Informationen zu Regelkontingenten

Unterstützt in:

In Google Security Operations werden Kapazitätslimits für Erkennungsregeln erzwungen, um eine konsistente Systemleistung und Abfragegeschwindigkeit zu gewährleisten.

Die Regelkapazität wird über die folgenden beiden Kategorien verwaltet:

  • Benutzerdefinierte Regeln: Regeln, die von Ihrem Team geschrieben und verwaltet werden.

  • Ausgewählte Erkennungen: Regeln, die von Google geschrieben und verwaltet werden.

Kontingente für benutzerdefinierte Regeln nach Paket

Für benutzerdefinierte Regeln gelten Leistungsquoten, die auf Ihrem Google SecOps-Paket basieren.

In der folgenden Tabelle sind die Regelkontingente für die einzelnen Pakete aufgeführt:

Paket Gesamtkontingent für Regeln Kontingent für Regeln für mehrere Ereignisse
Standard 1.000 75
Enterprise 2.000 200
Enterprise Plus 3.500 400

Kontingent für benutzerdefinierte Regeln im Blick behalten

Für benutzerdefinierte Regeln gelten strenge Leistungsquoten, die von ihrer Komplexität abhängen.

So behalten Sie das Kontingent für benutzerdefinierte Regeln im Blick:

  1. Rufen Sie in Google SecOps Detection > Rules & Detections auf.

  2. Wählen Sie den Tab Rules Dashboard aus.

  3. Klicken Sie auf Rules Capacity. Im Pop-up-Fenster mit den Kapazitätsdetails werden die folgenden Kontingente angezeigt:

    • Kontingent für Regeln für mehrere Ereignisse: Anzahl der aktivierten Regeln für mehrere Ereignisse im Vergleich zum maximal zulässigen Wert.
    • Gesamtkontingent für Regeln: Gesamtzahl der aktivierten Regeln im Vergleich zum maximal zulässigen Wert.
Kontingenttyp Beschreibung Was wird auf das Kontingent angerechnet?
Gesamtkontingent für Regeln Die maximale Anzahl aktivierter Regeln, die in der Umgebung zulässig sind. Alle aktiven Regeln: Regeln für einzelne und mehrere Ereignisse.
Kontingent für Regeln für mehrere Ereignisse Eine eingeschränkte Teilmenge des Gesamtkontingents, die für Regeln für mehrere Ereignisse reserviert ist. Nur Regeln für mehrere Ereignisse: Regeln, die mehrere Ereignisse im Zeitverlauf korrelieren, Joins verwenden oder aggregierte Daten in Zeitfenstern verarbeiten (z. B. Regeln mit einem Übereinstimmungsabschnitt).

Regeln für mehrere Ereignisse verbrauchen deutlich mehr Ressourcen als Regeln für einzelne Ereignisse. Möglicherweise ist in Ihrem Gesamtkontingent noch Platz verfügbar, Sie können aber keine neue Regel aktivieren, wenn Sie Ihr Kontingent für Regeln für mehrere Ereignisse ausgeschöpft haben.

Kapazität für ausgewählte Erkennungen

Ausgewählte Erkennungen (auch Google SecOps-Regeln genannt) sind Regelsätze, die von Google Threat Intelligence (GTI) erstellt wurden.

Für Enterprise- und Enterprise Plus-Kunden sind die Lizenzberechtigungen explizit so dimensioniert, dass die gesamte Bibliothek ausgewählter Regelsätze berücksichtigt wird. Sie können alle ausgewählten Regelsätze gleichzeitig aktivieren, ohne dass die Leistung beeinträchtigt wird oder Sie an eine Kapazitätsgrenze stoßen.

Im Dashboard werden zwar die Messwerte Capacity (Kapazität) oder Weight (Gewicht) angezeigt, diese Werte sind jedoch nur informativ und keine harten Limits. Wenn eine Limitwarnung ausgelöst wird, überprüfen Sie die Konfiguration Ihres Lizenzpakets.

