复合规则
本文档简要介绍了复合规则集、所需的数据源以及用于调整其生成的提醒的配置选项。 这些规则集可提供更高保真度的提醒。他们会针对所有支持 Google Security Operations 的 Google Cloud和端点环境检测内容，确定严重程度、置信度、风险和优先级。
描述规则集
“复合规则”类别包含以下规则集：
了解端点复合规则
这些规则会将多个检测规则在指定时间段内与同一端点相关的发现结果关联起来。置信度和风险级别由这些检测结果的具体特征决定。
了解 Cloud 复合规则
这些规则会将与同一Google Cloud 账号或 Google Cloud 资源关联的多个检测规则在指定时间段内的发现结果关联起来。置信度和风险级别取决于这些检测结果的具体特征。
了解 ATI 复合规则
ATI 复合规则可检测来自同一攻击活动、恶意软件变体或威胁行为者的多个唯一威胁情报检测结果，从而提供任何潜在威胁的其他环境背景信息。这有助于您专注于活动集群，从而协助确定优先级。为确保这些规则生成提醒，您必须启用 Applied 威胁情报 规则包，例如“主动入侵”“高”或“中”。
支持的设备和日志类型
这些规则主要依赖于 Cloud Audit Logs、端点检测和响应日志以及网络代理日志。Google SecOps UDM 会自动对这些日志来源进行标准化。以下类别概述了精选复合内容有效运行所需的最重要日志来源：
端点复合规则日志来源
Google Cloud 复合规则日志来源
Google Cloud 和端点规则日志来源
如需查看可用精选检测的完整列表，请参阅使用精选检测。如果您需要使用其他机制启用检测来源，请与您的 Google SecOps 代表联系。
Google SecOps 提供默认解析器，用于解析和标准化原始日志，以创建包含复合和精选检测规则集所需数据的 UDM 记录。如需查看 Google SecOps 支持的所有数据源的列表，请参阅支持的默认解析器。
修改规则集中的规则
您可以自定义规则集内规则的行为，以满足组织的需求。通过选择以下检测模式之一来调整每条规则的运作方式，并配置规则是否生成提醒。
- 宽泛：检测潜在的恶意或异常行为，但由于规则的通用性，可能会产生更多误报。
如需修改设置，请执行以下操作：
在规则列表中，选中要修改的每条规则旁边的复选框。
按如下方式配置规则的状态和提醒设置：
状态：将模式（精确或宽泛）应用于所选规则。设置为
Enabled可将规则的状态激活为该模式。提醒：控制规则是否在提醒页面上生成提醒。设置为开启即可启用提醒。
调整规则集中的提醒
您可以通过对基础底层精选规则应用规则排除项，减少规则集生成的提醒数量。请勿将规则排除项直接应用于复合规则。
规则排除项指定了条件，用于防止匹配事件在精选规则或规则集中触发检测。如需了解详情，请参阅配置提醒抑制。