstellen.

  • Beispiel:

    1. Legen Sie für eine ausgewählte Erkennung mit vielen Fehlalarmen „Nur erkennen“ fest, damit keine Benachrichtigungen mehr generiert werden.

    2. Erstellen Sie eine zusammengesetzte Erkennung, die die Ausgabe dieser kuratierten Regel als erste Bedingung verwendet.

    3. Fügen Sie eine zweite Bedingung hinzu, um zusätzliche Qualifikationen anzugeben, z. B. „Benachrichtigung nur, wenn diese Erkennung fünfmal für denselben Nutzer in einer Stunde erfolgt“ oder wenn sie mit einer Erkennung aus einer anderen Regel kombiniert wird.

So funktionieren zusammengesetzte Erkennungen

Wenn Regeln vordefinierte Bedingungen erfüllen, werden Erkennungen generiert. Diese Erkennungen können optional Ergebnisvariablen enthalten, die bestimmte Daten- oder Ereignisstatus erfassen.

Zusammengesetzte Regeln verwenden diese Erkennungen aus anderen Regeln als Teil ihrer Eingaben. Die Auswertung kann auf den Informationen aus dem Meta-Abschnitt der ursprünglichen Regel, den Ergebnisvariablen und den Übereinstimmungsvariablen basieren.

Auf Grundlage dieser Bewertung können Sie zusammengesetzte Regeln verwenden, um neue Erkennungen zu erstellen, die als Zwischenrepräsentation für die Untersuchung und Benachrichtigung mit einer nachfolgenden Regel verwendet werden. So können mehrere Faktoren aus verschiedenen Erkennungen korreliert werden, um komplexe Bedrohungen zu identifizieren.

Weitere Informationen zur Syntax und Beispiele finden Sie unter Zusammengesetzte Erkennungsregeln und Beispiele.

Strategie definieren

Bevor Sie mit dem Erstellen zusammengesetzter Regeln beginnen, sollten Sie eine Strategie planen, damit Ihre neuen Regeln effektiv und effizient sind und die richtigen Probleme lösen.

  1. Aktuelle Erkennungsstrategie bewerten: Prüfen Sie Ihre vorhandenen Regeln, um diejenigen zu identifizieren, die zu viele Benachrichtigungen generieren, eine hohe Anzahl von falsch positiven Ergebnissen erzeugen oder zu komplex und schwer zu verwalten sind.

  2. Szenarien ermitteln, in denen zusammengesetzte Regeln einen Mehrwert bieten können Dazu gehören die Erkennung mehrstufiger Angriffe, die Korrelation mehrerer Warnungen mit geringer Konfidenz zu einer einzigen Warnung mit hoher Konfidenz oder die Anreicherung von Erkennungen mit zusätzlichem Kontext aus anderen Datenquellen.

  3. Erstellen Sie auf Grundlage Ihrer Bewertung einen Implementierungsplan. Entscheiden Sie, welche Regeln mit vielen Fehlalarmen Sie verfeinern, welche komplexen Regeln Sie vereinfachen und welche neuen mehrstufigen Erkennungen Sie priorisieren müssen.

Dieser definierte Plan bietet eine Roadmap für die Erstellung zielgerichteter und effektiver zusammengesetzter Regeln. Berücksichtigen Sie die folgenden allgemeinen Strategien, um den größtmöglichen Nutzen aus zusammengesetzten Erkennungen zu ziehen und gleichzeitig technische Einschränkungen zu bewältigen.

Wählen Sie die entsprechende Methode aus.

Bevor Sie eine zusammengesetzte Erkennung erstellen, sollten Sie prüfen, ob Sie das gewünschte Ergebnis mit anderen Alternativen erreichen können. Analysieren Sie, ob Sie ein komplexes Muster mit einer vorhandenen UEBA-Erkennung identifizieren können. Eine zu komplizierte Erkennung kann den Wartungsaufwand erhöhen und das Regelkontingent verbrauchen.

  • Verwenden Sie eine zusammengesetzte Erkennung, wenn Ihr Ziel darin besteht, die Endergebnisse von zwei oder mehr verschiedenen, bereits vorhandenen Regeln zu korrelieren. So werden konzeptionell separate Phasen eines Angriffs miteinander verbunden.

