Zusammengesetzte Regeln

Unterstützt in:

Dieses Dokument bietet einen Überblick über die zusammengesetzten Regelsätze, die erforderlichen Datenquellen und die Konfigurationsoptionen zum Optimieren der generierten Benachrichtigungen. Diese Regelsätze bieten Benachrichtigungen mit höherer Qualität. Sie legen Schweregrad, Konfidenz, Risiko und Priorität für alle in Google Security Operations aktivierten Erkennungsinhalte für Google Cloud- und Endpunktumgebungen fest.

Regelsätze beschreiben

Die Kategorie „Zusammengesetzte Regeln“ umfasst die folgenden Regelsätze:

Zusammengesetzte Regeln für Endpunkte

Diese Regeln korrelieren Ergebnisse aus mehreren Erkennungsregeln, die sich auf denselben Endpunkt über einen definierten Zeitraum beziehen. Konfidenz- und Risikostufen werden durch bestimmte Merkmale dieser Erkennungen bestimmt.

Informationen zu zusammengesetzten Cloud-Regeln

Diese Regeln korrelieren Ergebnisse aus mehreren Erkennungsregeln, die mit demselbenGoogle Cloud -Konto oder derselben Google Cloud -Ressource über einen definierten Zeitraum verknüpft sind. Konfidenz- und Risikoniveaus basieren auf bestimmten Merkmalen dieser Erkennungen.

Zusammengesetzte ATI-Regeln verstehen

Zusammengesetzte ATI-Regeln erkennen mehrere eindeutige Applied Threat Intelligence-Erkennungen aus derselben Kampagne, Malware-Variante oder demselben Bedrohungsakteur, um zusätzlichen Umgebungskontext zu potenziellen Bedrohungen bereitzustellen. So können Sie sich auf Aktivitätscluster konzentrieren und Prioritäten setzen. Damit diese Regeln Benachrichtigungen erzeugen, müssen Sie Regelpakete für Applied Threat Intelligence aktivieren, z. B. „Aktive Sicherheitslücke“, „Hoch“ oder „Mittel“.

Unterstützte Geräte und Protokolltypen

Diese Regeln basieren hauptsächlich auf Cloud-Audit-Logs, Logs zur Endpunkterkennung und -reaktion sowie Netzwerk-Proxy-Logs. Google SecOps UDM normalisiert diese Logquellen automatisch. In den folgenden Kategorien werden die wichtigsten Logquellen beschrieben, die für die effektive Funktion der kuratierten zusammengesetzten Inhalte erforderlich sind:

Logquellen für zusammengesetzte Endpunktregeln

Google Cloud  Protokollquellen für zusammengesetzte Regeln

Google Cloud - und Endpunktregel-Protokollquellen

Eine vollständige Liste der verfügbaren ausgewählten Erkennungen finden Sie unter Ausgewählte Erkennungen verwenden. Wenden Sie sich an Ihren Google SecOps-Ansprechpartner, wenn Sie die Erkennungsquellen mit einem anderen Mechanismus aktivieren müssen.

Google SecOps bietet Standardparser, die Rohlogs parsen und normalisieren, um UDM-Einträge mit Daten zu erstellen, die für zusammengesetzte und ausgewählte Erkennungsregelsätze erforderlich sind. Eine Liste aller von Google SecOps unterstützten Datenquellen finden Sie unter Unterstützte Standardparser.

Regeln in einem Regelsatz ändern

Sie können das Verhalten von Regeln innerhalb eines Regelsatzes an die Anforderungen Ihrer Organisation anpassen. Passen Sie die Funktionsweise der einzelnen Regeln an, indem Sie einen der folgenden Erkennungsmodi auswählen, und konfigurieren Sie, ob die Regeln Benachrichtigungen generieren.

  • Allgemein: Erkennt potenziell schädliches oder anomales Verhalten, kann aber aufgrund der allgemeinen Natur der Regel mehr falsch positive Ergebnisse liefern.

So ändern Sie die Einstellungen:

  1. Klicken Sie in der Liste der Regeln das Kästchen neben jeder Regel an, die Sie ändern möchten.

  2. Konfigurieren Sie die Einstellungen für Status und Benachrichtigungen für die Regeln so:

    • Status: Wendet den Modus (Präzise oder Allgemein) auf die ausgewählte Regel an. Legen Sie Enabled fest, um den Status der Regel im Modus zu aktivieren.

    • Benachrichtigungen: Hier wird festgelegt, ob die Regel eine Benachrichtigung auf der Seite Benachrichtigungen generiert. Setzen Sie den Wert auf An, um Benachrichtigungen zu aktivieren.

Benachrichtigungen aus Regelsätzen optimieren

Sie können die Anzahl der von einem Regelsatz generierten Benachrichtigungen reduzieren, indem Sie Regelausschlüsse auf die zugrunde liegenden kuratierten Regeln anwenden. Wenden Sie einen Regelausschluss nicht direkt auf eine zusammengesetzte Regel an.

Ein Regelausschluss gibt Kriterien an, die verhindern, dass übereinstimmende Ereignisse Erkennungen in einer kuratierten Regel oder einem Regelsatz auslösen. Weitere Informationen finden Sie unter Benachrichtigungsunterdrückung konfigurieren.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten