管理丰富化模块
本文档介绍了丰富化块如何让您精细控制数据丰富化流程。默认丰富流程会使用来自不同来源的情境数据，分析这些数据，并根据内部逻辑覆盖统一数据模型 (UDM) 字段数据。默认流程通常会按预期运行。不过，在某些情况下，覆盖 UDM 字段数据会导致意外行为，例如不当触发检测引擎规则。
配置和查看丰富化块
只有拥有 Chronicle 管理员和编辑者权限的 Google Security Operations 用户才能配置信息增补块；所有 Google SecOps 用户都可以查看信息增补块界面。
丰富化屏蔽规则的基本配置需要三个连续参数：丰富化类型、目标日志类型和来源。目标日志类型的可用选项取决于所选的丰富类型，而来源的可用选项取决于所选的目标日志类型。
您无法删除丰富内容块。
丰富化屏蔽规则可以启用、停用和重新启用。
丰富功能块对话框包含已启用的功能块标签页和已停用的功能块标签页。这两个标签页中的表格都会显示屏蔽规则的基本配置参数、上次启用屏蔽规则的 UTC 日期，以及用户指定的屏蔽原因（可选）。已停用的屏蔽设置标签页中的表格包含屏蔽设置停用时的世界协调时间 (UTC) 日期。
修订了丰富化屏蔽时间逻辑
富化块的状态更改会在 5-10 分钟内生效。
启用或停用屏蔽设置的主要影响是其同步开始时间：
启用屏蔽（去丰富化）：Google SecOps 会从当前日期的 00:00:00 UTC 开始，对所有关联字段进行去丰富化，并持续执行此操作。
停用屏蔽规则（重新丰富化）：Google SecOps 会从当前日期的世界协调时间 (UTC) 00:00:00 开始重新丰富化所有关联字段，并持续进行丰富化。
示例：在 9 月 16 日星期二 23:59:59 UTC，您启用了丰富功能屏蔽设置。Google SecOps 将从世界协调时间 (UTC) 9 月 16 日星期二 0:00:00 起，取消丰富所有关联的丰富化字段，并继续实施丰富化屏蔽规则。9 月 17 日（星期三）09:00:00（世界协调时间），您停用了丰富化屏蔽规则。Google SecOps 会从世界协调时间 (UTC) 9 月 17 日星期三 0:00:00 开始重新丰富所有关联字段，并继续丰富所有相关数据。
创建并启用富化块
如需创建并启用富化块，请执行以下操作：
- 前往设置 > 检测 > 丰富化块。
配置以下内容：
从丰富类型列表中，选择以下选项之一：
- 所有类型。适用于列表中的所有项，该列表根据 Google SecOps 提取的数据和日志类型进行填充。
- Asset。如果不在丰富块中，此选项会执行以下操作：
- 提取
hostname、asset_id、mac、ip（如果asset_id为空）等字段。 - 丰富
Noun中包含Asset下任何内容（例如hostname、asset_id、mac或ip）的字段。 - 使用丰富化来源，例如
DHCP和Asset Context（例如Tanium Asset或CrowdStrike）。
- 提取
- GeoIP。如果不在丰富块中，此选项会执行以下操作：
- 提取字段，例如
ip（如果它是公开的或可路由的）。 - 扩充包含
artifact.ip、artifact.location、artifact.network、location的字段。 - 使用来自 Google GeoIP 服务的丰富来源。
- 提取字段，例如
- Google Threat Intel。如果不在丰富块中，此选项会执行以下操作：
- 提取相关字段。
- 丰富
File或process.file字段。 - 使用来自 VirusTotal 文件元数据的丰富化来源。
- 流程。如果不在丰富块中，此选项会执行以下操作：
- 提取字段，例如
process.product_specific_process_id。 - 丰富字段，包括
Process下的所有内容。 - 使用 EDR 日志（例如来自 CrowdStrike 或 SentinelOne 的日志）等丰富来源。
- 提取字段，例如
- 用户。如果不在丰富块中，此选项会执行以下操作：
- 提取
user.email_addresses、user.userid、user.windows_sid、user.employee_id、user.product_object_id等字段。 - 丰富包含
User下任何内容的字段。 - 使用丰富来源，例如用户上下文日志（例如，来自 Workday 或 Windows AD）。
- 提取
从目标日志类型列表中，选择所需选项，具体取决于所选的丰富类型。示例选项包括所有类型、Windows_Sysmon、CB_EDR 和 BRO_JSON。
从来源列表中，选择所需选项。可用选项取决于所选的目标日志类型。示例选项包括所有类型、INFOBLOX_DHCP、WINDOWS_AD 和 VIRUSTOTAL_FILE_METADATA。
点击启用屏蔽，打开启用屏蔽对话框，并显示前面步骤中的配置。
可选：在屏蔽原因字段中，输入屏蔽该数据补全的原因。
查看信息后，点击启用屏蔽。启用的区块表会显示已启用的丰富区块对应的行。
大约 5-10 分钟后，Google SecOps 会从当前日期世界协调时间 (UTC) 0:00:00 开始实施丰富化屏蔽规则（即取消丰富化所有关联的丰富化字段）。在此时间之后，我们建议您验证结果是否符合预期。
停用丰富功能块
如需停用富化块，请执行以下操作：
- 前往设置 > 检测 > 丰富化块。
- 在已启用的屏蔽设置标签页中，找到相应丰富化屏蔽设置，点击该行中的 更多，然后选择停用屏蔽设置。此时会打开一个确认对话框。
查看相关信息，然后点击停用屏蔽。已停用的屏蔽设置表格会显示已停用的丰富屏蔽设置对应的行，并且已启用的屏蔽设置表格中会移除相应的行。
大约 5-10 分钟后，Google SecOps 会从当前日期世界协调时间 (UTC) 0:00:00 开始重新丰富所有关联字段。在此时间之后，我们建议您验证结果是否符合预期。
重新启用丰富化屏蔽规则
如需重新启用丰富化屏蔽规则，请执行以下操作：
- 前往设置 > 检测 > 丰富化块。
- 在已停用的屏蔽标签页中，找到相应丰富化屏蔽，点击该行中的 更多，然后选择启用屏蔽。此时会打开一个确认对话框。
查看相关信息，然后点击启用屏蔽。已启用的屏蔽设置表格会显示一行，对应重新启用的丰富化屏蔽设置，并且已停用的屏蔽设置表格中会移除相应行。
大约 5-10 分钟后，Google SecOps 会从当前日期世界协调时间 (UTC) 0:00:00 开始实施丰富化屏蔽规则（即取消丰富化所有关联的丰富化字段）。在此时间之后，我们建议您验证结果是否符合预期。
丰富化块的工作流示例
此工作流演示了如何使用丰富块来解决因不必要的数据覆盖而错误触发的规则：