So wird die Kapazität für ausgewählte Erkennungen berechnet

Die Kapazität für ausgewählte Erkennungen basiert nicht auf der Anzahl der Regeln, sondern auf der Summe der Gewichte, die den einzelnen aktivierten Regelsätzen zugewiesen sind. Die Standardkapazität beträgt 150.

  • Weight (Gewicht): Das Gewicht eines Regelsatzes basiert auf seiner Komplexität und dem Volumen der Ereignisse, die er verarbeitet. Komplexere Regelsätze oder solche, die mehr Ereignisse verarbeiten, haben ein höheres Gewicht.

  • Verbrauch: Wenn für einen Regelsatz Regeln (exakte, allgemeine oder beide) aktiviert sind, wird das volle Kapazitätsgewicht des Regelsatzes auf die Gesamtnutzung angerechnet.

Details zur Kapazität für ausgewählte Erkennungen ansehen

So sehen Sie sich die Kapazität und Nutzung für ausgewählte Erkennungen an:

  1. Rufen Sie in Google SecOps Detection > Rules & Detections > Curated Detections auf.

  2. Wählen Sie den Tab Rule Sets (Regelsätze) aus. In der Spalte Capacity (Kapazität) wird das Gewicht für jeden Regelsatz angezeigt.

  3. Klicken Sie auf die Statustaste Curated Detections Capacity (Kapazität für ausgewählte Erkennungen), um die Gesamtkapazitätsnutzung für das Konto zu sehen.

Ausgewählte Regelsätze aktivieren

Wenn Ihr Paket dies unterstützt, können Sie Regeln für ausgewählte Regelsätze aktivieren:

  1. Rufen Sie in Google SecOps Detection > Rules & Detections > Curated Detections auf.

  2. Wählen Sie auf dem Tab Rule Sets (Regelsätze) die Kästchen für die Regelsätze aus, die Sie aktivieren möchten.

  3. Wählen Sie im Menü für Bulk-Aktionen die Option Enable All Selected (Alle ausgewählten aktivieren) aus.

  4. Bestätigen Sie Ihre Kapazitätsnutzung, indem Sie auf Curated Detections Capacity (Kapazität für ausgewählte Erkennungen) klicken. Alternativ können Sie auch Detection > Rules & Detections aufrufen, den Tab Rules Dashboard (Regel-Dashboard) auswählen und auf Rules Capacity (Regelkapazität) klicken.

Systemleistung optimieren

In diesem Abschnitt werden Optimierungsstrategien beschrieben, mit denen Sie Ihre Regelkapazität und Systemleistung maximieren können.

Komplexe Logik modularisieren

Erstellen Sie einfache Regeln für einzelne Ereignisse, um atomare Verhaltensweisen zu kennzeichnen. Vermeiden Sie es also, umfangreiche Regeln für mehrere Ereignisse zu schreiben, mit denen jede Phase eines Angriffs anhand von Rohlogs erkannt werden soll.

  1. Signale mit Regeln für einzelne Ereignisse erkennen

    • Erstellen Sie Regeln für einzelne Ereignisse für einzelne Verhaltensweisen (z. B. User Login Failed (Nutzeranmeldung fehlgeschlagen), Process Launched (Prozess gestartet)).

    • Auswirkung: Verbraucht das Gesamtkontingent für aktive Regeln (reichlich) und wird nahezu in Echtzeit ausgeführt.

  2. Benachrichtigungen mit einer zusammengesetzten Regel oder einer Regel für mehrere Ereignisse korrelieren

    • Schreiben Sie eine zusammengesetzte Regel, die die in Schritt 1 generierten Erkennungen als Eingabe verwendet.

    • Auswirkung: Verbraucht das Kontingent für Regeln für mehrere Ereignisse (teuer).

    • Vorteil: Sie verwenden das Kontingent für Regeln für mehrere Ereignisse nur einmal für die Logik, anstatt Rohlogs für verschiedene Szenarien mehrmals zu verarbeiten.

