Google은 AI 기술을 사용하여 콘텐츠를 사용자의 기본 언어로 번역합니다. AI 번역에는 오류가 있을 수 있습니다.

복합 감지 개요

다음에서 지원:

Google SecOps SIEM

이 문서에서는 복합 감지와 여러 규칙의 출력을 상호 연결하여 위협 감지 워크플로를 개선하는 방법을 소개합니다.

복합 감지는 다른 규칙의 감지를 입력으로 사용하는 규칙에 의해 생성되며 이벤트, 측정항목 또는 항목 위험 신호와 결합됩니다. 그런 다음 이러한 규칙은 이벤트, 측정항목 또는 항목 위험 신호와 결합되어 개별 규칙이 놓칠 수 있는 복잡한 다단계 위협을 감지합니다.

복합 감지는 정의된 규칙 상호작용 및 트리거를 통해 이벤트를 분석하는 데 도움이 됩니다. 이를 통해 정확성이 향상되고 거짓양성이 줄어들며, 다양한 소스와 공격 단계의 데이터를 상호 연관시켜 보안 위협에 대한 포괄적인 뷰를 제공합니다.

다음 개념은 복합 규칙의 구성요소를 정의하고 감지 워크플로 내에서 작동하는 방식을 명확히 합니다.

복합 규칙: 감지 또는 알림(또는 둘 다)을 입력으로 사용합니다. 원하는 경우 항목 그래프의 이벤트, 측정항목, 다양한 문맥 데이터(예: 발생률 데이터, 위협 인텔리전스, 항목 위험 점수)로 보강합니다. 이러한 규칙에는 항상 일치 섹션이 있어야 하며 입력 규칙의 메타 필드, match 변수, outcome 변수를 참조할 수 있습니다.
감지: 규칙의 조건이 충족될 때 생성되는 출력입니다.
감지 전용 규칙: 감지 또는 알림만 입력으로 사용하는 복합 규칙입니다.

복합 감지를 사용해야 하는 경우

복합 감지는 다음 목표를 달성하는 데 유용할 수 있습니다.

두 개 이상의 규칙 결과를 상호 연관시킵니다(예: 멀웨어 다운로드 감지를 동일한 호스트의 후속 C2 비콘 알림과 연결).
관련 이벤트 데이터로 알림을 보강합니다.
노이즈가 많고 신뢰도가 낮은 감지가 여러 번 발생하거나 다른 의심스러운 활동과 함께 발생하는 경우에만 최종 알림을 트리거하여 알림 피로를 줄입니다.
각 단계가 이미 자체 규칙에 의해 식별되는 복잡한 다단계 공격에 대한 알림을 빌드합니다.

복합 감지의 이점

복합 감지에는 다음과 같은 이점이 있습니다.

다단계 공격 파악: 사이버 공격은 다각적이고 상호 연결되어 있는 경우가 많습니다. 복합 감지는 겉보기에 고립된 보안 이벤트를 연결하여 더 광범위한 공격 내러티브를 보여줍니다. 예를 들어 복합 감지는 초기 침해 후 권한 에스컬레이션 및 데이터 무출과 같은 전체 공격 시퀀스를 식별할 수 있습니다.
알림 피로 완화: 복합 규칙은 노이즈가 많은 알림을 통합하고 필터링하여 보다 집중적인 대응을 가능하게 합니다. 이 접근 방식은 영향이 큰 사고의 우선순위를 지정하고 전반적인 알림 피로를 줄이는 데 도움이 됩니다.
감지 정확도 향상: 통합 데이터 모델(UDM) 이벤트, 규칙 감지, 항목 컨텍스트, 사용자 및 항목 행동 분석(UEBA) 발견 항목, 데이터 테이블의 인사이트를 결합하여 더 정확한 감지 로직을 빌드합니다.
복잡한 로직 간소화: 복잡한 감지 시나리오를 관리 가능하고 상호 연결되며 재사용 가능한 규칙으로 세분화하여 개발 및 유지보수를 간소화합니다.
대시보드에서 사용: 복합 감지를 Google SecOps 대시보드의 데이터 소스로 원활하게 통합합니다. 이를 사용하여 다단계 공격 패턴을 요약하는 시각화를 만들어 복잡한 위험을 더 쉽게 이해할 수 있습니다.

일반적인 사용 사례

이 섹션에서는 복합 감지의 일반적인 사용 사례를 보여줍니다.

원시 이벤트의 컨텍스트로 감지 보강

이 사용 사례에서는 한 시스템의 상위 수준 알림을 다른 시스템의 이벤트 로그와 연결합니다.

목표: 높은 수준의 알림을 유발한 특정 오프라인 액션을 식별합니다.
예:
1. 워크로드가 악성 도메인에 DNS 호출을 수행했기 때문에 Google Cloud Event Threat Detection에서 알림이 실행됩니다. 이것이 감지입니다.
2. 이 감지로 인해 복합 규칙이 트리거됩니다.
3. 그런 다음 규칙은 1분 이내에 동일한 워크로드에서 원시 엔드포인트 탐지 및 대응(EDR) 로그(이벤트)를 검색하여 동일한 악성 도메인이 포함된 명령줄 작업을 찾습니다.
최종 알림은 풍부한 컨텍스트를 제공합니다. 악성 도메인에 접속했으며 사용된 특정 ssh 명령어를 보여줍니다. 이 정보는 원래 탐지보다 훨씬 더 실행 가능한 결과를 제공합니다.

로그인 후 사용자 활동 추적

사용자의 로그인 이벤트를 후속 의심스러운 활동과 연결하는 데 중점을 둔 기본 사용 사례입니다. 표준 다중 이벤트 규칙은 짧은 시퀀스를 추적할 수 있지만 복합 감지는 사용자의 전체 세션에 대한 포괄적인 위험 프로필을 빌드하는 데 더 적합합니다.

목표: 고위험 로그인과 같은 단일 이벤트를 하루 종일과 같이 더 긴 기간 동안의 광범위한 후속 '약한 신호' 활동과 연관시킵니다.
예시: 낮은 수준의 감지를 생성하는 여러 규칙을 만듭니다. 그런 다음 긴 일치 기간(예: 24시간)이 있는 복합 규칙을 사용하여 초기 의심스러운 로그인에서 트리거하고 동일한 사용자의 다음 감지와 상호 연관시킵니다.
- 사용자가 명령줄 기록을 지우는 경우
- 새 로컬 관리자 계정 생성
- 개인 Cloud Storage 사이트에 대용량 데이터 업로드

UEBA 측정항목과 결합

이 사용 사례는 기존 UEBA 측정항목을 복합 감지의 시작점으로 활용하여 더 복잡하고 장기적인 동작을 찾습니다.

목표: UEBA 측정항목의 급증을 다른 이상 활동과 연관시킵니다.
예시:
1. UEBA 규칙은 사용자의 과도한 로그인 실패를 감지합니다.
2. 또 다른 UEBA 규칙은 동일한 사용자로부터 대량의 이그레스 바이트를 감지합니다.
3. 복합 감지는 이러한 두 가지 개별 UEBA 발견 항목을 며칠 동안 연결하여 잠재적인 계정 침해와 데이터 도용을 식별합니다.

데이터 무단 반출 시도 감지

여기에는 여러 개의 개별 사용자 작업을 상호 연결하는 작업이 포함되며, 이러한 작업이 결합되면 데이터 무단 반출 시도를 나타낼 수 있습니다.

목표: 여러 기기와 작업에서 단일 사용자의 위험한 데이터 처리 프로필을 빌드합니다.
상관관계가 있는 작업:
- 여러 기기(예: 집과 직장 기기)에서 로그인하는 경우
- 평소보다 많은 데이터 소스에 액세스합니다.
- 데이터를 동시에 다운로드, 인쇄, 이메일로 전송
- 특정 기간 내에 사용자가 액세스하는 분류된 문서의 수를 계산합니다.
- 사직서를 제출한 경우

다단계 멀웨어 감지

이 사용 사례에는 장기간에 걸쳐 천천히 작동하는 멀웨어를 식별하는 작업이 포함되며, 이는 일치 기간이 짧은 단일 규칙으로는 포착하기 어렵습니다.

목표: 초기 감염 벡터를 후속 악성 작업과 연결합니다(몇 시간 또는 며칠 간격이 있는 경우에도 마찬가지).
예:
1. 사용자가 악성 웹사이트를 방문합니다(초기 네트워크 이벤트).
2. '드롭퍼 파일'이 다운로드되고 실행됩니다(첫 번째 프로세스 이벤트).
3. 훨씬 나중에 드로퍼 파일은 다른 실행 파일을 다운로드하고 실행합니다(두 번째 프로세스 이벤트).
이를 위해서는 상위 프로세스와 하위 프로세스를 연결하는 긴 match 기간이 필요하며, 이는 복합 감지를 통해 제공할 수 있습니다.

알림 소음 감소

이 사용 사례에는 너무 '노이즈'가 많거나 자체적으로 너무 많은 거짓양성을 생성하는 감지를 관리하는 것이 포함됩니다.

목표: 노이즈가 많은 규칙을 사용 중지하거나 복잡한 제외를 만들지 않고 미세 조정합니다.
예:
1. 노이즈가 많은 선별된 탐지 규칙을 '탐지만'으로 설정하여 더 이상 알림을 생성하지 않도록 합니다.
2. 선별된 규칙의 출력을 첫 번째 조건으로 사용하는 복합 감지를 만듭니다.
3. '1시간 동안 동일한 사용자에 대해 이 감지가 5회 발생한 경우에만 알림' 또는 다른 규칙의 감지와 결합된 경우와 같이 추가 조건을 제공하는 두 번째 조건을 추가합니다.

복합 감지 작동 방식

규칙이 사전 정의된 조건을 충족하면 감지가 생성됩니다. 이러한 감지에는 특정 데이터 또는 이벤트 상태를 캡처하는 결과 변수가 선택적으로 포함될 수 있습니다.

복합 규칙은 다른 규칙의 이러한 감지를 입력의 일부로 사용합니다. 평가는 원래 규칙의 메타 섹션, 결과 변수, 일치 변수의 정보를 기반으로 할 수 있습니다.

이 평가를 기반으로 복합 규칙을 사용하여 조사 및 후속 규칙을 사용한 알림을 위한 중간 표현으로 사용할 새 감지를 만들 수 있습니다. 이를 통해 다양한 감지에서 여러 요소를 상호 연결하여 복잡한 위협을 식별할 수 있습니다.

문법 및 예시에 대한 자세한 내용은 복합 감지 규칙 및 예시를 참조하세요.

전략 세우기

복합 규칙을 만들기 전에 새 규칙이 효과적이고 효율적이며 올바른 문제를 해결하는지 확인하는 전략을 계획하세요.

현재 감지 전략 평가 기존 규칙을 검토하여 너무 많은 노이즈를 발생시키거나, 많은 거짓양성을 생성하거나, 지나치게 복잡하고 관리하기 어려운 규칙을 식별합니다.
복합 규칙이 가치를 제공할 수 있는 특정 시나리오를 결정합니다. 여기에는 다단계 공격 감지, 여러 신뢰도가 낮은 알림을 신뢰도가 높은 단일 알림으로 연관시키기, 다른 데이터 소스의 추가 컨텍스트로 감지 보강이 포함됩니다.
평가를 바탕으로 구현 계획을 수립합니다. 어떤 노이즈 규칙을 미세 조정해야 하는지, 어떤 복잡한 규칙을 단순화해야 하는지, 어떤 새로운 다단계 감지를 우선시해야 하는지 결정합니다.

이 정의된 계획은 타겟팅되고 효과적인 복합 규칙을 만들기 위한 로드맵을 제공합니다. 기술적 제약조건을 관리하면서 복합 감지를 최대한 활용하기 위한 다음과 같은 상위 수준 전략을 고려하세요.

적절한 방법 선택

복합 감지를 빌드하기 전에 다른 대안으로 필요한 결과를 얻을 수 있는지 확인합니다. 기존 UEBA 감지로 복잡한 패턴을 식별할 수 있는지 분석합니다. 감지를 지나치게 복잡하게 만들면 유지보수 오버헤드가 증가하고 규칙 할당량이 소모될 수 있습니다.

복합 감지를 사용하는 경우: 목표가 서로 다른 두 개 이상의 기존 규칙의 최종 결과를 상호 연관시키는 것입니다. 이는 개념적으로 분리된 공격 단계를 연결합니다.

예시: 멀웨어 다운로드 규칙의 감지를 C2 비콘 감지 규칙의 후속 감지와 상호 연결합니다.
기존 UEBA 감지를 사용하는 경우: 사용자 또는 기기가 정상적인 활동 패턴을 벗어나는 경우를 찾으려는 경우

예시: 일반적으로 1GB의 데이터만 다운로드하는 사용자가 오늘 100GB의 데이터를 다운로드한 것을 자동으로 감지합니다.

규칙 할당량 및 위험 점수 관리

조직의 리소스를 관리하려면 다양한 규칙 유형이 규칙 할당량에 미치는 영향을 이해해야 합니다.

선별된 규칙은 커스텀 규칙 할당량에 포함되지 않습니다.
복합 규칙과 커스텀 다중 이벤트 규칙은 할당량에 포함됩니다.

선별된 탐지 규칙을 감지 전용으로 설정하여 사용할 수 있습니다. 이렇게 하면 선별된 규칙이 알림을 생성하지 않고 초기 광범위한 감지를 수행할 수 있습니다. 그런 다음 복합 규칙을 사용하여 이러한 발견 항목에 특정 로직을 적용하여 할당량을 전략적으로 관리하면서 더 많은 가치를 제공할 수 있습니다.

위험과 컨텍스트의 차이점 이해하기

감지 로직을 설계할 때는 위험을 평가하는 규칙과 컨텍스트를 제공하는 규칙을 구분합니다.

위험은 일련의 활동이 얼마나 위험한지 평가하는 것입니다. 위험을 위해 설계된 규칙은 종종 여러 컨텍스트 이벤트 또는 감지를 집계하여 판단합니다. 예를 들어 로그인 실패가 한 번 발생하면 컨텍스트가 제공되지만, 로그인 실패가 여러 번 발생하면 무차별 대입 공격의 위험이 있음을 나타냅니다.

컨텍스트는 사건을 둘러싼 사실적 세부정보를 의미합니다. 컨텍스트를 위해 설계된 규칙은 한 이벤트에 다른 이벤트의 세부정보를 보강합니다. 예를 들어 규칙은 성공적인 사용자 로그인을 감지할 수 있지만, 컨텍스트 규칙은 이 로그인이 새롭고 비정상적인 국가에서 발생했다는 중요한 컨텍스트를 제공합니다.

예시: 초기 감지를 통해 악성 도메인에 대한 DNS 호출과 같은 잠재적 위험을 알릴 수 있습니다. 그런 다음 복합 규칙은 이 알림을 Google SecOps의 이벤트 로그와 상호 연관시켜 호출을 시작한 특정 명령줄 프로세스를 찾습니다. 이를 통해 중요한 실행 가능한 컨텍스트로 상위 수준의 위험 알림을 보강합니다

긴 일치 기간을 전략적으로 사용하기

긴 일치 기간(예: 14일)으로 구성된 복합 규칙은 실행 빈도가 낮습니다. 지연 시간이 길면 시간에 민감한 알림에 적합하지 않을 수 있습니다. 이러한 장기 기간을 사용하여 장기간에 걸쳐 느리고 지속적인 적대적 활동을 감지하는 것이 좋습니다.

시각화에 감지 사용

노이즈가 많은 규칙을 관리하는 한 가지 전략은 출력을 대시보드의 시각화로 변환하는 것입니다. 이 접근 방식은 규칙 할당량을 사용하지 않으며 대량의 저품질 데이터를 가치 있는 인사이트로 전환할 수 있습니다.

감지만 하도록 규칙을 설정한 후 대시보드 위젯에 감지 결과를 표시하면 개별 알림에 압도되지 않고도 추세를 추적하고, 이상치를 식별하고, 활동에 대한 개략적인 감사 뷰를 얻을 수 있습니다.

예시: PII 데이터 처리 추적

규칙은 사용자가 민감한 개인 식별 정보(PII) 데이터를 처리할 때마다 추적합니다. 매번 알림을 보내는 대신 감지만 하도록 설정되어 있습니다. 그러면 대시보드 위젯에 일일 이그레스 한도(예: 10,000바이트)에 근접한 사용자가 표시됩니다. 이렇게 하면 지속적인 알림을 생성하지 않고도 위험한 동작을 빠르게 감사할 수 있습니다.

예: 특정 DLP 위험 모니터링:

위젯은 매우 구체적인 DLP 규칙 하위 집합의 위험 점수를 집계합니다. 이를 통해 특정 팀(예: 데이터 손실 방지(DLP) 관리자)은 관련 위험만 모니터링하고 다른 보안 도메인의 노이즈를 필터링할 수 있습니다.

복합 감지 빌드

다음 워크플로는 복합 규칙을 만드는 일반적인 과정을 간략하게 보여줍니다. 문법 및 예시에 대한 자세한 내용은 복합 감지 규칙 및 예시를 참조하세요.

위협 시나리오 정의: 감지하려는 특정 위협을 정의합니다.
입력 규칙 만들기 또는 식별: 위협 시나리오의 각 단계에서 특정 활동을 감지하는 입력 규칙을 만들거나 식별합니다.
조인 조건 정의: 규칙 라벨, 변수, 감지 필드와 같은 입력 규칙의 감지를 연결하는 공통 정보를 결정합니다.
복합 규칙 빌드: 입력 규칙에서 감지를 수집하는 규칙을 작성합니다.
- 이름, ID 또는 공유 메타 라벨로 입력 규칙을 참조하여 events 섹션을 정의합니다.
- match 섹션을 정의하여 일치 항목의 조인 키와 기간을 지정합니다.
- condition 섹션을 정의하여 최종 알림이 실행되기 위해 충족해야 하는 조건을 설정합니다.
규칙 체인 테스트 및 배포: 시퀀스의 각 규칙에 대해 소급 검색을 수동으로 실행하는 것이 좋습니다.

복합 규칙에서 규칙 테스트 기능을 사용하면 규칙의 입력 기준과 일치하는 기존 감지에 대해서만 실행됩니다. 테스트를 위한 새 입력을 생성하기 위해 기본 규칙을 자동으로 실행하지 않으므로 단일 작업으로 전체 규칙 체인을 검증할 수 없습니다.

규칙 시퀀스에 대해 retrohunt를 실행하려면 다음을 수행합니다.
1. 시퀀스의 첫 번째 규칙에서 Retrohunt를 수동으로 시작합니다.
2. 완료될 때까지 기다립니다.
3. 다음 규칙으로 계속 진행합니다.
도움말: 테스트 시 이전 감지 결과와 실수로 일치하지 않도록 하려면 복합 체인 내의 각 규칙에 고유한 meta: label를 추가하는 것이 좋습니다.

예시: 다음 규칙은 기본 규칙 상관관계 템플릿을 제공합니다.


rule Basic_Rule_Correlation_Template {
    
    meta:
    description = "Triggers when a user triggers two different rules within X days"

    events: 
    // 1. Identify the first sub-rule detection
    $d1.metadata.event_type = "DETECTION" $d1.metadata.rule_name = "INSERT_RULE_NAME_A_HERE" $user = [REDACTED_GENERIC_ID]

    // 2. Identify the second sub-rule detection
    $d2.metadata.event_type = "DETECTION"
    $d2.metadata.rule_name = "INSERT_RULE_NAME_B_HERE"
    $user = [REDACTED_GENERIC_ID]
    match: 
    // 3. Connect the rules by the same user over the specified window
    $user over 14d
    condition: 
    // 4. Fire when both conditions have occurred
    $d1 and $d2
}

예시: 다음 규칙은 이벤트 감지 규칙과 이벤트 그래프를 사용하여 선별된 탐지 규칙을 확인하고 일부 고급 YARA-L 함수 및 변수 정의를 사용합니다.


rule CheckCuratedDetection_with_EDR_and_EG {

  meta:
    author = "noone@cymbal.com"

  events:

    $d.detection.detection.rule_name = /SCC: Custom Modules: Configurable Bad Domain/
    $d.detection.collection_elements.references.event.network.dns.questions.name = $domain
    $d.detection.collection_elements.references.event.principal.asset.hostname = $hostname

    $e.metadata.log_type = "LIMACHARLIE_EDR"
    $e.metadata.product_event_type = "NETWORK_CONNECTIONS"
    $domain = re.capture($e.principal.process.command_line, "\\s([a-zA-Z0-9.-]+\\.[a-zA-Z0-9.-]+)$")
    $hostname = re.capture($e.principal.hostname, "([^.]*)")

    $prevalence.graph.metadata.entity_type = "DOMAIN_NAME"
    $prevalence.graph.metadata.source_type = "DERIVED_CONTEXT"
    $prevalence.graph.entity.hostname = $domain
    $prevalence.graph.entity.domain.prevalence.day_count = 10
    $prevalence.graph.entity.domain.prevalence.rolling_max <= 5
    $prevalence.graph.entity.domain.prevalence.rolling_max > 0

  match:
    $hostname over 1h

  outcome:
    $risk_score = 80
    $CL_target = array($domain)

  condition:
    $e and $d and $prevalence

}

복합 감지 발견 항목 보기

감지 페이지에서 복합 감지 결과를 확인할 수 있습니다. 입력 열에 감지가 소스로 표시되고 감지 유형 열에 옆에 숫자가 있는 알림 라벨이 표시되면 알림은 복합 감지입니다(예: Alert (3)).

