Aturan gabungan

Didukung di:

Dokumen ini memberikan ringkasan set aturan gabungan, sumber data yang diperlukan, dan opsi konfigurasi untuk menyesuaikan pemberitahuan yang dihasilkan. Set aturan ini memberikan pemberitahuan dengan fidelitas lebih tinggi. Aturan ini menetapkan tingkat keparahan, keyakinan, risiko, dan prioritas di semua konten deteksi yang diaktifkan Google Security Operations untuk lingkungan Google Cloud dan endpoint.

Menjelaskan set aturan

Kategori Aturan Gabungan mencakup set aturan berikut:

Memahami aturan gabungan endpoint

Aturan ini menghubungkan temuan dari beberapa aturan deteksi yang terkait dengan endpoint yang sama selama jangka waktu yang ditentukan. Tingkat keyakinan dan risiko ditentukan oleh karakteristik spesifik dari deteksi tersebut.

Memahami aturan gabungan Cloud

Aturan ini menghubungkan temuan dari beberapa aturan deteksi yang terkait dengan akun atau resourceGoogle Cloud Google Cloud yang sama selama jangka waktu yang ditentukan. Tingkat keyakinan dan risiko didasarkan pada karakteristik tertentu dari deteksi tersebut.

Memahami aturan gabungan ATI

Aturan gabungan ATI mendeteksi beberapa deteksi Applied Threat Intelligence unik dari kampanye, varian malware, atau pelaku ancaman yang sama untuk memberikan konteks lingkungan tambahan terkait potensi ancaman. Hal ini membantu Anda berfokus pada kelompok aktivitas untuk membantu penentuan prioritas. Untuk memastikan aturan ini menghasilkan pemberitahuan, Anda harus mengaktifkan paket aturan Applied Threat Intelligence, seperti "Pelanggaran Aktif", "Tinggi", atau "Sedang".

Perangkat dan jenis log yang didukung

Aturan ini terutama mengandalkan Cloud Audit Logs, log deteksi dan respons endpoint, serta log proxy jaringan. UDM Google SecOps secara otomatis menormalisasi sumber log ini. Kategori berikut menguraikan sumber log paling penting yang diperlukan agar konten gabungan yang diseleksi dapat berfungsi secara efektif:

Sumber log aturan gabungan endpoint

Google Cloud sumber log aturan gabungan

Google Cloud dan sumber log aturan endpoint

Untuk mengetahui daftar lengkap pendeteksian terseleksi yang tersedia, lihat Menggunakan pendeteksian terseleksi. Hubungi perwakilan Google SecOps jika Anda perlu mengaktifkan sumber deteksi menggunakan mekanisme yang berbeda.

Google SecOps menyediakan parser default yang mengurai dan menormalisasi log mentah untuk membuat data UDM dengan data yang diperlukan oleh set aturan deteksi gabungan dan yang diseleksi. Untuk mengetahui daftar semua sumber data yang didukung Google SecOps, lihat Parser default yang didukung.

Mengubah aturan dalam set aturan

Anda dapat menyesuaikan perilaku aturan dalam set aturan untuk memenuhi kebutuhan organisasi Anda. Sesuaikan cara kerja setiap aturan dengan memilih salah satu mode deteksi berikut, dan konfigurasikan apakah aturan akan menghasilkan pemberitahuan.

  • Broad: mendeteksi perilaku yang berpotensi berbahaya atau tidak normal, tetapi dapat menghasilkan lebih banyak positif palsu karena sifat umum aturan tersebut.

Untuk mengubah setelan, lakukan hal berikut:

  1. Dari daftar aturan, centang kotak di samping setiap aturan yang ingin Anda ubah.

  2. Konfigurasikan setelan Status dan Alerting untuk aturan sebagai berikut:

    • Status: menerapkan mode (Precise atau Broad) ke aturan yang dipilih. Setel ke Enabled untuk mengaktifkan status aturan ke mode.

    • Pemberitahuan: mengontrol apakah aturan akan menghasilkan pemberitahuan di halaman Pemberitahuan. Setel ke Aktif untuk mengaktifkan pemberitahuan.

Menyesuaikan pemberitahuan dari set aturan

Anda dapat mengurangi jumlah pemberitahuan yang dihasilkan oleh set aturan dengan menerapkan pengecualian aturan ke aturan pilihan dasar yang mendasarinya. Jangan terapkan pengecualian aturan langsung ke aturan gabungan.

Pengecualian aturan menentukan kriteria yang mencegah peristiwa yang cocok memicu deteksi dalam aturan atau set aturan yang diseleksi. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi penghentian pemberitahuan.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.