운영 워크플로에 직접 맞게 문서 탐색 구조가 재구성되었습니다. 자세한 내용은 출시 노트 및 둘러보기 동영상을 참고하세요.

Google은 AI 기술을 사용하여 콘텐츠를 사용자의 기본 언어로 번역합니다. AI 번역에는 오류가 있을 수 있습니다.

복합 감지 개요

다음에서 지원:

Google secops SIEM

이 문서에서는 복합 감지와 여러 규칙의 출력을 상호 연결하여 위협 감지 워크플로를 개선하는 방법을 소개합니다.

복합 감지는 다른 규칙의 감지를 입력으로 사용하는 규칙에 의해 생성되며 이벤트, 측정항목 또는 항목 위험 신호와 결합됩니다. 이러한 규칙은 이벤트, 측정항목 또는 항목 위험 신호와 결합되어 개별 규칙이 놓칠 수 있는 복잡한 다단계 위협을 감지합니다.

복합 감지는 정의된 규칙 상호작용 및 트리거를 통해 이벤트를 분석하는 데 도움이 됩니다. 이를 통해 정확성이 개선되고 거짓양성이 줄어들며 다양한 소스와 공격 단계의 데이터를 상호 연결하여 보안 위협에 대한 포괄적인 뷰를 제공합니다.

다음 개념은 복합 규칙의 빌딩 블록을 정의하고 감지 워크플로 내에서 작동하는 방식을 명확히 합니다.

복합 규칙: 감지 또는 알림 (또는 둘 다)을 입력으로 사용합니다. 선택적으로 항목 그래프의 이벤트, 측정항목, 광범위한 컨텍스트 데이터(예: 발생률 데이터, 위협 인텔리전스 또는 항목 위험 점수)로 보강합니다. 이러한 규칙에는 항상 일치 섹션이 있어야 하며 입력 규칙의 메타 필드, match 변수, outcome 변수를 참조할 수 있습니다.
감지: 규칙의 조건이 충족될 때 생성되는 출력입니다.
감지 전용 규칙: 감지 또는 알림만 입력으로 사용하는 복합 규칙입니다.

복합 감지를 사용해야 하는 경우

복합 감지는 다음과 같은 목표를 달성하는 데 유용할 수 있습니다.

두 개 이상의 규칙의 결과를 상호 연결합니다 (예: 멀웨어 다운로드 감지를 동일한 호스트의 후속 C2 비콘 알림과 연결).
관련 이벤트 데이터로 알림을 보강합니다.
노이즈가 많은 낮은 신뢰도의 감지가 여러 번 발생하거나 다른 의심스러운 활동과 결합될 때만 최종 알림을 트리거하여 알림 피로를 줄입니다.
각 단계가 이미 자체 규칙으로 식별된 복잡한 다단계 공격에 대한 알림을 빌드합니다.

복합 감지의 이점

복합 감지에는 다음과 같은 이점이 있습니다.

다단계 공격 마스크 해제: 사이버 공격은 종종 다면적이고 상호 연결되어 있습니다. 복합 감지는 겉보기에 격리된 보안 이벤트를 연결하여 더 광범위한 공격 내러티브를 보여줍니다. 예를 들어 복합 감지는 초기 침해 후 권한 에스컬레이션 및 데이터 무단 반출과 같은 공격의 전체 시퀀스를 식별할 수 있습니다.
알림 피로 완화: 복합 규칙은 노이즈가 많은 알림을 통합하고 필터링하여 더 집중적인 대응을 지원합니다. 이 접근 방식은 영향이 큰 사고의 우선순위를 지정하고 전반적인 알림 피로를 줄이는 데 도움이 됩니다.
감지 정확성 향상: 통합 데이터 모델 (UDM) 이벤트, 규칙 감지, 항목 컨텍스트, 사용자 및 항목 동작 분석 (UEBA) 발견 항목, 데이터 테이블의 통계를 결합하여 더 정확한 감지 로직을 빌드합니다.
복잡한 로직 간소화: 복잡한 감지 시나리오를 관리 가능하고 상호 연결되며 재사용 가능한 규칙으로 세분화하여 개발 및 유지보수를 간소화합니다.
대시보드에서 사용: 복합 감지를 Google SecOps 대시보드의 데이터 소스로 원활하게 통합합니다. 이를 사용하여 다단계 공격 패턴을 요약하는 시각화를 만들어 복잡한 위험을 더 쉽게 이해할 수 있습니다.

