Regras compostas

Compatível com:

Neste documento, apresentamos uma visão geral dos conjuntos de regras compostas, das fontes de dados necessárias e das opções de configuração para ajustar os alertas gerados. Esses conjuntos de regras oferecem alertas de maior fidelidade. Eles estabelecem níveis de gravidade, confiança, risco e prioridade em todo o conteúdo de detecção do Google Security Operations para ambientes de Google Cloud e de endpoint.

Descrever conjuntos de regras

A categoria "Regras compostas" inclui os seguintes conjuntos de regras:

Entender as regras compostas de endpoint

Essas regras correlacionam descobertas de várias regras de detecção relacionadas ao mesmo endpoint em um período definido. Os níveis de confiança e risco são determinados por características específicas dessas detecções.

Entender as regras compostas do Cloud

Essas regras correlacionam as descobertas de várias regras de detecção associadas à mesma conta doGoogle Cloud ou ao mesmo recurso do Google Cloud em um período definido. Os níveis de confiança e risco são baseados em características específicas dessas detecções.

Entender as regras compostas da ATI

As regras compostas da ATI detectam várias detecções exclusivas da inteligência contra ameaças aplicada da mesma campanha, variante de malware ou agente de ameaça para fornecer mais contexto ambiental de qualquer ameaça em potencial. Isso ajuda você a se concentrar em clusters de atividade para ajudar na priorização. Para garantir que essas regras produzam alertas, é necessário ativar os pacotes de regras da inteligência contra ameaças aplicada, como "Violação ativa", "Alta" ou "Média".

Dispositivos e tipos de registro compatíveis

Essas regras dependem principalmente dos Registros de auditoria do Cloud, dos registros de detecção e resposta de endpoint e dos registros de proxy de rede. O UDM do Google SecOps normaliza automaticamente essas fontes de registro. As categorias a seguir descrevem as fontes de registro mais importantes necessárias para que o conteúdo composto selecionado funcione de maneira eficaz:

Fontes de registro de regras compostas de endpoint

Google Cloud fontes de registro de regras compostas

Google Cloud e origens de registro de regras de endpoint

Para uma lista completa das detecções especializadas disponíveis, consulte Usar detecções especializadas. Entre em contato com seu representante do Google SecOps se precisar ativar as fontes de detecção usando um mecanismo diferente.

O Google SecOps fornece analisadores padrão que analisam e normalizam registros brutos para criar registros de UDM com dados exigidos por conjuntos de regras de detecção compostos e selecionados. Para uma lista de todas as fontes de dados compatíveis com o Google SecOps, consulte Analisadores padrão compatíveis.

Modificar regras em um conjunto de regras

É possível personalizar o comportamento das regras em um conjunto de regras para atender às necessidades da sua organização. Ajuste como cada regra opera selecionando um dos seguintes modos de detecção e configure se as regras geram alertas.

  • Ampla: detecta comportamentos potencialmente maliciosos ou anômalos, mas pode produzir mais falsos positivos devido à natureza geral da regra.

Para modificar as configurações, faça o seguinte:

  1. Na lista de regras, marque a caixa de seleção ao lado de cada regra que você quer modificar.

  2. Defina as configurações de Status e Alerta para as regras da seguinte maneira:

    • Status: aplica o modo (Preciso ou Amplo) à regra selecionada. Defina como Enabled para ativar o status da regra para o modo.

    • Alertas: controla se a regra gera um alerta na página Alertas. Defina como Ativado para ativar os alertas.

Ajustar alertas de conjuntos de regras

É possível reduzir o número de alertas gerados por um conjunto de regras aplicando exclusões de regras às regras selecionadas fundamentais. Não aplique uma exclusão de regra diretamente a uma regra composta.

Uma exclusão de regra especifica critérios que impedem que eventos correspondentes acionem detecções em uma regra ou conjunto de regras selecionado. Para mais informações, consulte Configurar a supressão de alertas.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.