복합 규칙
이 문서에서는 복합 규칙 집합, 필요한 데이터 소스, 생성된 알림을 조정하기 위한 구성 옵션에 대해 간략하게 설명합니다. 이러한 규칙 집합은 더 높은 정확도의 알림을 제공합니다. 이러한 규칙은 Google Cloud및 엔드포인트 환경에 대해 Google Security Operations가 사용 설정된 모든 감지 콘텐츠에서 심각도, 신뢰도, 위험, 우선순위 수준을 설정합니다.
규칙 집합 설명
복합 규칙 카테고리에는 다음 규칙 집합이 포함됩니다.
엔드포인트 복합 규칙 이해하기
이러한 규칙은 정의된 기간 동안 동일한 엔드포인트와 관련된 여러 감지 규칙의 발견 항목을 상호 연관시킵니다. 신뢰도 및 위험 수준은 이러한 감지의 특정 특성에 따라 결정됩니다.
Cloud 복합 규칙 이해
이러한 규칙은 정의된 기간 동안 동일한Google Cloud 계정 또는 Google Cloud 리소스와 연결된 여러 감지 규칙의 발견 항목을 상호 연결합니다. 신뢰도 및 위험 수준은 이러한 감지의 특정 특성을 기반으로 합니다.
ATI 복합 규칙 이해하기
ATI 복합 규칙은 동일한 캠페인, 멀웨어 변종 또는 공격자로부터 여러 고유한 Applied Threat Intelligence 감지를 감지하여 잠재적인 위협에 대한 추가적인 환경 컨텍스트를 제공합니다. 이렇게 하면 활동 클러스터에 집중하여 우선순위를 지정하는 데 도움이 됩니다. 이러한 규칙에서 알림을 생성하려면 '활성 침해', '높음' 또는 '중간'과 같은 Applied 위협 인텔리전스 규칙 팩을 사용 설정해야 합니다.
지원되는 기기 및 로그 유형
이러한 규칙은 주로 Cloud 감사 로그, 엔드포인트 감지 및 대응 로그, 네트워크 프록시 로그를 사용합니다. Google SecOps UDM은 이러한 로그 소스를 자동으로 정규화합니다. 다음 카테고리에서는 선별된 복합 콘텐츠가 효과적으로 작동하는 데 필요한 가장 중요한 로그 소스를 간략하게 설명합니다.
엔드포인트 복합 규칙 로그 소스
Google Cloud 복합 규칙 로그 소스
Google Cloud 및 엔드포인트 규칙 로그 소스
사용 가능한 선별된 탐지 규칙의 전체 목록은 선별된 탐지 규칙 사용을 참조하세요. 다른 메커니즘을 사용하여 감지 소스를 사용 설정해야 하는 경우 Google SecOps 담당자에게 문의하세요.
Google SecOps는 원시 로그를 파싱하고 정규화하여 복합 및 선별된 탐지 규칙 집합에 필요한 데이터로 UDM 레코드를 만드는 기본 파서를 제공합니다. 지원되는 모든 Google SecOps 데이터 소스 목록은 지원되는 기본 파서를 참조하세요.
규칙 집합의 규칙 수정
조직의 요구사항에 맞게 규칙 집합 내에서 규칙 동작을 맞춤설정할 수 있습니다. 다음 감지 모드 중 하나를 선택하여 각 규칙의 작동 방식을 조정하고 규칙에서 알림을 생성할지 여부를 구성합니다.
- 광범위: 잠재적으로 악의적이거나 비정상적인 동작을 감지하지만 규칙의 일반적인 특성으로 인해 거짓양성이 더 많이 발생할 수 있습니다.
설정을 수정하려면 다음 단계를 따르세요.
규칙 목록에서 수정할 각 규칙 옆의 체크박스를 선택합니다.
다음과 같이 규칙의 상태 및 알림 설정을 구성합니다.
상태: 선택한 규칙에 모드(정확한 또는 광범위한)를 적용합니다. 규칙의 상태를 모드로 활성화하려면
Enabled로 설정합니다.알림: 규칙이 알림 페이지에서 알림을 생성하는지 여부를 제어합니다. 알림을 사용 설정하려면 사용으로 설정합니다.
규칙 집합의 알림 조정
기본적인 선별된 규칙에 규칙 제외를 적용하여 규칙 집합에서 생성되는 알림 수를 줄일 수 있습니다. 복합 규칙에 규칙 제외를 직접 적용하지 마세요.
규칙 제외는 일치하는 이벤트가 선별된 규칙 또는 규칙 집합에서 감지를 트리거하지 못하도록 하는 기준을 지정합니다. 자세한 내용은 알림 표시 안함 구성을 참조하세요.
도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.