일반적인 사용 사례

이 섹션에서는 복합 감지의 몇 가지 일반적인 사용 사례를 나열합니다.

원시 이벤트의 컨텍스트로 감지 보강

이 사용 사례에서는 한 시스템의 상위 수준 알림을 다른 시스템의 이벤트 로그와 연결합니다.

목표: 상위 수준 알림을 발생시킨 특정 로컬 작업을 식별합니다.
예:
1. 워크로드가 악성 도메인에 DNS 호출을 했기 때문에 Google Cloud Event Threat Detection에서 알림이 발생합니다. 이것이 감지 입니다.
2. 이 감지에 의해 복합 규칙이 트리거됩니다.
3. 그런 다음 규칙은 1분 이내에 동일한 워크로드에서 동일한 악성 도메인이 포함된 명령줄 작업을 찾기 위해 원시 엔드포인트 탐지 및 대응 (EDR) 로그(이벤트)를 검색합니다.
최종 알림은 풍부한 컨텍스트를 제공합니다. 악성 도메인이 연락되었고 사용된 특정 ssh 명령어를 보여줍니다. 이 정보는 결과를 원래 감지보다 훨씬 더 실행 가능하게 만듭니다.

로그인 후 사용자 활동 추적

사용자의 로그인 이벤트를 후속 의심스러운 활동과 연결하는 데 중점을 둔 기본 사용 사례입니다. 표준 다중 이벤트 규칙은 짧은 시퀀스를 추적할 수 있지만 복합 감지는 사용자의 전체 세션에 대한 포괄적인 위험 프로필을 빌드하는 데 더 적합합니다.

목표: 위험도가 높은 로그인과 같은 단일 이벤트를 하루 종일과 같이 더 긴 기간에 걸쳐 광범위한 후속 '약한 신호' 활동과 상호 연결합니다.
예: 하위 수준 감지를 생성하는 여러 규칙을 만듭니다. 그런 다음 긴 일치 기간 (예: 24시간)이 있는 복합 규칙을 사용하여 초기 의심스러운 로그인을 트리거하고 동일한 사용자의 다음 감지와 상호 연결합니다.
- 사용자가 명령줄 기록을 지웁니다.
- 새 로컬 관리자 계정을 만듭니다.
- 개인 Cloud Storage 사이트에 대용량 데이터를 업로드합니다.

UEBA 측정항목과 결합

이 사용 사례에서는 기존 UEBA 측정항목을 복합 감지의 시작점으로 활용하여 더 복잡하고 장기적인 동작을 찾습니다.

목표: UEBA 측정항목의 급증을 다른 비정상적인 활동과 상호 연결합니다.
예:
1. UEBA 규칙이 사용자의 로그인 실패 횟수가 과도함을 감지합니다.
2. 다른 UEBA 규칙이 동일한 사용자의 이그레스 바이트 수가 많음을 감지합니다.
3. 복합 감지는 며칠 동안 이러한 두 가지 별도의 UEBA 발견 항목을 연결하여 데이터 도난에 따른 잠재적인 계정 침해를 식별합니다.

데이터 무단 반출 시도 감지

여기에는 결합되었을 때 데이터 무단 반출 시도를 나타낼 수 있는 여러 개의 고유한 사용자 작업을 상호 연결하는 것이 포함됩니다.

목표: 여러 기기 및 작업에서 단일 사용자의 위험한 데이터 처리 프로필을 빌드합니다.
상호 연결된 작업:
- 여러 기기에서 로그인합니다 (예: 집과 직장 컴퓨터).
- 평소보다 많은 데이터 소스에 액세스합니다.
- 데이터를 동시에 다운로드, 인쇄, 이메일로 전송합니다.
- 사용자가 일정 기간 내에 터치하는 기밀 문서 수를 계산합니다.
- 사직서를 제출했습니다.

다단계 멀웨어 감지

이 사용 사례에서는 일치 기간이 짧은 단일 규칙으로 포착하기 어려운 장기간에 걸쳐 느리게 작동하는 멀웨어를 식별합니다.

목표: 초기 감염 벡터를 후속 악의적 작업과 연결합니다(몇 시간 또는 며칠 간격이 있더라도).
예:
1. 사용자가 악성 웹사이트를 방문합니다 (초기 네트워크 이벤트).
2. '드롭퍼 파일'이 다운로드되고 실행됩니다 (첫 번째 프로세스 이벤트).
3. 훨씬 나중에 드롭퍼 파일이 다른 실행 파일을 다운로드하고 실행합니다(두 번째 프로세스 이벤트).
이렇게 하려면 복합 감지가 제공할 수 있는 상위 및 하위 프로세스를 연결하는 긴 match 기간이 필요합니다.

