检测限制参考

支持的环境：

Google SecOps SIEM

Google Security Operations 在规则检测方面有以下限制：

• 每个规则版本每天最多只能进行 10,000 次检测。此限制将在世界协调时间 (UTC) 午夜重置。

  例如，某个规则版本在 1 月 1 日世界协调时间 (UTC) 下午 3 点之前可能会生成 9,900 次检测。如果系统记录了 1 月 1 日的所有这些检测，则当天只会再生成 100 次检测。在 1 月 2 日，该规则版本可以生成 10,000 次新的检测。

• 如果规则版本已更新，则限制会重置，并且该规则可以在当天再次生成 10,000 次检测。

  例如，如果某个规则版本在 1 月 1 日世界协调时间 (UTC) 下午 3 点之前生成了 9,900 次检测，并且所有这些检测的检测时间都是 1 月 1 日，则当天只会再生成 100 次检测。如果规则版本在 1 月 1 日下午 4 点更新，则该规则版本可以生成 10,000 次检测，检测时间为 1 月 1 日，直到当天结束。在 1 月 2 日，该规则版本可以再生成 10,000 次新的检测。

• 规则信息中心 最多可以显示 50 MB 的检测数据。如果检测的总大小超过此限制，界面会显示一条消息，指明数据不完整。这意味着系统生成的检测次数超过了界面可以显示的次数，但检测仍然存在，不会丢失。

• 更新参考列表后运行回溯搜索不会重置现有检测限制或生成新的检测限制。如果已达到现有检测限制，则不会生成新的检测。

• 回溯搜索限制：

  • 每个 Google SecOps 实例或租户最多可以同时运行 3 个回溯搜索作业。
  • 所有规则的文本总大小不得超过 1 MB。
  • 如果您并行运行多个回溯搜索，系统会从同一 Google SecOps 实例分配 资源。这可能会导致性能下降或作业完成延迟。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。