Regole composite
Questo documento fornisce una panoramica dei set di regole composite, delle origini dati richieste e delle opzioni di configurazione per l'ottimizzazione degli avvisi generati. Questi set di regole forniscono avvisi con una fedeltà superiore. Stabiliscono i livelli di gravità, confidenza, rischio e priorità per tutti i contenuti di rilevamento abilitati per Google Security Operations per gli ambienti Google Cloude degli endpoint.
Descrivi i set di regole
La categoria Regole composite include i seguenti set di regole:
Informazioni sulle regole composite degli endpoint
Queste regole correlano i risultati di più regole di rilevamento relative allo stesso endpoint in un periodo di tempo definito. I livelli di confidenza e di rischio sono determinati da caratteristiche specifiche di questi rilevamenti.
Informazioni sulle regole composite di Cloud
Queste regole mettono in correlazione i risultati di più regole di rilevamento associate allo stesso account o alla stessa risorsaGoogle Cloud Google Cloud in un periodo di tempo definito. I livelli di confidenza e di rischio si basano su caratteristiche specifiche di questi rilevamenti.
Informazioni sulle regole composte di ATI
Le regole composite di ATI rilevano più rilevamenti unici di Applied Threat Intelligence dalla stessa campagna, variante di malware o attore della minaccia per fornire un contesto ambientale aggiuntivo di qualsiasi potenziale minaccia. In questo modo, puoi concentrarti su gruppi di attività per stabilire le priorità. Per assicurarti che queste regole generino avvisi, devi attivare i pacchetti di regole di Applied Threat Intelligence, come "Violazione attiva", "Alta" o "Media".
Dispositivi e tipi di log supportati
Queste regole si basano principalmente su Cloud Audit Logs, log di rilevamento e risposta degli endpoint e log del proxy di rete. Google SecOps UDM normalizza automaticamente queste origini dei log. Le seguenti categorie descrivono le origini dei log più importanti necessarie per il funzionamento efficace dei contenuti compositi selezionati:
Origini dei log delle regole composite degli endpoint
Google Cloud origini dei log delle regole composite
Google Cloud e origini dei log delle regole degli endpoint
Per un elenco completo dei rilevamenti predefiniti disponibili, consulta Utilizza i rilevamenti predefiniti. Contatta il tuo rappresentante di Google SecOps se devi attivare le origini di rilevamento utilizzando un meccanismo diverso.
Google SecOps fornisce parser predefiniti che analizzano e normalizzano i log non elaborati per creare record UDM con i dati richiesti dai set di regole di rilevamento predefiniti e compositi. Per un elenco di tutte le origini dati supportate da Google SecOps, consulta Parser predefiniti supportati.
Modifica le regole in un set di regole
Puoi personalizzare il comportamento delle regole all'interno di un set di regole per soddisfare le esigenze della tua organizzazione. Regola il funzionamento di ogni regola selezionando una delle seguenti modalità di rilevamento e configura se le regole generano avvisi.
- Generale: rileva comportamenti potenzialmente dannosi o anomali, ma potrebbe generare più falsi positivi a causa della natura generale della regola.
Per modificare le impostazioni:
Nell'elenco delle regole, seleziona la casella di controllo accanto a ogni regola che vuoi modificare.
Configura le impostazioni Stato e Avvisi per le regole come segue:
Stato: applica la modalità (Precisa o Generica) alla regola selezionata. Imposta su
Enabledper attivare lo stato della regola in modalità.Avvisi: controlla se la regola genera un avviso nella pagina Avvisi. Imposta su On per attivare gli avvisi.
Ottimizza gli avvisi dai set di regole
Puoi ridurre il numero di avvisi generati da un set di regole applicando le esclusioni delle regole alle regole selezionate di base sottostanti. Non applicare un'esclusione di regola direttamente a una regola composita.
Un'esclusione di regola specifica i criteri che impediscono agli eventi corrispondenti di attivare i rilevamenti in una regola o un set di regole selezionate. Per saperne di più, consulta Configura la soppressione degli avvisi.
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.