알림 소음 감소

이 사용 사례에서는 너무 '노이즈가 많은' 감지 또는 자체적으로 너무 많은 거짓양성을 생성하는 감지를 관리합니다.

목표: 노이즈가 많은 규칙을 사용 중지하거나 복잡한 제외 항목을 만들지 않고 개선합니다.
예:
1. 노이즈가 많은 선별된 감지를 '감지 전용'으로 설정하여 더 이상 알림을 생성하지 않도록 합니다.
2. 해당 선별된 규칙의 출력을 첫 번째 조건으로 사용하는 복합 감지를 만듭니다.
3. 두 번째 조건을 추가하여 추가 자격을 제공합니다(예: '이 감지가 동일한 사용자에게 1시간에 5번 발생한 경우에만 알림' 또는 다른 규칙의 감지와 결합된 경우).

복합 감지 작동 방식

규칙이 사전 정의된 조건을 충족하면 감지를 생성합니다. 이러한 감지에는 특정 데이터 또는 이벤트 상태를 캡처하는 결과 변수가 선택적으로 포함될 수 있습니다.

복합 규칙은 다른 규칙의 이러한 감지를 입력의 일부로 사용합니다. 평가는 원래 규칙의 메타 섹션, 결과 변수, 일치 변수의 정보를 기반으로 할 수 있습니다.

이 평가를 기반으로 복합 규칙을 사용하여 조사를 위한 중간 표현으로 사용되고 후속 규칙으로 알림을 제공하는 새로운 감지를 만들 수 있습니다. 이를 통해 여러 감지의 여러 요소를 상호 연결하여 복잡한 위협을 식별할 수 있습니다.

문법 및 예시에 대한 자세한 내용은 복합 감지 규칙 및 예시를 참조하세요.

전략 정의

복합 규칙을 만들기 전에 새 규칙이 효과적이고 효율적이며 올바른 문제를 해결할 수 있도록 전략을 계획하세요.

현재 감지 전략을 평가합니다. 기존 규칙을 검토하여 노이즈가 너무 많거나, 거짓양성을 많이 생성하거나, 지나치게 복잡하고 관리하기 어려운 규칙을 식별합니다.
복합 규칙이 가치를 제공할 수 있는 특정 시나리오를 결정합니다. 여기에는 다단계 공격 감지, 여러 개의 낮은 신뢰도 알림을 하나의 높은 신뢰도 알림으로 상호 연결, 다른 데이터 소스의 추가 컨텍스트로 감지 보강이 포함됩니다.
평가를 기반으로 구현 계획을 만듭니다. 개선해야 할 노이즈가 많은 규칙, 간소화해야 할 복잡한 규칙, 우선순위를 지정해야 할 새로운 다단계 감지를 결정합니다.

이 정의된 계획은 타겟팅되고 효과적인 복합 규칙을 만들기 위한 로드맵을 제공합니다. 기술적 제약 조건을 관리하면서 복합 감지를 최대한 활용하기 위한 다음과 같은 상위 수준 전략을 고려하세요.

적절한 방식 선택하기

복합 감지를 빌드하기 전에 다른 대안으로 필요한 결과를 얻을 수 있는지 확인합니다. 기존 UEBA 감지로 복잡한 패턴을 식별할 수 있는지 분석합니다. 감지를 지나치게 복잡하게 만들면 유지보수 오버헤드가 증가하고 규칙 할당량이 소모될 수 있습니다.

복합 감지를 사용하는 경우: 목표가 두 개 이상의 서로 다른 기존 규칙의 최종 결과를 상호 연결하는 것입니다. 이렇게 하면 개념적으로 분리된 공격 단계를 연결할 수 있습니다.

예: 멀웨어 다운로드 규칙의 감지를 C2 비콘 감지 규칙의 후속 감지와 상호 연결합니다.
기존 UEBA 감지를 사용하는 경우: 사용자 또는 기기가 정상적인 활동 패턴을 언제 위반하는지 찾으려고 합니다.

예: 사용자가 일반적으로 1GB만 다운로드하는 경우 오늘 100GB의 데이터를 다운로드했음을 자동으로 감지합니다.

