Mengoptimalkan performa aturan

Didukung di:

Dokumen ini menjelaskan cara mengoptimalkan performa deteksi dan pelaporan.

Total latensi deteksi

Untuk pusat operasi keamanan (SOC), total waktu rata-rata untuk mendeteksi (MTTD) adalah jumlah penundaan waktu di seluruh pipeline keamanan. Untuk mengukur dan mengurangi MTTD secara akurat, Anda harus melacak tiga komponen utama:

Latensi penyerapan log (pembuatan log hingga penyerapan data)

Latensi penyerapan log adalah waktu yang berlalu antara saat peristiwa keamanan terjadi di sistem sumber (metadata.event_timestamp) dan saat log berhasil diserap dan diuraikan di Google Security Operations (metadata.ingested_time).

Faktor kontribusi:

  • Masalah collector atau forwarder (misalnya, backlog atau throttling jaringan).
  • Masalah penguraian sumber log (misalnya, penundaan dalam normalisasi UDM).

Untuk mengurangi latensi penyerapan log, lakukan hal berikut:

  • Pantau kondisi sumber log dan optimalkan konfigurasi pengumpul atau penerus.
  • Untuk memantau delta, di YARA-L atau Data Lake, bandingkan stempel waktu UDM—metadata.ingested_timestamp dengan metadata.event_timestamp.

Latensi pemrosesan aturan (penyerapan data hingga pembuatan deteksi)

Latensi pemrosesan aturan adalah waktu yang berlalu antara penyerapan data dan saat mesin deteksi berhasil membuat pemberitahuan (detection.creation_time). Komponen ini sangat terpengaruh oleh konfigurasi aturan YARA-L Anda.

Faktor kontribusi:

  • Frekuensi menjalankan aturan: Hampir real-time (latensi terendah), 10 menit, 1 jam, atau match_window / 10 (untuk periode pencocokan lebih dari 48 jam). Untuk mengetahui informasi selengkapnya, lihat Memahami penjadwalan menjalankan aturan.
  • Jenis dan kompleksitas aturan: aturan multi-peristiwa memerlukan periode pencocokan untuk memprosesnya sepenuhnya, yang menimbulkan latensi bawaan. Aturan gabungan yang mengandalkan deteksi non-real-time lainnya juga menyebabkan penundaan. Untuk mengetahui informasi selengkapnya, lihat Deteksi gabungan.

Untuk mengurangi latensi pemrosesan aturan, lakukan hal berikut:

  • Gunakan aturan peristiwa tunggal yang berjalan hampir real-time jika memungkinkan.
  • Untuk aturan multi-peristiwa, tetapkan ukuran periode terkecil yang memungkinkan.

Untuk mengetahui informasi selengkapnya, lihat Contoh kueri YARA-L 2.0 untuk Dasbor.

Aturan YARA-L untuk memantau latensi pemrosesan aturan

Aturan YARA-L berikut mengidentifikasi instance saat delta antara waktu log diserap dan waktu deteksi dibuat melebihi nilai minimum tertentu. Gunakan aturan ini untuk mengidentifikasi bottleneck performa dalam pipeline deteksi Anda.

Deploy aturan ini di lingkungan pengujian Anda untuk membuat baseline sumber log.

Anda dapat mengekspor hasil ini ke dasbor untuk memvisualisasikan tren latensi di berbagai jenis log.

Aturan ini membandingkan metadata.event_timestamp (saat aktivitas terjadi) dengan metadata.ingested_time (saat Google SecOps menerima log). 

rule rule_processing_latency_monitor {
  meta:
    author = "SecOps Engineering"
    description = "Alerts when the gap between ingestion and detection creation is greater than 15 minutes."
    severity = "Low"

  events:
    $event.metadata.event_timestamp.seconds = $event_ts
    $event.metadata.ingested_time.seconds = $ingest_ts
    
    // Calculate the delta in seconds
    $latency_delta = $ingest_ts - $event_ts

    // Threshold: 900 seconds (15 minutes)
    $latency_delta > 900

  match:
    $event.metadata.log_type over 1h

  outcome:
    $max_latency = max($latency_delta)
    $log_source = array_distinct($event.metadata.log_type)

  condition:
    $event
}

Latensi konfirmasi kasus (pembuatan deteksi hingga penetapan analis)

Bagian ini tidak relevan bagi pelanggan yang menggunakan platform mandiri Google SecOps SIEM.

Latensi konfirmasi kasus adalah waktu yang berlalu antara deteksi yang membuat pemberitahuan dan pemberitahuan yang dikonfirmasi oleh analis untuk triase di komponen SOAR.

Metrik waktu rata-rata untuk mengonfirmasi (MTTA) secara khusus melacak efisiensi tim SOC dalam merespons pemberitahuan yang dibuat.

  • Untuk mengurangi latensi konfirmasi kasus, optimalkan perutean, penyesuaian, dan otomatisasi pemberitahuan (misalnya, menggunakan playbook untuk penetapan atau pengayaan otomatis) guna memindahkan pemberitahuan dengan cepat ke tahap triase.

Langkah berikutnya

  • Untuk mempelajari cara pemutaran ulang aturan (juga disebut pembersihan yang dijalankan) mengelola data dan pembaruan konteks yang terlambat tiba, serta pengaruhnya terhadap metrik MTTD, lihat Memahami pemutaran ulang aturan dan MTTD.
  • Untuk mempelajari lebih lanjut penundaan deteksi aturan di Google SecOps, faktor kontribusi, pemecahan masalah, dan teknik untuk mengurangi penundaan, lihat Memahami penundaan deteksi aturan.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.