Ringkasan deteksi gabungan

Didukung di:

Dokumen ini memperkenalkan deteksi gabungan dan cara deteksi tersebut dapat meningkatkan alur kerja deteksi ancaman dengan menghubungkan output dari beberapa aturan.

Deteksi gabungan dihasilkan oleh aturan yang menggunakan deteksi dari aturan lain sebagai inputnya—dikombinasikan dengan peristiwa, metrik, atau sinyal risiko entity. Aturan ini kemudian digabungkan dengan peristiwa, metrik, atau sinyal risiko entitas untuk mendeteksi ancaman kompleks dan multitahap yang mungkin terlewatkan oleh aturan individual.

Deteksi gabungan membantu menganalisis peristiwa melalui interaksi dan pemicu aturan yang ditentukan. Hal ini meningkatkan akurasi, mengurangi positif palsu, dan memberikan tampilan komprehensif tentang ancaman keamanan dengan menghubungkan data dari berbagai sumber dan tahap serangan.

Konsep berikut menentukan elemen penyusun aturan gabungan dan menjelaskan cara kerjanya dalam alur kerja deteksi:

  • Aturan gabungan: menggunakan deteksi atau pemberitahuan (atau keduanya) sebagai input. Secara opsional, perkaya data tersebut dengan peristiwa, metrik, dan berbagai data kontekstual dari grafik entity, seperti data prevalensi, threat intelligence, atau skor penilaian risiko entity. Aturan ini harus selalu memiliki bagian kecocokan dan dapat mereferensikan kolom meta, variabel match, dan variabel outcome dari aturan input.

  • Deteksi: output yang dihasilkan saat kondisi aturan terpenuhi.

  • Aturan khusus deteksi: aturan gabungan yang hanya menggunakan deteksi atau pemberitahuan sebagai input.

Kapan harus menggunakan deteksi gabungan

Deteksi gabungan dapat berguna untuk mencapai tujuan berikut:

  • Menghubungkan hasil dari dua aturan atau lebih (misalnya, menautkan deteksi Malware yang Didownload dengan pemberitahuan Beaconing C2 berikutnya dari host yang sama).

  • Memperkaya notifikasi dengan data peristiwa terkait.

  • Mengurangi kelelahan akibat peringatan dengan hanya memicu peringatan akhir saat deteksi yang mengganggu dan tingkat kepastiannya rendah terjadi beberapa kali atau dikombinasikan dengan aktivitas mencurigakan lainnya.

  • Buat pemberitahuan untuk serangan multi-level yang kompleks, dengan setiap tahap sudah diidentifikasi oleh aturannya sendiri.

Manfaat deteksi gabungan

Deteksi gabungan memiliki manfaat berikut:

  • Mengungkap serangan multi-tahap: Serangan cyber sering kali memiliki banyak aspek dan saling terkait. Deteksi gabungan mengungkapkan narasi serangan yang lebih luas dengan menghubungkan peristiwa keamanan yang tampaknya terisolasi. Misalnya, deteksi gabungan dapat mengidentifikasi urutan lengkap serangan, seperti pelanggaran awal yang diikuti dengan eskalasi akses dan pemindahan data yang tidak sah.

  • Mengurangi kelelahan akibat pemberitahuan: Aturan gabungan menggabungkan dan memfilter pemberitahuan yang mengganggu, sehingga memungkinkan respons yang lebih terfokus. Pendekatan ini membantu memprioritaskan insiden berdampak tinggi dan mengurangi kelelahan akibat notifikasi secara keseluruhan.

  • Meningkatkan akurasi deteksi: Gabungkan insight dari peristiwa Model Data Terpadu (UDM), deteksi aturan, konteks entitas, temuan Analisis Perilaku Pengguna dan Entitas (UEBA), serta tabel data untuk membangun logika deteksi yang lebih akurat.

