Kontingente für Regeln

Unterstützt in:

In Google Security Operations werden Kapazitätslimits für Erkennungsregeln erzwungen, um eine gleichbleibende Systemleistung und Abfragegeschwindigkeit zu gewährleisten.

Die Regelkapazität wird über die folgenden beiden Kategorien verwaltet:

  • Benutzerdefinierte Regeln: Regeln, die von Ihrem Team geschrieben und verwaltet werden.

  • Ausgewählte Erkennungen: Regeln, die von Google geschrieben und verwaltet werden.

Kontingente für benutzerdefinierte Regeln nach Paket

Für benutzerdefinierte Regeln gelten Leistungskontingente, die von Ihrem Google SecOps-Paket abhängen.

In der folgenden Tabelle sind die Regelkontingente für die einzelnen Pakete aufgeführt:

Paket Gesamtkontingent für Regeln Kontingent für Regeln für mehrere Ereignisse
Standard 1.000 75
Enterprise 2.000 200
Enterprise Plus 3.500 400

Kontingent für benutzerdefinierte Regeln im Blick behalten

Für benutzerdefinierte Regeln gelten strenge Leistungsvorgaben, die von ihrer Komplexität abhängen.

So verfolgen Sie das Kontingent für benutzerdefinierte Regeln:

  1. Rufen Sie in Google SecOps Erkennung > Regeln und Erkennungen auf.

  2. Wählen Sie den Tab Regel-Dashboard aus.

  3. Klicken Sie auf Regelkapazität. Im Pop-over mit den Kapazitätsdetails werden die folgenden Kontingente angezeigt:

    • Kontingent für Regeln für mehrere Ereignisse: Anzahl der aktivierten Regeln für mehrere Ereignisse im Vergleich zum maximal zulässigen Wert.
    • Gesamtkontingent für Regeln: Gesamtzahl der aktivierten Regeln im Vergleich zur maximal zulässigen Anzahl.
Kontingenttyp Beschreibung Was wird auf das Kontingent angerechnet?
Gesamtkontingent für Regeln Die maximale Anzahl aktivierter Regeln, die in der Umgebung zulässig sind. Alle aktiven Regeln: Einzelereignis- und Mehrfachereignisregeln.
Kontingent für Regeln für mehrere Ereignisse Eine eingeschränkte Teilmenge des Gesamtkontingents, die für Regeln für mehrere Ereignisse reserviert ist. Nur Regeln für mehrere Ereignisse: Regeln, die mehrere Ereignisse im Zeitverlauf korrelieren, Joins verwenden oder Aggregationen mit Zeitfenstern ausführen (z. B. Regeln mit einem „match“-Abschnitt).

Regeln für mehrere Ereignisse verbrauchen deutlich mehr Ressourcen als Regeln für einzelne Ereignisse. Möglicherweise haben Sie noch Speicherplatz in Ihrem Gesamtkontingent, können aber keine neue Regel aktivieren, wenn Sie Ihr Multi-Event-Kontingent ausgeschöpft haben.

Kapazität für ausgewählte Erkennungen

Ausgewählte Erkennungen (auch Google SecOps-Regeln genannt) sind Regelsätze, die von Google Threat Intelligence (GTI) erstellt werden.

Bei Enterprise- und Enterprise Plus-Kunden sind die Lizenzberechtigungen explizit so bemessen, dass die gesamte Bibliothek kuratierter Regelsätze abgedeckt wird. Sie können alle kuratierten Regelsätze gleichzeitig aktivieren, ohne dass die Leistung beeinträchtigt wird oder Sie an eine Kapazitätsgrenze stoßen.

Das Dashboard enthält zwar Messwerte für Kapazität oder Gewicht, diese Zahlen dienen jedoch nur zur Information und stellen keine harten Grenzwerte dar. Wenn eine Warnung zu einem Limit ausgelöst wird, prüfen Sie die Konfiguration Ihres Lizenzpakets.

So wird die kuratierte Kapazität berechnet

Die kuratierte Kapazität basiert nicht auf der Anzahl der Regeln, sondern auf der Summe der Gewichte, die den einzelnen aktivierten Regelsätzen zugewiesen sind. Die Standardkapazität beträgt 150.

  • Gewichtung: Die Gewichtung eines Regelsatzes basiert auf seiner Komplexität und dem Volumen der Ereignisse, die er verarbeitet. Komplexere Regelsätze oder solche, die mehr Ereignisse verarbeiten, haben ein höheres Gewicht.

  • Verbrauch: Wenn für einen Regelsatz Regeln (exakt, allgemein oder beides) aktiviert sind, wird das volle Kapazitätsgewicht des Regelsatzes auf die Gesamtnutzung angerechnet.

Ausgewählte Kapazitätsdetails ansehen

So rufen Sie die Kapazität und Nutzung für ausgewählte Erkennungen auf:

  1. Rufen Sie in Google SecOps Erkennung > Regeln und Erkennungen > Ausgewählte Erkennungen auf.

  2. Wählen Sie den Tab Regelsätze aus. In der Spalte Kapazität wird das Gewicht für jeden Regelsatz angezeigt.

  3. Klicken Sie auf die Status-Schaltfläche Kapazität für kuratierte Erkennungen, um die Gesamtkapazitätsnutzung für das Konto aufzurufen.

Kuratierte Regelsätze aktivieren

Wenn Ihr Paket dies unterstützt, können Sie Regeln für kuratierte Regelsätze aktivieren:

  1. Rufen Sie in Google SecOps Erkennung > Regeln und Erkennungen > Ausgewählte Erkennungen auf.

  2. Klicken Sie auf dem Tab Regelsätze die Kästchen für die Regelsätze an, die Sie aktivieren möchten.

  3. Wählen Sie im Menü für Bulk-Aktionen die Option Alle ausgewählten aktivieren aus.

  4. Klicken Sie auf Kapazität für ausgewählte Erkennungen, um Ihre Kapazitätsnutzung zu bestätigen. Alternativ können Sie auch zu Erkennung > Regeln und Erkennungen gehen, den Tab Regel-Dashboard auswählen und auf Regelkapazität klicken.

Systemleistung optimieren

In diesem Abschnitt werden Optimierungsstrategien beschrieben, mit denen Sie die Regelkapazität und die Systemleistung maximieren können.

Komplexe Logik modularisieren

Erstellen Sie einfache Regeln mit nur einem Ereignis, um atomare Verhaltensweisen zu kennzeichnen. Vermeiden Sie also, umfangreiche Regeln mit mehreren Ereignissen zu schreiben, mit denen versucht wird, jede Phase eines Angriffs anhand von Rohlogs zu erkennen.

  1. Signale mit Einzelereignisregeln erkennen

    • Erstellen Sie Regeln für einzelne Ereignisse für einzelne Verhaltensweisen (z. B. User Login Failed, Process Launched).

    • Auswirkung: Das gesamte aktive Kontingent wird verbraucht (reichlich) und die Ausführung erfolgt nahezu in Echtzeit.

  2. Benachrichtigungen mit zusammengesetzten Regeln oder Regeln für mehrere Ereignisse korrelieren

    • Schreiben Sie eine zusammengesetzte Regel, die die in Schritt 1 generierten Erkennungen als Eingabe verwendet.

    • Auswirkung: Verbraucht das Kontingent für mehrere Ereignisse (teuer).

    • Vorteil: Das Kontingent für mehrere Ereignisse wird nur einmal für die Logik verwendet. Die Rohlogs müssen also nicht mehrmals für verschiedene Szenarien verarbeitet werden.

Effiziente Regeln erstellen

  • Logik für einzelne Ereignisse priorisieren: Wenn eine Erkennung mit einer einzelnen Logzeile erfolgen kann (z. B. „Nutzer hat eine bekannte schädliche Domain besucht“), schreiben Sie sie als Regel für einzelne Ereignisse, um Ihr Kontingent für Regeln für mehrere Ereignisse für Korrelationen zu sparen. Verzichten Sie auf die Verwendung eines Abgleichszeitraums.

  • Referenzlisten verwenden: Anstelle von N Regeln für N Indikatoren sollten Sie eine einzelne Regel verwenden, die auf eine Referenzliste verweist (z. B. target.ip in %suspicious_ips). Dadurch wird nur eine Einheit des Regelkontingents verbraucht.

  • Regelmäßige Prüfungen durchführen:Prüfen Sie regelmäßig pausierte oder deaktivierte Regeln. Sie werden zwar nicht auf das aktive Kontingent angerechnet, aber durch das Archivieren wird die Umgebung übersichtlich gehalten.

Anwendungsfall: Lateral Movement durch Brute-Force-Angriffe erkennen

Szenario:Erkennen eines Angreifers, der versucht, sich über die Remotedesktopverbindung (RDP) auf einem Server anzumelden, und sofort ein verdächtiges Verwaltungstool (z. B. PsExec) ausführt, um sich seitlich zu bewegen.

Schritt 1: Signale mit Regeln für einzelne Ereignisse erkennen

Erstellen Sie zwei einfache Regeln, die für das großzügige Kontingent für aktive Nutzer ausgeführt werden. Diese generieren Erkennungen.

  • Regel A (Brute-Force-Signal):

    • Logik:

      • Suchen Sie nach auth.status = FAILURE.

      • Gruppenanmeldeereignisse.

      • Wird ausgelöst, wenn es in einer Minute mehr als fünf fehlgeschlagene Versuche gibt.

    • Eingabe: Rohdaten für UDM-Ereignisse.

    • Ausgabe: Eine Benachrichtigung zur Erkennung mit dem Namen Possible_RDP_Brute_Force.

    • Kosten: Gering (nutzt das gesamte aktive Kontingent).

  • Regel B (Signal für verdächtiges Tool):

    • Logik: Trigger, wenn der Prozess psexec.exe ist.

    • Eingabe: Rohdaten für UDM-Ereignisse.

    • Ausgabe: Eine Benachrichtigung zur Erkennung mit dem Namen PsExec_Usage.

    • Kosten:Gering (nutzt das gesamte aktive Kontingent).

Schritt 2: Benachrichtigungen mit zusammengesetzter Regel in Beziehung setzen

Erstellen Sie eine zusammengesetzte Regel, die sich auf die in Schritt 1 generierten Erkennungen bezieht, nicht auf die Rohlogs.

  • Regel C:

    • Logik: Suche nach Possible_RDP_Brute_Force AND PsExec_Usage, das innerhalb von 10 Minuten auf demselben principal.hostname auftritt.

    • Eingabe: Erkennungen aus den Regeln A und B.

    • Kosten: Hoch (Kontingent für mehrere Ereignisse wird verwendet), aber es werden nur die wenigen Benachrichtigungen verarbeitet, die in Schritt 1 generiert wurden.

Dieser mehrstufige Ansatz optimiert sowohl die Leistung als auch die Kosteneffizienz, indem die anfängliche Signalerstellung von der komplexen Korrelationslogik entkoppelt wird. Durch das Filtern von Milliarden von UDM-Rohereignissen in zuverlässige Erkennungen mithilfe von Einzelereignisregeln wird das von der Engine für mehrere Ereignisse verarbeitete Datenvolumen reduziert.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten