Règles composites

Compatible avec :

Ce document présente les ensembles de règles composites, les sources de données requises et les options de configuration permettant d'ajuster les alertes qu'ils génèrent. Ces ensembles de règles fournissent des alertes plus précises. Ils établissent des niveaux de gravité, de confiance, de risque et de priorité pour tous les contenus de détection activés par Google Security Operations pour les environnements Google Cloudet de point de terminaison.

Décrire les ensembles de règles

La catégorie "Règles composites" comprend les ensembles de règles suivants :

Comprendre les règles composites de point de terminaison

Ces règles mettent en corrélation les résultats de plusieurs règles de détection liées au même point de terminaison sur une période définie. Les niveaux de confiance et de risque sont déterminés par des caractéristiques spécifiques de ces détections.

Comprendre les règles composites Cloud

Ces règles mettent en corrélation les résultats de plusieurs règles de détection associées au même compteGoogle Cloud ou à la même ressource Google Cloud sur une période définie. Les niveaux de confiance et de risque sont basés sur les caractéristiques spécifiques de ces détections.

Comprendre les règles composites ATI

Les règles composites ATI détectent plusieurs détections de renseignement sur les menaces appliquées uniques provenant de la même campagne, de la même variante de logiciel malveillant ou du même acteur de menace afin de fournir un contexte environnemental supplémentaire sur toute menace potentielle. Cela vous aide à vous concentrer sur des groupes d'activités pour faciliter la hiérarchisation. Pour vous assurer que ces règles génèrent des alertes, vous devez activer les packs de règles Applied Threat Intelligence, tels que "Violation active", "Élevé" ou "Moyen".

Appareils et types de journaux compatibles

Ces règles s'appuient principalement sur Cloud Audit Logs, les journaux de détection et de réponse des points de terminaison, et les journaux de proxy réseau. L'UDM Google SecOps normalise automatiquement ces sources de journaux. Les catégories suivantes décrivent les sources de journaux les plus importantes requises pour que le contenu composite organisé fonctionne efficacement :

Sources de journaux de règles composites de point de terminaison

Google Cloud  sources de journaux de règles composites

Sources de journaux de règlesGoogle Cloud et de point de terminaison

Pour obtenir la liste complète des détections optimisées disponibles, consultez Utiliser les détections optimisées. Contactez votre représentant Google SecOps si vous devez activer les sources de détection à l'aide d'un autre mécanisme.

Google SecOps fournit des analyseurs par défaut qui analysent et normalisent les journaux bruts pour créer des enregistrements UDM avec les données requises par les ensembles de règles de détection composites et optimisées. Pour obtenir la liste de toutes les sources de données compatibles avec Google SecOps, consultez Analyseurs par défaut compatibles.

Modifier les règles d'un ensemble de règles

Vous pouvez personnaliser le comportement des règles d'un ensemble de règles pour répondre aux besoins de votre organisation. Ajustez le fonctionnement de chaque règle en sélectionnant l'un des modes de détection suivants, et configurez si les règles génèrent des alertes.

  • Générale : détecte les comportements potentiellement malveillants ou anormaux, mais peut générer plus de faux positifs en raison de la nature générale de la règle.

Pour modifier les paramètres, procédez comme suit :

  1. Dans la liste des règles, cochez la case à côté de chaque règle que vous souhaitez modifier.

  2. Configurez les paramètres État et Alertes pour les règles comme suit :

    • État : applique le mode (Précis ou Large) à la règle sélectionnée. Spécifiez Enabled pour activer l'état de la règle sur le mode.

    • Alertes : détermine si la règle génère une alerte sur la page Alertes. Définissez cette option sur Activé pour activer les alertes.

Ajuster les alertes des ensembles de règles

Vous pouvez réduire le nombre d'alertes générées par un ensemble de règles en appliquant des exclusions de règles aux règles sélectionnées sous-jacentes. N'appliquez pas d'exclusion de règle directement à une règle composite.

Une exclusion de règle spécifie des critères qui empêchent les événements correspondants de déclencher des détections dans une règle ou un ensemble de règles sélectionné. Pour en savoir plus, consultez Configurer la suppression des alertes.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.