참고: SIEM과 SOAR이 모두 있는 경우 케이스 탭에서 결과를 확인할 수도 있습니다.

복합 감지 최적화

복합 규칙을 빌드할 때는 다음 권장사항을 따르는 것이 좋습니다.

지연 시간 최적화

감지 파이프라인에서 지연 시간을 최소화하려면 초기 트리거와 같이 가능한 경우 단일 이벤트 규칙을 사용합니다. 복합 규칙은 감지를 사용하여 다른 이벤트, 항목 또는 감지와 더 복잡한 상관관계를 수행할 수 있으므로 전체 지연 시간을 줄일 수 있습니다.

효율적인 방법을 사용하여 감지 조인

결과 변수, 메타 라벨, 일치 변수를 사용하여 감지를 조인하는 것이 좋습니다. 이러한 메서드는 이벤트 샘플을 사용하는 것보다 더 결정론적이고 신뢰할 수 있는 결과를 제공합니다. 메타 라벨은 복합 규칙이 해당 라벨이 있는 모든 감지를 타겟팅할 수 있도록 규칙을 분류할 수 있으므로 특히 유연합니다.

예를 들어 여러 규칙이 동일한 메타 라벨 tactic: exfiltration을 공유하는 경우 전술 라벨의 값이 exfiltration인 모든 감지를 타겟팅하는 복합 규칙을 사용할 수 있습니다.

복합 감지에서 조인 변수와 함께 nocase를 사용하면 다음과 같은 시맨틱 분석 오류가 발생할 수 있습니다.

semantic analysis: match variable <variable_name> is not assigned to an event field.

복합 감지에서 첫 번째 변수 할당(예: $username = $fact1...)은 nocase를 사용할 때 대소문자를 구분하지 않음을 포함하여 변수의 속성을 정의합니다. 동일한 조인 변수(예: $username = $fact2...)의 후속 변수 할당에 nocase를 적용하면 컴파일러에서 충돌하는 재정의 또는 중복 제약 조건으로 해석되어 시맨틱 오류가 발생합니다.

함수 라이브러리로 감지 개선

복합 규칙 내의 전략적 지점에서 YARA-L 함수 라이브러리를 사용하여 신호를 늘리고 더 복잡한 로직을 추가할 수 있습니다.

규칙 업데이트 관리

하나 이상의 복합 규칙에 사용되는 규칙을 업데이트하면 시스템에서 자동으로 새 버전의 규칙을 만듭니다. 복합 규칙은 새 버전을 자동으로 사용합니다. 업데이트된 전체 규칙 시퀀스를 테스트하여 의도한 동작을 확인하는 것이 좋습니다.

제한사항

복합 감지를 설계하고 구현할 때는 다음 제한사항을 고려하세요.

제외: 복합 규칙에 규칙 제외를 직접 적용하지 마세요. 복합 규칙에 적용되는 기본 규칙에 제외를 적용해야 합니다. 이는 규칙 제외가 UDM 필드(예: principal.user.userid)를 기준으로 평가되지만 복합 규칙은 UDM 필드가 아닌 다른 감지를 기반으로 트리거되기 때문입니다. 복합 규칙에 규칙 제외를 직접 적용하면 제외가 일치하지 않고 이벤트가 제외되지 않습니다.
SOAR 케이스 데이터 가용성: 복합 감지는 모든 SOAR 케이스 데이터에 액세스할 수 없습니다. 상태(예: $edetection.feedback_summary.status != "CLOSED")를 기준으로 케이스를 필터링하거나 제외하려고 시도하는 규칙 로직은 지원되지 않습니다.
복합 규칙: Google SecOps는 복합 규칙에 대해 최대 깊이 10을 지원합니다. 깊이는 기본 규칙에서 최종 복합 규칙까지의 규칙 수입니다.
감지 전용 규칙: 최대 일치 기간은 14일이며 규칙당 일일 감지 한도는 10,000개입니다.
결과 변수: 각 규칙은 최대 20개의 결과 변수로 제한됩니다. 또한 각 반복 결과 변수는 25개 값으로 제한됩니다.
이벤트 샘플: 규칙의 이벤트 변수당 10개의 이벤트 샘플만 저장됩니다(예: $e1의 경우 10개, $e2의 경우 10개).

감지 한도에 대한 자세한 내용은 감지 한도를 참조하세요.

다음 단계

복합 감지 규칙을 빌드하는 방법은 복합 감지 규칙 및 예시를 참조하세요.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.