규칙 할당량 및 위험 점수 관리

조직의 리소스를 관리하려면 다양한 규칙 유형이 규칙 할당량에 미치는 영향을 이해하세요.

선별된 규칙은 커스텀 규칙 할당량에 포함되지 않습니다.
복합 규칙 및 커스텀 다중 이벤트 규칙은 할당량에 포함됩니다.

선별된 감지를 감지 전용으로 설정하여 사용할 수 있습니다. 이렇게 하면 선별된 규칙이 알림을 생성하지 않고 초기 광범위한 감지를 실행할 수 있습니다. 그런 다음 복합 규칙을 사용하여 이러한 발견 항목에 특정 로직을 적용하여 할당량을 전략적으로 관리하면서 더 많은 가치를 제공할 수 있습니다.

위험과 컨텍스트의 차이점 이해

감지 로직을 설계할 때는 위험을 평가하는 규칙과 컨텍스트를 제공하는 규칙을 구분합니다.

위험은 일련의 활동이 얼마나 위험한지 평가하는 것입니다. 위험을 위해 설계된 규칙은 판단을 내리기 위해 여러 컨텍스트 이벤트 또는 감지를 집계하는 경우가 많습니다. 예를 들어 단일 로그인 실패는 컨텍스트를 제공하지만 로그인 실패 횟수가 많으면 무차별 대입 공격의 위험을 나타냅니다.

컨텍스트는 이벤트를 둘러싼 사실적 세부정보를 나타냅니다. 컨텍스트를 위해 설계된 규칙은 한 이벤트에 다른 이벤트의 세부정보를 추가합니다. 예를 들어 규칙은 성공적인 사용자 로그인을 감지할 수 있지만 컨텍스트 규칙은 이 로그인이 새롭고 비정상적인 국가에서 발생했다는 중요한 컨텍스트를 제공합니다.

예: 초기 감지는 악성 도메인에 대한 DNS 호출과 같은 잠재적 위험을 알려줄 수 있습니다. 그런 다음 복합 규칙은 Google SecOps의 이벤트 로그와 해당 알림을 상호 연결하여 호출을 시작한 특정 명령줄 프로세스를 찾습니다. 이렇게 하면 중요한 실행 가능한 컨텍스트로 상위 수준 위험 알림이 보강됩니다.

긴 일치 기간을 전략적으로 사용

긴 일치 기간 (예: 14일)으로 구성된 복합 규칙은 실행 빈도가 낮습니다. 지연 시간이 길면 시간에 민감한 알림에 적합하지 않을 수 있습니다. 장기간에 걸쳐 느리고 지속적인 적대적 활동을 감지하는 데 이러한 장기 기간을 사용하는 것이 좋습니다.

시각화에 감지 사용

노이즈가 많은 규칙을 관리하는 한 가지 전략은 출력을 대시보드의 시각화로 전환하는 것입니다. 이 접근 방식은 규칙 할당량을 소모하지 않으며 대용량의 낮은 정확도 데이터를 유용한 통계로 전환할 수 있습니다.

규칙을 감지 전용으로 설정한 다음 대시보드 위젯에 감지를 표시하면 개별 알림에 압도되지 않고 추세를 추적하고, 이상점을 식별하고, 활동에 대한 상위 수준 감사 뷰를 얻을 수 있습니다.

예: 개인 식별 정보 데이터 처리 추적

규칙은 사용자가 민감한 개인 식별 정보 데이터를 처리할 때마다 추적합니다. 매번 알림을 보내는 대신 감지 전용으로 설정됩니다. 그러면 대시보드 위젯에 일일 이그레스 한도 (예: 10,000바이트)에 접근하는 사용자가 표시됩니다. 이렇게 하면 지속적인 알림을 생성하지 않고 위험한 동작에 대한 빠른 감사 뷰를 제공할 수 있습니다.

예: 특정 DLP 위험 모니터링:

위젯은 매우 구체적인 DLP 규칙 하위 집합의 위험 점수를 집계합니다. 이를 통해 특정팀 (예: 데이터 손실 방지 (DLP) 관리자)은 관련 위험만 모니터링하고 다른 보안 도메인의 노이즈를 필터링할 수 있습니다.

복합 감지 빌드

다음 워크플로는 복합 규칙을 만드는 일반적인 여정을 간략히 보여줍니다. 문법 및 예시에 대한 자세한 내용은 복합 감지 규칙 및 예시를 참조하세요.