    Beispiel: Korrelation einer Erkennung aus einer Regel „Malware heruntergeladen“ mit einer nachfolgenden Erkennung aus einer Regel „C2-Beaconing erkannt“.

  • Verwenden Sie eine vorhandene UEBA-Erkennung, wenn Sie herausfinden möchten, wann ein Nutzer oder ein Gerät von seinem normalen Aktivitätsmuster abweicht.

    Beispiel: Es wird automatisch erkannt, dass ein Nutzer heute 100 GB Daten heruntergeladen hat, obwohl er normalerweise nur 1 GB herunterlädt.

Regelkontingente und Risikobewertungen verwalten

Wenn Sie die Ressourcen Ihrer Organisation verwalten möchten, müssen Sie wissen, wie sich die verschiedenen Regeltypen auf Ihr Regelkontingent auswirken.

  • Vorkonfigurierte Regeln werden nicht auf Ihr Kontingent für benutzerdefinierte Regeln angerechnet.

  • Zusammengesetzte Regeln und benutzerdefinierte Regeln für mehrere Ereignisse werden auf Ihr Kontingent angerechnet.

Sie können eine ausgewählte Erkennung verwenden, indem Sie sie auf „Nur erkennen“ festlegen. So kann die kuratierte Regel die erste allgemeine Erkennung durchführen, ohne dass Benachrichtigungen generiert werden. Anschließend können Sie eine zusammengesetzte Regel verwenden, um eine bestimmte Logik auf diese Ergebnisse anzuwenden. So erhalten Sie mehr Wert, während Sie Ihr Kontingent strategisch verwalten.

Unterschied zwischen Risiko und Kontext

Unterscheiden Sie beim Entwerfen der Erkennungslogik zwischen Regeln, die das Risiko bewerten, und Regeln, die Kontext liefern.

Das Risiko ist die Bewertung, wie gefährlich eine Reihe von Aktivitäten ist. Eine für das Risiko entwickelte Regel aggregiert oft mehrere kontextbezogene Ereignisse oder Erkennungen, um eine Entscheidung zu treffen. Eine einzelne fehlgeschlagene Anmeldung liefert beispielsweise Kontext, eine hohe Anzahl von fehlgeschlagenen Anmeldungen weist jedoch auf das Risiko eines Brute-Force-Angriffs hin.

Kontext bezieht sich auf die sachlichen Details zu einem Ereignis. Eine Regel, die für den Kontext entwickelt wurde, reichert ein Ereignis mit Details aus einem anderen an. Während eine Regel beispielsweise eine erfolgreiche Nutzeranmeldung erkennen kann, liefert eine kontextbezogene Regel den entscheidenden Kontext, dass diese Anmeldung aus einem neuen und ungewöhnlichen Land stammt.

Beispiel: Eine erste Erkennung kann Sie auf ein potenzielles Risiko aufmerksam machen, z. B. einen DNS-Aufruf an eine bösartige Domain. Eine zusammengesetzte Regel korreliert diese Warnung dann mit Ereignisprotokollen in Google SecOps, um den spezifischen Befehlszeilenprozess zu finden, der den Aufruf initiiert hat. Dadurch wird die allgemeine Risikowarnung um wichtige, umsetzbare Kontextinformationen ergänzt.

Lange Abgleichszeiträume strategisch nutzen

Zusammengesetzte Regeln, die mit langen Zeitfenstern für den Abgleich konfiguriert sind (z. B. 14 Tage), werden seltener ausgeführt. Aufgrund ihrer hohen Latenz sind sie für zeitkritische Benachrichtigungen ungeeignet. Diese langen Zeitfenster eignen sich gut, um langsame, anhaltende Angriffsaktivitäten über längere Zeiträume zu erkennen.

Erkennungen für die Visualisierung verwenden

Eine Strategie zur Verwaltung von Regeln mit vielen Ergebnissen besteht darin, ihre Ausgabe in eine Visualisierung auf einem Dashboard umzuwandeln. Bei diesem Ansatz wird kein Regelkontingent verbraucht und es können aus großen Datenmengen mit geringer Genauigkeit wertvolle Informationen gewonnen werden.

Wenn Sie eine Regel nur zur Erkennung festlegen und die Erkennungen dann in einem Dashboard-Widget darstellen, können Sie Trends verfolgen, Ausreißer identifizieren und einen allgemeinen Prüfungsüberblick über die Aktivität erhalten, ohne von einzelnen Benachrichtigungen überfordert zu werden.

Beispiel: Umgang mit personenidentifizierbaren Informationen verfolgen

Eine Regel erfasst jedes Mal, wenn ein Nutzer mit sensiblen personenidentifizierbaren Informationen umgeht. Anstatt jedes Mal eine Benachrichtigung zu senden, ist sie nur auf Erkennung eingestellt. In einem Dashboard-Widget wird dann angezeigt, welche Nutzer sich einem täglichen Limit für ausgehenden Traffic nähern (z. B. 10,000 Byte). So erhalten Sie einen schnellen Überblick über riskantes Verhalten, ohne dass ständig Benachrichtigungen generiert werden.

Beispiel: Bestimmte DLP-Risiken überwachen:

Ein Widget aggregiert die Risikobewertungen aus einer ganz bestimmten Teilmenge von DLP-Regeln. So kann ein bestimmtes Team (z. B. die Administratoren für den Schutz vor Datenverlust) nur die relevanten Risiken im Blick behalten und irrelevante Informationen aus anderen Sicherheitsbereichen herausfiltern.

Zusammengesetzte Erkennungen erstellen

Der folgende Workflow beschreibt den typischen Ablauf beim Erstellen einer zusammengesetzten Regel. Weitere Informationen zur Syntax und Beispiele finden Sie unter Zusammengesetzte Erkennungsregeln und Beispiele.

  1. Bedrohungsszenario definieren: Definieren Sie die spezifische Bedrohung, die Sie erkennen möchten.

  2. Eingaberegeln erstellen oder identifizieren: Erstellen oder identifizieren Sie für jede Phase des Bedrohungsszenarios eine Eingaberegel, die die spezifische Aktivität erkennt.

  3. Join-Bedingungen definieren: Bestimmen Sie die gemeinsamen Informationen, die die Erkennungen aus Ihren Eingaberegeln verknüpfen, z. B. Regellabels, Variablen oder Erkennungsfelder.

  4. Zusammengesetzte Regel erstellen: Schreiben Sie die Regel, die die Erkennungen aus den Eingaberegeln aufnimmt.

    • Definieren Sie den Abschnitt events und verweisen Sie auf die Eingaberegeln anhand ihres Namens, ihrer ID oder eines gemeinsamen Meta-Labels.

    • Definieren Sie den Abschnitt match, um den Join-Schlüssel und das Zeitfenster für den Abgleich anzugeben.

    • Definieren Sie den Abschnitt condition, um die Bedingung festzulegen, die erfüllt sein muss, damit die endgültige Benachrichtigung ausgelöst wird.

  5. Regelkette testen und bereitstellen: Wir empfehlen, für jede Regel in der Sequenz manuell eine Retrohunt auszuführen.

    Wenn Sie die Funktion Regel testen für eine zusammengesetzte Regel verwenden, wird sie nur für bereits vorhandene Erkennungen ausgeführt, die den Eingabekriterien der Regel entsprechen. Die zugrunde liegenden Regeln werden nicht automatisch ausgeführt, um neue Eingaben für den Test zu generieren. Das bedeutet, dass Sie eine gesamte Regelkette nicht in einer einzigen Aktion validieren können.

    So führen Sie eine Retrohunt für die Regelsequenz aus:

    1. Starten Sie eine Retrohunt manuell ab der ersten Regel in der Sequenz.

    2. Warten Sie, bis der Vorgang abgeschlossen ist.

    3. Fahren Sie mit der nächsten Regel fort.

Beispiel: Die folgende Regel bietet eine einfache Vorlage für die Regelkorrelation:


rule Basic_Rule_Correlation_Template {
    
    meta:
    description = "Triggers when a user triggers two different rules within X days"

    events: 
    // 1. Identify the first sub-rule detection
    $d1.metadata.event_type = "DETECTION" $d1.metadata.rule_name = "INSERT_RULE_NAME_A_HERE" $user = [REDACTED_GENERIC_ID]

    // 2. Identify the second sub-rule detection
    $d2.metadata.event_type = "DETECTION"
    $d2.metadata.rule_name = "INSERT_RULE_NAME_B_HERE"
    $user = [REDACTED_GENERIC_ID]
    match: 
    // 3. Connect the rules by the same user over the specified window
    $user over 14d
    condition: 
    // 4. Fire when both conditions have occurred
    $d1 and $d2
}

Beispiel: Mit der folgenden Regel wird eine ausgewählte Erkennung mit einer Ereigniserkennungsregel und einem Ereignisdiagramm geprüft. Außerdem werden einige erweiterte YARA-L-Funktionen und Variablendefinitionen verwendet:


rule CheckCuratedDetection_with_EDR_and_EG {

  meta:
    author = "noone@cymbal.com"

  events:

    $d.detection.detection.rule_name = /SCC: Custom Modules: Configurable Bad Domain/
    $d.detection.collection_elements.references.event.network.dns.questions.name = $domain
    $d.detection.collection_elements.references.event.principal.asset.hostname = $hostname

    $e.metadata.log_type = "LIMACHARLIE_EDR"
    $e.metadata.product_event_type = "NETWORK_CONNECTIONS"
    $domain = re.capture($e.principal.process.command_line, "\\s([a-zA-Z0-9.-]+\\.[a-zA-Z0-9.-]+)$")
    $hostname = re.capture($e.principal.hostname, "([^.]*)")

    $prevalence.graph.metadata.entity_type = "DOMAIN_NAME"
    $prevalence.graph.metadata.source_type = "DERIVED_CONTEXT"
    $prevalence.graph.entity.hostname = $domain
    $prevalence.graph.entity.domain.prevalence.day_count = 10
    $prevalence.graph.entity.domain.prevalence.rolling_max <= 5
    $prevalence.graph.entity.domain.prevalence.rolling_max > 0

  match:
    $hostname over 1h

  outcome:
    $risk_score = 80
    $CL_target = array($domain)

  condition:
    $e and $d and $prevalence

}

Ergebnisse zusammengesetzter Erkennungen ansehen

Sie können die Ergebnisse zusammengesetzter Erkennungen auf der Seite Erkennungen ansehen. Eine Benachrichtigung ist eine zusammengesetzte Erkennung, wenn in der Spalte Eingaben die Option Erkennung als Quelle und in der Spalte Erkennungstyp das Label Benachrichtigung mit einer Zahl daneben (z. B. Alert (3)) angezeigt wird.

Hinweis: Wenn Sie sowohl SIEM als auch SOAR haben, können Sie die Ergebnisse auch auf dem Tab Fälle ansehen.

Zusammengesetzte Erkennungen optimieren

Wir empfehlen die folgenden Best Practices für das Erstellen zusammengesetzter Regeln.

Für Latenz optimieren

Verwenden Sie für eine minimale Latenz in Erkennungspipelines nach Möglichkeit Regeln für einzelne Ereignisse, z. B. für den ersten Trigger. Zusammengesetzte Regeln können ihre Erkennungen verwenden, um komplexere Korrelationen mit anderen Ereignissen, Entitäten oder Erkennungen durchzuführen. Dadurch wird die Gesamtlatenz reduziert.

Effiziente Methoden zum Zusammenführen von Erkennungen verwenden

Wir empfehlen, Ergebnisvariablen, Meta-Labels und Abgleichsvariablen zu verwenden, um Erkennungen zusammenzuführen. Diese Methoden liefern deterministischere und zuverlässigere Ergebnisse als die Verwendung von Ereignisstichproben. Meta-Labels sind besonders flexibel, da Sie damit Regeln kategorisieren können, sodass eine zusammengesetzte Regel auf jede Erkennung mit diesem Label abzielen kann.