  • Menyederhanakan logika yang kompleks: Memecah skenario deteksi yang kompleks menjadi aturan yang dapat dikelola, saling terhubung, dan dapat digunakan kembali untuk menyederhanakan pengembangan dan pemeliharaan.

  • Penggunaan di dasbor: Integrasikan deteksi gabungan dengan lancar sebagai sumber data untuk dasbor Google SecOps. Anda dapat menggunakannya untuk membuat visualisasi yang merangkum pola serangan multi-tahap, sehingga memudahkan pemahaman risiko yang kompleks.

Kasus penggunaan umum

Bagian ini mencantumkan beberapa kasus penggunaan umum untuk deteksi gabungan.

Memperkaya deteksi dengan konteks dari peristiwa mentah

Kasus penggunaan ini melibatkan penautan pemberitahuan tingkat tinggi dari satu sistem dengan log peristiwa dari sistem lain.

  • Sasaran: Mengidentifikasi tindakan lokal tertentu yang menyebabkan pemberitahuan tingkat tinggi.

  • Contoh:

    1. Pemberitahuan diaktifkan di Google Cloud Event Threat Detection karena workload melakukan panggilan DNS ke domain berbahaya. Ini adalah deteksi.

    2. Aturan gabungan dipicu oleh deteksi ini.

    3. Aturan tersebut kemudian menelusuri log Deteksi dan Respons Endpoint (EDR) mentah (peristiwa) dari workload yang sama dalam periode satu menit, mencari operasi command line yang berisi domain berbahaya yang sama.

    Notifikasi akhir memberikan konteks yang lengkap: notifikasi ini menunjukkan bahwa domain berbahaya telah dihubungi dan perintah ssh tertentu digunakan. Informasi ini membuat hasilnya jauh lebih dapat ditindaklanjuti daripada deteksi aslinya.

Melacak aktivitas pengguna setelah login

Kasus penggunaan utama yang berfokus pada penautan peristiwa login pengguna dengan aktivitas mencurigakan berikutnya. Meskipun aturan multi-peristiwa standar dapat melacak urutan singkat, deteksi gabungan lebih baik untuk membangun profil risiko yang komprehensif dari seluruh sesi pengguna.

  • Sasaran: Menghubungkan satu peristiwa, seperti login berisiko tinggi, dengan berbagai aktivitas "sinyal lemah" berikutnya dalam jangka waktu yang lebih lama, seperti sehari penuh.

  • Contoh: Buat beberapa aturan yang menghasilkan deteksi tingkat lebih rendah. Kemudian, gunakan aturan gabungan dengan periode pencocokan yang panjang (misalnya, 24 jam) untuk memicu login awal yang mencurigakan dan menghubungkannya dengan salah satu deteksi berikut dari pengguna yang sama:

    • Pengguna menghapus histori command line-nya.

    • Pembuatan akun administrator lokal baru.

    • Upload data dalam jumlah besar ke situs Cloud Storage pribadi.

Menggabungkan dengan metrik UEBA

Kasus penggunaan ini memanfaatkan metrik UEBA yang ada sebagai titik awal untuk deteksi gabungan guna menemukan perilaku jangka panjang yang lebih kompleks.

  • Sasaran: Menghubungkan lonjakan metrik UEBA dengan aktivitas anomali lainnya.

  • Contoh:

    1. Aturan UEBA mendeteksi jumlah kegagalan login yang berlebihan untuk seorang pengguna.

    2. Aturan UEBA lainnya mendeteksi sejumlah besar byte egress dari pengguna yang sama.

    3. Deteksi gabungan menautkan dua temuan UEBA terpisah ini selama beberapa hari untuk mengidentifikasi potensi penyusupan akun yang diikuti dengan pencurian data.

Mendeteksi upaya pemindahan data yang tidak sah

Hal ini melibatkan korelasi beberapa tindakan pengguna yang berbeda, yang jika digabungkan, dapat mengindikasikan upaya untuk mengeksfiltrasi data.

  • Sasaran: Membuat profil penanganan data berisiko oleh satu pengguna di beberapa perangkat dan tindakan.

  • Tindakan terkait:

    • Login dari beberapa perangkat (misalnya, komputer rumah versus komputer kantor).

    • Mengakses lebih banyak sumber data daripada biasanya.

    • Mendownload, mencetak, dan mengirim data melalui email secara bersamaan.

    • Menghitung jumlah dokumen rahasia yang diakses pengguna dalam jangka waktu tertentu.

    • Telah mengajukan surat pengunduran diri.

Mendeteksi malware multi-tahap

Kasus penggunaan ini melibatkan identifikasi malware yang beroperasi secara lambat dalam jangka waktu yang lama, yang sulit dideteksi dengan aturan tunggal yang memiliki jendela pencocokan singkat.

  • Sasaran: Menautkan vektor infeksi awal dengan tindakan berbahaya berikutnya, meskipun tindakan tersebut terjadi beberapa jam atau hari kemudian.

  • Contoh:

    1. Pengguna mengunjungi situs berbahaya (peristiwa jaringan awal).

    2. "File dropper" didownload dan dieksekusi (peristiwa proses pertama).

    3. Beberapa waktu kemudian, file dropper mendownload dan menjalankan file yang dapat dieksekusi lainnya (peristiwa proses kedua).

    Hal ini memerlukan periode match yang panjang untuk menghubungkan proses induk dan turunan, yang dapat disediakan oleh deteksi gabungan.

Mengurangi derau pemberitahuan

Kasus penggunaan ini melibatkan pengelolaan deteksi yang terlalu "berisik" atau menghasilkan terlalu banyak positif palsu.

  • Sasaran: Menyempurnakan aturan yang bising tanpa menonaktifkannya atau membuat pengecualian yang rumit.

  • Contoh:

    1. Setel pendeteksian terseleksi yang bising ke "hanya deteksi" agar tidak lagi menghasilkan pemberitahuan.

    2. Buat deteksi gabungan yang menggunakan output aturan pilihan tersebut sebagai kondisi pertamanya.

    3. Tambahkan kondisi kedua untuk memberikan kualifikasi tambahan, seperti "beri tahu hanya jika deteksi ini terjadi 5 kali untuk pengguna yang sama dalam satu jam" atau jika digabungkan dengan deteksi dari aturan yang berbeda.

Cara kerja deteksi gabungan

Jika aturan memenuhi kondisi yang telah ditentukan, aturan tersebut akan menghasilkan deteksi. Deteksi ini dapat secara opsional menyertakan variabel hasil, yang menangkap data atau status peristiwa tertentu.

Aturan gabungan menggunakan deteksi ini dari aturan lain sebagai bagian dari inputnya. Evaluasi dapat didasarkan pada informasi dari bagian meta, variabel hasil, dan variabel kecocokan aturan asli.

Berdasarkan evaluasi ini, Anda dapat menggunakan aturan gabungan untuk membuat deteksi baru yang akan digunakan sebagai representasi perantara untuk investigasi, dan pemberitahuan dengan aturan berikutnya. Hal ini membantu menghubungkan beberapa faktor dari berbagai deteksi untuk mengidentifikasi ancaman yang kompleks.

Untuk mengetahui informasi selengkapnya tentang sintaksis dan contoh, lihat Aturan deteksi gabungan dan Contoh.

Menentukan strategi Anda

Sebelum mulai membuat aturan gabungan, rencanakan strategi Anda untuk memastikan aturan baru Anda efektif, efisien, dan menyelesaikan masalah yang tepat.

  1. Evaluasi strategi deteksi Anda saat ini. Tinjau aturan yang ada untuk mengidentifikasi aturan yang terlalu mengganggu, menghasilkan banyak positif palsu, atau terlalu kompleks dan sulit dikelola.

  2. Tentukan skenario spesifik saat aturan gabungan dapat memberikan nilai. Hal ini mencakup mendeteksi serangan multi-tahap, menghubungkan beberapa pemberitahuan dengan keyakinan rendah menjadi satu pemberitahuan dengan keyakinan tinggi, atau memperkaya deteksi dengan konteks tambahan dari sumber data lain.

  3. Berdasarkan evaluasi Anda, buat rencana implementasi. Tentukan aturan bising yang perlu Anda sempurnakan, aturan kompleks yang perlu Anda sederhanakan, dan deteksi multi-level baru yang perlu Anda prioritaskan.

Rencana yang ditentukan ini memberikan roadmap untuk membuat aturan gabungan yang ditargetkan dan efektif. Pertimbangkan strategi tingkat tinggi berikut untuk mendapatkan nilai maksimal dari deteksi gabungan sekaligus mengelola batasan teknis.

Pilih metode yang sesuai

Sebelum membuat deteksi gabungan, pertimbangkan apakah Anda dapat mencapai hasil yang diperlukan dengan alternatif lain. Analisis apakah Anda dapat mengidentifikasi pola yang kompleks dengan deteksi UEBA yang ada. Deteksi yang terlalu rumit dapat meningkatkan overhead pemeliharaan dan menghabiskan kuota aturan.

  • Gunakan deteksi gabungan jika: sasaran Anda adalah menghubungkan hasil akhir dari dua atau beberapa aturan berbeda yang sudah ada. Hal ini menghubungkan tahapan serangan yang secara konseptual terpisah.

    Contoh: Menghubungkan deteksi dari aturan Malware Downloaded dengan deteksi berikutnya dari aturan C2 Beaconing Detected.

  • Gunakan deteksi UEBA yang ada saat: Anda ingin mengetahui kapan pengguna atau perangkat melanggar pola aktivitas normalnya.

    Contoh: Mendeteksi secara otomatis bahwa pengguna telah mendownload 100 GB data hari ini, padahal biasanya mereka hanya mendownload 1 GB.

Mengelola kuota aturan dan penilaian risiko

Untuk mengelola resource organisasi, pahami pengaruh berbagai jenis aturan terhadap kuota aturan Anda.

  • Aturan pilihan tidak mengurangi kuota aturan kustom Anda.

  • Aturan gabungan dan aturan multi-peristiwa kustom mengurangi kuota Anda.

Anda dapat menggunakan pendeteksian terseleksi dengan menyetelnya ke mode hanya deteksi. Hal ini memungkinkan aturan pilihan melakukan deteksi awal yang luas tanpa menghasilkan pemberitahuan. Anda kemudian dapat menggunakan aturan gabungan untuk menerapkan logika tertentu pada temuan ini, sehingga memberikan nilai lebih sekaligus mengelola kuota Anda secara strategis.

Memahami perbedaan antara risiko dan konteks

Saat mendesain logika deteksi, bedakan antara aturan yang menilai risiko dan aturan yang memberikan konteks.

Risiko adalah penilaian seberapa berbahaya serangkaian aktivitas. Aturan yang dirancang untuk risiko sering kali menggabungkan beberapa peristiwa atau deteksi kontekstual untuk membuat penilaian. Misalnya, meskipun satu kegagalan login memberikan konteks, jumlah kegagalan login yang tinggi menunjukkan risiko serangan brute force.

Konteks mengacu pada detail faktual seputar suatu peristiwa. Aturan yang dirancang untuk konteks memperkaya satu peristiwa dengan detail dari peristiwa lain. Misalnya, meskipun aturan dapat mendeteksi login pengguna yang berhasil, aturan kontekstual memberikan konteks penting bahwa login ini berasal dari negara baru dan tidak biasa.

Contoh: Deteksi awal dapat memberi tahu Anda tentang potensi risiko, seperti panggilan DNS ke domain berbahaya. Aturan gabungan kemudian menghubungkan pemberitahuan tersebut dengan log peristiwa di Google SecOps untuk menemukan proses command line tertentu yang memulai panggilan. Hal ini memperkaya pemberitahuan risiko tingkat tinggi dengan konteks penting yang dapat ditindaklanjuti.

Gunakan jendela pencocokan panjang secara strategis

Aturan gabungan yang dikonfigurasi dengan periode pencocokan yang lama (misalnya, 14 hari) lebih jarang dijalankan. Latensinya yang tinggi dapat membuatnya tidak cocok untuk pemberitahuan yang sensitif terhadap waktu. Pertimbangkan untuk menggunakan periode berdurasi panjang ini untuk mendeteksi aktivitas musuh yang lambat dan persisten dalam jangka waktu yang lama.

Menggunakan deteksi untuk visualisasi

Salah satu strategi untuk mengelola aturan yang bising adalah dengan mengubah outputnya menjadi visualisasi di dasbor. Pendekatan ini tidak menggunakan kuota aturan dan dapat mengubah data bervolume tinggi dan fidelitas rendah menjadi insight yang berharga.

Dengan menetapkan aturan hanya untuk mendeteksi, lalu memetakan deteksinya di widget dasbor, Anda dapat melacak tren, mengidentifikasi pencilan, dan mendapatkan tampilan audit tingkat tinggi atas aktivitas tanpa kewalahan oleh setiap pemberitahuan.

Contoh: Melacak penanganan data PII

Aturan melacak setiap kali pengguna menangani data PII sensitif. Alih-alih memberi tahu setiap kali, aturan ini disetel untuk mendeteksi saja. Widget dasbor kemudian menunjukkan pengguna mana yang mendekati batas egress harian (misalnya, 10,000 byte). Hal ini memberikan tampilan audit cepat atas perilaku berisiko tanpa menghasilkan pemberitahuan terus-menerus.

Contoh: Memantau risiko DLP tertentu:

Widget menggabungkan skor penilaian risiko dari subset aturan DLP yang sangat spesifik. Hal ini memungkinkan tim tertentu (misalnya, administrator Pencegahan Kebocoran Data (DLP)) untuk hanya memantau risiko yang relevan, sehingga memfilter gangguan dari domain keamanan lainnya.

Membangun deteksi gabungan

Alur kerja berikut menguraikan perjalanan umum untuk membuat aturan gabungan. Untuk mengetahui informasi selengkapnya tentang sintaksis dan contoh, lihat Aturan deteksi gabungan dan Contoh.

  1. Tentukan skenario ancaman: Tentukan ancaman spesifik yang ingin Anda deteksi.

  2. Buat atau identifikasi aturan input: Untuk setiap tahap skenario ancaman, buat atau identifikasi aturan input yang mendeteksi aktivitas tertentu.

  3. Tentukan kondisi penggabungan: Tentukan informasi umum yang menautkan deteksi dari aturan input Anda, seperti label aturan, variabel, atau kolom deteksi.

  4. Membuat aturan gabungan: Tulis aturan yang menyerap deteksi dari aturan input.

    • Tentukan bagian events, yang merujuk aturan input berdasarkan nama, ID, atau label meta bersama.

    • Tentukan bagian match untuk menentukan kunci gabungan dan rentang waktu untuk pencocokan.

    • Tentukan bagian condition untuk menetapkan kondisi yang harus dipenuhi agar pemberitahuan akhir diaktifkan.

  5. Menguji dan men-deploy rantai aturan: Sebaiknya jalankan retrohunt secara manual untuk setiap aturan dalam urutan.

    Saat Anda menggunakan fitur Test rule pada aturan gabungan, fitur ini hanya akan dijalankan terhadap deteksi yang sudah ada yang cocok dengan kriteria input aturan. Simulator ini tidak otomatis menjalankan aturan yang mendasarinya untuk menghasilkan input baru untuk pengujian, yang berarti Anda tidak dapat memvalidasi seluruh rantai aturan dalam satu tindakan.

    Untuk menjalankan retrohunt untuk urutan aturan, lakukan hal berikut:

    1. Mulai retrohunt secara manual dari aturan pertama dalam urutan.

    2. Tunggu hingga selesai.

    3. Lanjutkan dengan aturan berikutnya.

Contoh: Aturan berikut menyediakan template korelasi aturan dasar:


rule Basic_Rule_Correlation_Template {
    
    meta:
    description = "Triggers when a user triggers two different rules within X days"

    events: 
    // 1. Identify the first sub-rule detection
    $d1.metadata.event_type = "DETECTION" $d1.metadata.rule_name = "INSERT_RULE_NAME_A_HERE" $user = [REDACTED_GENERIC_ID]

    // 2. Identify the second sub-rule detection
    $d2.metadata.event_type = "DETECTION"
    $d2.metadata.rule_name = "INSERT_RULE_NAME_B_HERE"
    $user = [REDACTED_GENERIC_ID]
    match: 
    // 3. Connect the rules by the same user over the specified window
    $user over 14d
    condition: 
    // 4. Fire when both conditions have occurred
    $d1 and $d2
}

Contoh: Aturan berikut memeriksa pendeteksian terseleksi dengan aturan deteksi peristiwa dan grafik peristiwa, serta menggunakan beberapa fungsi YARA-L lanjutan dan definisi variabel:


rule CheckCuratedDetection_with_EDR_and_EG {

  meta:
    author = "noone@cymbal.com"

  events:

    $d.detection.detection.rule_name = /SCC: Custom Modules: Configurable Bad Domain/
    $d.detection.collection_elements.references.event.network.dns.questions.name = $domain
    $d.detection.collection_elements.references.event.principal.asset.hostname = $hostname

    $e.metadata.log_type = "LIMACHARLIE_EDR"
    $e.metadata.product_event_type = "NETWORK_CONNECTIONS"
    $domain = re.capture($e.principal.process.command_line, "\\s([a-zA-Z0-9.-]+\\.[a-zA-Z0-9.-]+)$")
    $hostname = re.capture($e.principal.hostname, "([^.]*)")

    $prevalence.graph.metadata.entity_type = "DOMAIN_NAME"
    $prevalence.graph.metadata.source_type = "DERIVED_CONTEXT"
    $prevalence.graph.entity.hostname = $domain
    $prevalence.graph.entity.domain.prevalence.day_count = 10
    $prevalence.graph.entity.domain.prevalence.rolling_max <= 5
    $prevalence.graph.entity.domain.prevalence.rolling_max > 0

  match:
    $hostname over 1h

  outcome:
    $risk_score = 80
    $CL_target = array($domain)

  condition:
    $e and $d and $prevalence

}

Melihat temuan deteksi gabungan

Anda dapat melihat hasil deteksi gabungan di halaman Detections. Pemberitahuan adalah deteksi gabungan jika kolom Input menampilkan Deteksi sebagai sumber dan kolom Jenis deteksi menampilkan label Pemberitahuan dengan angka di sampingnya (misalnya, Alert (3)).

Catatan: Jika memiliki SIEM dan SOAR, Anda juga dapat melihat hasilnya di tab Cases.

Mengoptimalkan deteksi gabungan

Sebaiknya lakukan praktik berikut untuk membuat aturan gabungan.

Mengoptimalkan latensi

Untuk latensi minimal dalam pipeline deteksi, gunakan aturan peristiwa tunggal jika memungkinkan, seperti untuk pemicu awal. Aturan gabungan dapat menggunakan deteksinya untuk melakukan korelasi yang lebih kompleks dengan peristiwa, entitas, atau deteksi lain, yang membantu mengurangi latensi secara keseluruhan.

Menggunakan metode yang efisien untuk menggabungkan deteksi

Sebaiknya gunakan variabel hasil, label meta, dan variabel pencocokan untuk menggabungkan deteksi. Metode ini memberikan hasil yang lebih deterministik dan andal daripada menggunakan sampel peristiwa. Label meta sangat fleksibel karena memungkinkan Anda mengategorikan aturan sehingga aturan gabungan dapat menargetkan deteksi apa pun dengan label tersebut.

Misalnya, jika beberapa aturan memiliki label meta yang sama tactic: exfiltration, Anda dapat memiliki aturan gabungan yang menargetkan deteksi apa pun yang label taktiknya memiliki nilai exfiltration.

Saat menggunakan nocase dengan variabel gabungan dalam deteksi gabungan, Anda mungkin menerima error analisis semantik berikut:

semantic analysis: match variable <variable_name> is not assigned to an event field.

Dalam deteksi gabungan, penetapan variabel pertama (misalnya, $username = $fact1...) menentukan properti variabel, termasuk ketidakpekaan huruf besar/kecil saat menggunakan nocase. Menerapkan nocase ke penetapan variabel berikutnya dari variabel gabungan yang sama (misalnya, $username = $fact2...) ditafsirkan oleh compiler sebagai definisi ulang yang bertentangan atau batasan yang redundan, sehingga menghasilkan error semantik.

Meningkatkan deteksi dengan library fungsi

Anda dapat menggunakan library fungsi YARA-L di titik-titik strategis dalam aturan gabungan untuk meningkatkan sinyal dan menambahkan logika yang lebih kompleks.

Mengelola pembaruan aturan

Saat Anda memperbarui aturan yang digunakan dalam satu atau beberapa aturan gabungan, sistem akan otomatis membuat versi baru aturan tersebut. Aturan gabungan akan otomatis menggunakan versi baru. Sebaiknya uji seluruh urutan aturan yang diperbarui untuk memverifikasi perilaku yang diinginkan.

Batasan

Saat mendesain dan menerapkan deteksi gabungan, pertimbangkan batasan berikut:

  • Pengecualian: Jangan terapkan pengecualian aturan langsung ke aturan gabungan. Anda harus menerapkan pengecualian ke aturan dasar yang mendasari aturan gabungan. Hal ini karena pengecualian aturan dievaluasi terhadap kolom UDM (seperti principal.user.userid), tetapi aturan gabungan dipicu berdasarkan deteksi lain, bukan kolom UDM. Jika Anda menerapkan pengecualian aturan langsung ke aturan gabungan, pengecualian tersebut akan gagal dicocokkan, dan peristiwa tidak akan dikecualikan.

  • Ketersediaan data kasus SOAR: Deteksi gabungan tidak memiliki akses ke semua data kasus SOAR. Logika aturan yang mencoba memfilter atau mengecualikan kasus berdasarkan status (misalnya, $edetection.feedback_summary.status != "CLOSED") tidak didukung.

  • Aturan gabungan: Google SecOps mendukung kedalaman maksimum 10 untuk aturan gabungan. Kedalaman adalah jumlah aturan dari aturan dasar hingga aturan gabungan akhir.

  • Aturan khusus deteksi: Memiliki periode pencocokan maksimum 14 hari dan tunduk pada batas deteksi harian sebesar 10.000 deteksi per aturan.

  • Variabel hasil: Setiap aturan dibatasi hingga maksimum 20 variabel hasil. Selain itu, setiap variabel hasil berulang dibatasi hingga 25 nilai.

  • Contoh peristiwa: Hanya 10 contoh peristiwa yang disimpan per variabel peristiwa dalam aturan, seperti 10 untuk $e1 dan 10 untuk $e2.

Untuk mengetahui informasi selengkapnya tentang batas deteksi, lihat Batas deteksi.

Langkah berikutnya

Untuk mengetahui informasi tentang cara membuat aturan deteksi gabungan, lihat Aturan deteksi gabungan dan Contoh.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.