위협 시나리오 정의: 감지하려는 특정 위협을 정의합니다.
입력 규칙 만들기 또는 식별: 위협 시나리오의 각 단계에서 특정 활동을 감지하는 입력 규칙을 만들거나 식별합니다.
조인 조건 정의: 규칙 라벨, 변수, 감지 필드와 같이 입력 규칙의 감지를 연결하는 공통 정보 를 결정합니다.
복합 규칙 빌드: 입력 규칙의 감지를 수집하는 규칙을 작성합니다.
- 이름, ID 또는 공유 메타 라벨로 입력 규칙을 참조하여 events 섹션을 정의합니다.
- match 섹션을 정의하여 조인 키와 일치 기간을 지정합니다.
- condition 섹션을 정의하여 최종 알림이 발생하기 위해 충족해야 하는 조건을 설정합니다.
규칙 체인 테스트 및 배포: 시퀀스의 각 규칙에 대해 수동으로 레트로헌트를 실행하는 것이 좋습니다.

복합 규칙에서 규칙 테스트 기능을 사용하면 규칙의 입력 기준과 일치하는 기존 감지에 대해서만 실행됩니다. 테스트를 위한 새 입력을 생성하기 위해 기본 규칙을 자동으로 실행하지 않으므로 단일 작업으로 전체 규칙 체인의 유효성을 검사할 수 없습니다.

규칙 시퀀스에 대해 레트로헌트를 실행하려면 다음 단계를 따르세요.
1. 시퀀스의 첫 번째 규칙에서 레트로헌트를 수동으로 시작합니다.
2. 완료될 때까지 기다립니다.
3. 다음 규칙으로 계속 진행합니다.
도움말: 테스트할 때 이전 감지 결과가 실수로 일치하지 않도록 하려면 복합 체인 내의 각 규칙에 고유한 meta: label을 추가하는 것이 좋습니다.

예: 다음 규칙은 기본 규칙 상호 연결 템플릿을 제공합니다.


rule Basic_Rule_Correlation_Template {
    
    meta:
    description = "Triggers when a user triggers two different rules within X days"

    events: 
    // 1. Identify the first sub-rule detection
    $d1.metadata.event_type = "DETECTION" $d1.metadata.rule_name = "INSERT_RULE_NAME_A_HERE" $user = [REDACTED_GENERIC_ID]

    // 2. Identify the second sub-rule detection
    $d2.metadata.event_type = "DETECTION"
    $d2.metadata.rule_name = "INSERT_RULE_NAME_B_HERE"
    $user = [REDACTED_GENERIC_ID]
    match: 
    // 3. Connect the rules by the same user over the specified window
    $user over 14d
    condition: 
    // 4. Fire when both conditions have occurred
    $d1 and $d2
}

예 : 다음 규칙은 이벤트 감지 규칙 및 이벤트 그래프로 선별된 감지를 확인하고 일부 고급 YARA-L 함수 및 변수 정의를 사용합니다.


rule CheckCuratedDetection_with_EDR_and_EG {

  meta:
    author = "noone@cymbal.com"

  events:

    $d.detection.detection.rule_name = /SCC: Custom Modules: Configurable Bad Domain/
    $d.detection.collection_elements.references.event.network.dns.questions.name = $domain
    $d.detection.collection_elements.references.event.principal.asset.hostname = $hostname

    $e.metadata.log_type = "LIMACHARLIE_EDR"
    $e.metadata.product_event_type = "NETWORK_CONNECTIONS"
    $domain = re.capture($e.principal.process.command_line, "\\s([a-zA-Z0-9.-]+\\.[a-zA-Z0-9.-]+)$")
    $hostname = re.capture($e.principal.hostname, "([^.]*)")

    $prevalence.graph.metadata.entity_type = "DOMAIN_NAME"
    $prevalence.graph.metadata.source_type = "DERIVED_CONTEXT"
    $prevalence.graph.entity.hostname = $domain
    $prevalence.graph.entity.domain.prevalence.day_count = 10
    $prevalence.graph.entity.domain.prevalence.rolling_max <= 5
    $prevalence.graph.entity.domain.prevalence.rolling_max > 0

  match:
    $hostname over 1h

  outcome:
    $risk_score = 80
    $CL_target = array($domain)

  condition:
    $e and $d and $prevalence

}

복합 감지 발견 항목 보기

감지 결과 감지 페이지에서 복합 감지 결과를 볼 수 있습니다. 입력 열에 감지가 소스로 표시되고 감지 유형 열에 옆에 숫자가 있는 알림 라벨 (예: Alert (3))이 표시되면 알림은 복합 감지입니다.