Wenn beispielsweise mehrere Regeln dasselbe Meta-Label tactic: exfiltration haben, können Sie eine zusammengesetzte Regel erstellen, die auf alle Erkennungen abzielt, bei denen das Taktik-Label den Wert exfiltration hat.

Wenn Sie nocase mit Join-Variablen in zusammengesetzten Erkennungen verwenden, erhalten Sie möglicherweise den folgenden Fehler bei der semantischen Analyse:

semantic analysis: match variable <variable_name> is not assigned to an event field.

In zusammengesetzten Erkennungen definiert die erste Variablenzuweisung (z. B. $username = $fact1...) die Eigenschaften der Variablen, einschließlich der Groß-/Kleinschreibung bei Verwendung von nocase. Wenn Sie nocase auf nachfolgende Variablenzuweisungen derselben Join-Variable (z. B. $username = $fact2...) anwenden, wird dies vom Compiler als widersprüchliche Neudefinition oder redundante Einschränkung interpretiert, was zu einem semantischen Fehler führt.

Erkennungen mit der Funktionsbibliothek verbessern

Sie können die YARA-L-Funktionsbibliothek an strategischen Punkten innerhalb einer zusammengesetzten Regel verwenden, um das Signal zu erhöhen und komplexere Logik hinzuzufügen.

Regelaktualisierungen verwalten

Wenn Sie eine Regel aktualisieren, die in einer oder mehreren zusammengesetzten Regeln verwendet wird, erstellt das System automatisch eine neue Version der Regel. Zusammengesetzte Regeln verwenden automatisch die neue Version. Wir empfehlen, die gesamte aktualisierte Regelsequenz zu testen, um das beabsichtigte Verhalten zu prüfen.

Beschränkungen

Beachten Sie beim Entwerfen und Implementieren zusammengesetzter Erkennungen die folgenden Einschränkungen:

  • Ausschlüsse: Wenden Sie einen Regelausschluss nicht direkt auf eine zusammengesetzte Regel an. Sie müssen den Ausschluss auf die grundlegenden zugrunde liegenden Regeln anwenden, die in die zusammengesetzte Regel einfließen. Das liegt daran, dass Regelausschlüsse anhand von UDM-Feldern (z. B. principal.user.userid) ausgewertet werden, zusammengesetzte Regeln jedoch basierend auf anderen Erkennungen und nicht auf UDM-Feldern ausgelöst werden. Wenn Sie einen Regelausschluss direkt auf eine zusammengesetzte Regel anwenden, wird der Ausschluss nicht abgeglichen und das Ereignis wird nicht ausgeschlossen.

  • Verfügbarkeit von SOAR-Falldaten: Zusammengesetzte Erkennungen haben keinen Zugriff auf alle SOAR-Falldaten. Regellogik, die versucht, Fälle anhand des Status zu filtern oder auszuschließen (z. B. $edetection.feedback_summary.status != "CLOSED"), wird nicht unterstützt.

  • Zusammengesetzte Regeln: Google SecOps unterstützt eine maximale Tiefe von 10 für zusammengesetzte Regeln. Die Tiefe ist die Anzahl der Regeln von einer Basisregel bis zur endgültigen zusammengesetzten Regel.

  • Regeln nur für die Erkennung: Haben ein maximales Zeitfenster für den Abgleich von 14 Tagen und unterliegen einem täglichen Erkennungslimit von 10.000 Erkennungen pro Regel.

  • Ergebnisvariablen: Jede Regel ist auf maximal 20 Ergebnisvariablen beschränkt. Außerdem ist jede wiederholte Ergebnisvariable auf 25 Werte beschränkt.

  • Ereignisbeispiele: Pro Ereignisvariable in einer Regel werden nur 10 Ereignisbeispiele gespeichert, z. B. 10 für $e1 und 10 für $e2.

Weitere Informationen zu Erkennungslimits finden Sie unter Erkennungslimits.

Nächste Schritte

Informationen zum Erstellen zusammengesetzter Erkennungsregeln finden Sie unter Zusammengesetzte Erkennungsregeln und Beispiele.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten