Configurare la soppressione degli avvisi

Supportato in:

Google secops SIEM

Questo documento descrive i meccanismi disponibili in Google Security Operations per sopprimere gli avvisi che generano rumore e dare la priorità alle minacce critiche. La soppressione degli avvisi filtra automaticamente gli avvisi duplicati e di basso valore in base a criteri predefiniti. Questa soppressione consente al team SOC di concentrarsi sugli incidenti di sicurezza ad alta priorità.

Puoi utilizzare la soppressione degli avvisi per gestire il volume generato da vari trigger, ad esempio avvisi duplicati dalla stessa attività sottostante, falsi positivi derivanti da sistemi configurati in modo errato, logica di regole generali che si attiva su attività note e benigne o finestre di manutenzione pianificate.

Google SecOps fornisce i seguenti metodi per gestire il volume degli avvisi:

• Limitazione: sopprime i rilevamenti ripetitivi della stessa attività per un intervallo di tempo definito (ad esempio, 1 ora) dopo l'attivazione dell'avviso iniziale.

• Esclusioni: un'esclusione impedisce rilevamenti specifici filtrando le corrispondenze prima che attivino un avviso. Gli eventi che soddisfano la logica della regola, ma non i criteri di esclusione, attivano normalmente i rilevamenti.

• Playbook SOAR: fornisce la soppressione degli avvisi con limiti di tempo in base a ricerche di entità specifiche, come indirizzi IP o nomi host.

• Raggruppamento degli avvisi SOAR: raggruppa automaticamente gli avvisi simili in un singolo caso in base ai tuoi criteri per semplificare le indagini.

Sopprimere gli avvisi tramite la limitazione

La limitazione sopprime i rilevamenti per una durata specificata dopo una corrispondenza iniziale della regola. Quando utilizzi le opzioni suppression_window e suppression_key nella logica della regola, il sistema genera un rilevamento solo per la prima combinazione univoca della chiave di soppressione. Google SecOps sopprime tutte le corrispondenze successive per la stessa combinazione fino alla scadenza della finestra definita.

Nota: per le regole multi-evento e single-evento con finestra (WSE), non è necessario specificare una suppression_key. Le variabili di corrispondenza definite nella regola vengono utilizzate per i criteri di soppressione.

Questo metodo riduce efficacemente i rilevamenti duplicati causati dalla stessa attività sottostante.

Casi d'uso

• Esecuzione di PowerShell: sopprime gli avvisi ripetitivi per lo stesso utente e host per un'ora dopo l'evento iniziale.

• Scansione di rete: sopprime gli avvisi ripetitivi da uno scanner di porte dannoso per sei ore dopo il primo rilevamento.

Monitorare le regole che generano rumore

Per identificare le regole che generano rumore:

1. Accedi a Google SecOps.

2. Fai clic su Menu, seleziona Rilevamento > Regole e rilevamenti.

3. Nella scheda Editor regole , seleziona la regola e fai clic su Test.

4. Modifica il selettore dell'intervallo di tempo per analizzare gli ultimi sette giorni di dati. Se una regola genera più di 100 rilevamenti al giorno, è probabile che sia troppo ampia.

5. Fai clic su Menu e poi su Visualizza rilevamenti delle regole. Viene visualizzata la pagina dei dettagli del rilevamento.

6. Nel riquadro Filtro procedurale, identifica i campi UDM che contribuiscono.

7. Modifica la sezione match o $suppression_key per ridurre il volume dei rilevamenti.

Esempio: identificare gli accessi univoci per località

Per identificare gli accessi univoci per località ed evitare l'affaticamento da avvisi, puoi sopprimere i rilevamenti dallo stesso stato. Cerca il campo UDM event.principal.location.state per visualizzare il conteggio dei rilevamenti per stato.

Se un determinato stato mostra un conteggio eccessivamente elevato, aggiungi il campo alla chiave suppression o match. In questo modo, il sistema attiva un solo rilevamento per ogni località di accesso univoca.

Configurare la limitazione dei rilevamenti

La limitazione sopprime i rilevamenti per una durata specificata dopo l'attivazione di un avviso iniziale. Per limitare i rilevamenti duplicati, aggiungi una suppression_window alla sezione options della regola. Sono previste le seguenti linee guida:

• Regole per un singolo evento: definisci la variabile $suppression_key nella sezione outcome in modo che funga da chiave di deduplicazione.

• Regole multi-evento: utilizza le variabili nella sezione match come chiave di deduplicazione.

• Durata della finestra: assicurati che suppression_window sia maggiore o uguale alla dimensione della finestra match. Se imposti la stessa durata, la regola si comporta come se non fosse applicata alcuna soppressione.

• Limite: non esiste un limite massimo per la durata della finestra di soppressione.

• Compatibilità: la limitazione si applica alle regole per un singolo evento e multi-evento, nonché alle regole personalizzate e selezionate.

Esempio: monitorare l'attività di condivisione di file di Windows

La seguente regola monitora l'attività di condivisione di file di Windows. Crea un rilevamento per ogni utente e nome host univoco in una finestra di 60 minuti (1hr), quindi sopprime le corrispondenze ripetitive per la stessa combinazione per 24 ore (24h).

rule rule_noisy_winshares {

  meta:
   author = "Google Cloud Security"

  events:
    $e.metadata.event_type = "NETWORK_CONNECTION"
    $e.target.resource.name = /(C|ADMIN|IPC)\$/ nocase
    $user = $e.principal.user.userid
    $hostname = $e.target.hostname

  match:
    $hostname, $user over 1h

  outcome:
    $sharename = array_distinct($e.target.resource.name)

  condition:
    $e

  options:
    suppression_window = 24h
}

Questa configurazione consente agli analisti di esaminare l'attività iniziale senza elaborare avvisi duplicati per lo stesso utente e host durante la finestra di soppressione.

Sopprimere gli avvisi utilizzando le esclusioni delle regole

Un'esclusione impedisce rilevamenti specifici filtrando le corrispondenze prima che attivino un avviso. Se una corrispondenza soddisfa la logica di esclusione, il sistema sopprime il rilevamento. Gli eventi che soddisfano la logica della regola, ma non i criteri di esclusione, continuano ad attivare normalmente i rilevamenti. Una volta applicate, le esclusioni rimangono attive finché non le disattivi manualmente.

Nota: le esclusioni sono disponibili solo per le regole selezionate. Per le regole personalizzate, puoi aggiungere la logica di soppressione direttamente al testo della regola.

Attenzione:le esclusioni dei campi UDM vengono valutate in base agli eventi non elaborati. Se stai tentando di escludere valori UDM specifici da una regola composita (che si attiva in base ad altri rilevamenti anziché a eventi non elaborati), devi applicare l'esclusione alle regole sottostanti fondamentali che alimentano la regola composita.

Per trovare la regola fondamentale:

1. Vai a Hub contenuti nella console Google SecOps.
2. Fai clic sulla scheda Rilevamenti selezionati (o cerca il pacchetto di regole specifico).
3. Individua la regola composita e fai clic su Visualizza e gestisci.
4. Seleziona Definizione regola per visualizzare il codice sorgente YARA-L sottostante.
5. Esamina la sezione events: della logica YARA-L per identificare i nomi delle regole fondamentali.

Puoi visualizzare, gestire e controllare l'elenco completo delle esclusioni e i metadati associati nella scheda Esclusioni della pagina Regole e rilevamenti. Puoi anche utilizzare la funzionalità Testa esclusione per valutare l'impatto di filtri specifici sul volume di rilevamento prima di applicarli.

Per creare esclusioni utilizzando l'API, consulta Gestire l'esclusione delle regole utilizzando l'API.

Casi d'uso

• Sopprimere l'esecuzione legittima di PowerShell da parte di strumenti IT autorizzati.

• Escludere gli scanner di vulnerabilità interni che eseguono scansioni di porte ad alto volume.

Creare esclusioni di regole

Per creare esclusioni per una regola che genera rumore:

1. Accedi a Google SecOps.

2. Vai a Menu > Rilevamento > Regole e rilevamenti.

3. Nella scheda Dashboard regole, cerca le regole con un numero elevato di rilevamenti.

4. Fai clic sul Nome regola per aprire la pagina Rilevamenti.

5. Fai clic su Opzioni regola > Escludi.

6. Specifica questi dettagli per aggiungere il filtro di esclusione:

   • Nome esclusione

   • Regole o set di regole a cui si applica

   • I criteri di esclusione per sopprimere i rilevamenti quando vengono soddisfatte le condizioni specificate. Per aggiungere più condizioni, segui queste linee guida:

     1. Per creare una relazione OR logica, inserisci più valori in una singola riga utilizzando il tasto Invio.

        Ad esempio, principal.ip IS 192.158.1.38 OR principal.ip IS 192.186.0.2

     2. Fai clic su + Istruzione condizionale per aggiungere una nuova istruzione con una relazione AND logica con l'istruzione precedente.

        Ad esempio, (principal.ip IS 192.158.1.38 OR principal.ip IS 192.186.0.2) AND (principal.user.userid CONTAINS sensitive)

7. (Facoltativo) Fai clic su Testa esclusione per visualizzare in che modo il filtro misura i rilevamenti ridotti negli ultimi 30 giorni. Modifica i criteri in base ai risultati.

8. Fai clic su Crea per attivare l'esclusione.

Gestire le esclusioni delle regole

Per gestire le esclusioni:

1. Accedi a Google SecOps.

2. Vai a Menu > Rilevamento > Regole e rilevamenti.

3. Vai alla scheda Esclusioni per visualizzare l'elenco delle esclusioni. Puoi:

   • Per attivare o disattivare un'esclusione, attiva o disattiva l'opzione Attivato.

   • Per filtrare le esclusioni, fai clic su Filtra.

   • Per modificare un'esclusione, fai clic su Menu > Modifica.

   • Per archiviare un'esclusione, fai clic su Menu > Archivia.

   • Per ripristinare un'esclusione, fai clic su Menu > Estrai dall'archivio.

Per creare e gestire le esclusioni delle regole utilizzando l'API, consulta Gestire l'esclusione delle regole tramite l'API.

Limitazioni

Quando configuri le esclusioni, tieni presente le seguenti limitazioni:

• Regole composite: le esclusioni dei campi UDM vengono valutate in base agli eventi non elaborati. Se stai tentando di escludere valori UDM specifici da una regola composita (che si attiva in base ad altri rilevamenti anziché a eventi non elaborati), devi applicare l'esclusione alle regole sottostanti fondamentali che alimentano la regola composita.

  Per trovare la regola fondamentale:

  1. Vai a Hub contenuti nella console Google SecOps.
  2. Fai clic sulla scheda Rilevamenti selezionati (o cerca il pacchetto di regole specifico).
  3. Individua la regola composita e fai clic su Visualizza e gestisci.
  4. Seleziona Definizione regola per visualizzare il codice sorgente YARA-L sottostante.
  5. Esamina la sezione events: della logica YARA-L per identificare i nomi delle regole fondamentali.

Inoltre, tieni presente queste differenze funzionali tra la console e l'API:

• Ambito della regola: nella console puoi applicare le esclusioni a più regole selezionate contemporaneamente, ma puoi applicarle solo a una singola regola personalizzata alla volta.

• Variabili di risultato: per creare esclusioni che utilizzano la logica basata sulle variabili di risultato, devi utilizzare l'API.

Sopprimere gli avvisi tramite i playbook SOAR

I playbook SOAR aiutano a identificare e sopprimere gli avvisi duplicati in base a criteri di ricerca specifici. Il playbook sopprime gli avvisi fino a un tempo di scadenza predefinito, dopodiché li rimuove automaticamente dalla tabella. Gli analisti utilizzano questo metodo per sopprimere gli avvisi per entità specifiche, come indirizzi IP o nomi host, per una durata prestabilita.

A differenza di altri metodi, questo meccanismo tiene traccia dei dati storici e fornisce un audit trail esplicito delle azioni di soppressione nei dettagli del caso.

Caso d'uso

Sopprimere gli avvisi successivi per le richieste di connessione in entrata da un indirizzo IP sospetto dopo l'avviso iniziale, mantenendo una traccia di audit di soppressione.

Raggruppare gli avvisi in SOAR

Il raggruppamento degli avvisi raggruppa automaticamente gli avvisi simili generati in una finestra di 24 ore in base ai criteri definiti. Il sistema consolida gli avvisi raggruppati in un singolo caso per l'indagine.

Per saperne di più, consulta Meccanismo di raggruppamento degli avvisi.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.