참고: SIEM과 SOAR가 모두 있는 경우 결과를 볼 수도 있습니다. 케이스 탭에서

복합 감지 최적화

복합 규칙을 빌드할 때는 다음 권장사항을 따르는 것이 좋습니다.

지연 시간 최적화

감지 파이프라인의 지연 시간을 최소화하려면 초기 트리거와 같이 가능한 경우 단일 이벤트 규칙을 사용하세요. 복합 규칙은 감지를 사용하여 다른 이벤트, 항목 또는 감지와 더 복잡한 상호 연결을 실행할 수 있으므로 전반적인 지연 시간을 줄이는 데 도움이 됩니다.

효율적인 방법으로 감지 조인

결과 변수, 메타 라벨, 일치 변수를 사용하여 감지를 조인하는 것이 좋습니다. 이러한 방법은 이벤트 샘플을 사용하는 것보다 더 결정적이고 신뢰할 수 있는 결과를 제공합니다. 메타 라벨은 복합 규칙이 해당 라벨이 있는 감지를 타겟팅할 수 있도록 규칙을 분류할 수 있으므로 특히 유연합니다.

예를 들어 여러 규칙이 동일한 메타 라벨 tactic: exfiltration을 공유하는 경우 전술 라벨의 값이 exfiltration인 감지를 타겟팅하는 복합 규칙을 사용할 수 있습니다.

복합 감지에서 조인 변수와 함께 nocase를 사용하면 다음과 같은 의미 분석 오류가 발생할 수 있습니다.

semantic analysis: match variable <variable_name> is not assigned to an event field.

복합 감지에서 첫 번째 변수 할당 (예: $username = $fact1...) 은 을 사용할 때 대소문자 구분 여부를 포함하여 변수의 속성을 정의합니다.nocase 동일한 조인 변수의 후속 변수 할당에 nocase를 적용하면 (예: $username = $fact2...) 컴파일러에서 충돌하는 재정의 또는 중복 제약 조건으로 해석되어 의미 오류가 발생합니다.

함수 라이브러리로 감지 개선

복합 규칙 내의 전략적 지점에서 YARA-L 함수 라이브러리를 사용하여 신호를 늘리고 더 복잡한 로직을 추가할 수 있습니다.

규칙 업데이트 관리

하나 이상의 복합 규칙에서 사용되는 규칙을 업데이트하면 시스템에서 규칙의 새 버전을 자동으로 만듭니다. 복합 규칙은 새 버전을 자동으로 사용합니다. 의도한 동작을 확인하려면 업데이트된 전체 규칙 시퀀스를 테스트하는 것이 좋습니다.

제한사항

복합 감지를 설계하고 구현할 때는 다음 제한사항을 고려하세요.

제외 항목: UDM 필드 제외 항목은 원시 이벤트에 대해 평가됩니다. 복합 규칙에서 특정 UDM 값을 제외하려면 복합 규칙에 직접 제외 항목을 적용할 수 없습니다. 대신 기본 기본 규칙에 제외 항목을 적용해야 합니다. 자세한 내용은 규칙 제외 항목 구성을 참조하세요.
SOAR 케이스 데이터 가용성: 복합 감지는 모든 SOAR 케이스 데이터에 액세스할 수 없습니다. 상태를 기반으로 케이스를 필터링하거나 제외하려고 시도하는 규칙 로직 (예: $edetection.feedback_summary.status != "CLOSED")은 지원되지 않습니다.
복합 규칙: Google SecOps는 복합 규칙의 최대 깊이를 10으로 지원합니다. 깊이는 기본 규칙에서 최종 복합 규칙까지의 규칙 수입니다.
감지 전용 규칙: 최대 일치 기간은 14일이며 규칙당 일일 감지 한도는 10,000개입니다.
결과 변수: 각 규칙은 최대 20개의 결과 변수로 제한됩니다. 또한 반복되는 각 결과 변수는 25개의 값으로 제한됩니다.
이벤트 샘플: 규칙의 이벤트 변수당 10개의 이벤트 샘플만 저장됩니다(예: $e1의 경우 10개, $e2의 경우 10개).

감지 한도에 대한 자세한 내용은 감지 한도를 참조하세요.

다음 단계

복합 감지 규칙을 빌드하는 방법에 대한 자세한 내용은 복합 감지 규칙 및 예시를 참조하세요.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.