Effizientes Regeldesign erstellen

  • Logik für einzelne Ereignisse priorisieren: Wenn eine Erkennung mit einer einzelnen Logzeile erfolgen kann (z. B. „Nutzer hat eine bekannte schädliche Domain besucht“), schreiben Sie sie als Regel für einzelne Ereignisse, um Ihr Kontingent für Regeln für mehrere Ereignisse für Korrelationen zu sparen. Verwenden Sie kein Übereinstimmungsfenster.

  • Referenzlisten verwenden: Verwenden Sie anstelle von N Regeln für N Indikatoren eine einzelne Regel, die auf eine Referenzliste verweist (z. B. target.ip in %suspicious_ips). Dadurch wird nur eine Einheit des Regelkontingents verbraucht.

  • Regelmäßige Audits durchführen:Führen Sie regelmäßig Audits für pausierte oder deaktivierte Regeln durch. Sie werden zwar nicht auf das aktive Kontingent angerechnet, aber durch das Archivieren bleibt die Umgebung sauber.

Anwendungsfall: Lateral Movement durch Brute-Force-Angriffe erkennen

Szenario:Erkennen Sie einen Angreifer, der versucht, sich über die Risk Data Platform (RDP) mit einem Brute-Force-Angriff auf einen Server einzudringen, und sofort ein verdächtiges Verwaltungstool (z. B. PsExec) ausführt, um sich seitlich zu bewegen.

Schritt 1: Signale mit Regeln für einzelne Ereignisse erkennen

Erstellen Sie zwei einfache Regeln, die mit dem reichlichen Gesamtkontingent für aktive Regeln ausgeführt werden. Dadurch werden Erkennungen generiert.

  • Regel A (Brute-Force-Signal) :

    • Logik:

      • Prüfen Sie auf auth.status = FAILURE.

      • Gruppieren Sie Anmeldeereignisse.

      • Lösen Sie die Regel aus, wenn es in einer Minute mehr als fünf fehlgeschlagene Versuche gibt.

    • Eingabe: Roh-UDM-Ereignisse.

    • Ausgabe: Eine Erkennungsbenachrichtigung mit dem Namen Possible_RDP_Brute_Force.

    • Kosten: Gering (verwendet das Gesamtkontingent für aktive Regeln).

  • Regel B (Signal für verdächtiges Tool):

    • Logik: Lösen Sie die Regel aus, wenn der Prozess psexec.exe ist.

    • Eingabe: Roh-UDM-Ereignisse.

    • Ausgabe: Eine Erkennungsbenachrichtigung mit dem Namen PsExec_Usage.

    • Kosten:Gering (verwendet das Gesamtkontingent für aktive Regeln).

Schritt 2: Benachrichtigungen mit einer zusammengesetzten Regel korrelieren

Schreiben Sie eine zusammengesetzte Regel, die sich auf die in Schritt 1 generierten Erkennungen bezieht, nicht auf die Rohlogs.

  • Regel C:

    • Logik: Suchen Sie nach Possible_RDP_Brute_Force AND PsExec_Usage auf demselben principal.hostname innerhalb von 10 Minuten.

    • Eingabe: Erkennungen aus den Regeln A und B.

    • Kosten: Hoch (verwendet das Kontingent für Regeln für mehrere Ereignisse), verarbeitet aber nur die wenigen in Schritt 1 generierten Benachrichtigungen.

Dieser mehrstufige Ansatz optimiert sowohl die Leistung als auch die Kosteneffizienz, indem die anfängliche Signalerzeugung von der komplexen Korrelationslogik entkoppelt wird. Wenn Sie Milliarden von Roh-UDM-Ereignissen mit Regeln für einzelne Ereignisse in Erkennungen mit hoher Genauigkeit filtern, reduzieren Sie das Datenvolumen, das von der Engine für mehrere Ereignisse verarbeitet wird.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten