Memahami kuota aturan

Didukung di:

Google Security Operations menerapkan batas kapasitas pada aturan deteksi untuk memastikan performa sistem dan kecepatan kueri yang konsisten.

Kapasitas aturan dikelola melalui dua kategori berikut:

  • Aturan kustom: Aturan yang ditulis dan dikelola oleh tim Anda.

  • Deteksi pilihan: Aturan yang ditulis dan dikelola oleh Google.

Kuota aturan kustom menurut paket

Aturan kustom tunduk pada kuota performa berdasarkan paket Google SecOps Anda.

Tabel berikut mencantumkan kuota aturan untuk setiap paket:

Paket Kuota total aturan Kuota aturan multi-peristiwa
Standar 1.000 75
Enterprise 2.000 200
Enterprise Plus 3.500 400

Melacak kuota aturan kustom

Aturan kustom tunduk pada kuota performa yang ketat berdasarkan kompleksitasnya.

Untuk melacak kuota aturan kustom, lakukan hal berikut:

  1. Di Google SecOps, buka Detection > Rules & Detections.

  2. Pilih tab Rules Dashboard.

  3. Klik Rules Capacity. Popover detail kapasitas menampilkan kuota berikut:

    • Kuota Aturan Multi-Peristiwa: Jumlah aturan multi-peristiwa yang diaktifkan dibandingkan dengan jumlah maksimum yang diizinkan.
    • Total Rules Quota: Jumlah total aturan yang diaktifkan dibandingkan dengan jumlah maksimum yang diizinkan.
Jenis kuota Deskripsi Yang mengurangi kuota
Kuota total aturan Jumlah maksimum aturan yang diaktifkan yang diizinkan di lingkungan. Semua aturan aktif: Peristiwa tunggal dan multi-peristiwa.
Kuota aturan multi-peristiwa Subkumpulan kuota total yang dibatasi dan disediakan untuk aturan multi-peristiwa. Hanya aturan multi-peristiwa: Aturan yang mengorelasikan beberapa peristiwa dari waktu ke waktu, menggunakan gabungan, atau melakukan agregasi berjendela (misalnya, aturan dengan bagian kecocokan).

Aturan multi-peristiwa menggunakan resource yang jauh lebih banyak daripada aturan peristiwa tunggal. Anda mungkin memiliki ruang yang tersedia dalam kuota total , tetapi tidak dapat mengaktifkan aturan baru jika kuota multi-peristiwa Anda telah habis.

Kapasitas pendeteksian terseleksi

Pendeteksian terseleksi (juga disebut Aturan Google SecOps) adalah set aturan yang dibuat oleh Google Threat Intelligence (GTI).

Untuk pelanggan Enterprise dan Enterprise Plus, hak lisensi secara eksplisit diukur untuk mengakomodasi seluruh library kumpulan aturan pilihan. Anda dapat mengaktifkan semua kumpulan aturan pilihan secara bersamaan tanpa mengambil risiko kompromi performa atau mencapai batas kapasitas.

Meskipun dasbor menyediakan metrik Capacity atau Weight, angka ini bersifat informatif, dan bukan batas yang ketat. Jika peringatan batas terpicu, verifikasi konfigurasi paket lisensi Anda.

Cara penghitungan kapasitas pilihan

Kapasitas pilihan tidak didasarkan pada jumlah aturan, tetapi pada jumlah bobot yang ditetapkan ke setiap kumpulan aturan yang diaktifkan. Kapasitas default adalah 150.

  • Weight: Bobot set aturan didasarkan pada kompleksitasnya dan volume peristiwa yang diproses. Kumpulan aturan yang lebih kompleks atau yang memproses lebih banyak peristiwa memiliki bobot yang lebih tinggi.

  • Consumption: Jika aturan (Precise, Broad, atau keduanya) diaktifkan untuk set aturan, bobot kapasitas penuh set aturan akan dihitung dalam total penggunaan.

Melihat detail kapasitas pilihan

Untuk melihat kapasitas dan penggunaan pendeteksian terseleksi:

  1. Di Google SecOps, buka Detection > Rules & Detections > Curated Detections.

  2. Pilih tab Rule Sets. Kolom Capacity menampilkan bobot untuk setiap kumpulan aturan.

  3. Klik tombol status Curated Detections Capacity untuk melihat total penggunaan kapasitas untuk akun tersebut.

Mengaktifkan kumpulan aturan pilihan

Jika paket Anda mendukungnya, Anda dapat mengaktifkan aturan di seluruh kumpulan aturan pilihan:

  1. Di Google SecOps, buka Detection > Rules & Detections > Curated Detections.

  2. Di tab Rule Sets, centang kotak centang untuk set aturan yang ingin Anda aktifkan.

  3. Di menu tindakan massal, pilih Enable All Selected.

  4. Konfirmasi penggunaan kapasitas Anda dengan mengklik Curated Detections Capacity, atau buka Detection > Rules & Detections, pilih tab Rules Dashboard, lalu klik Rules Capacity.

Mengoptimalkan performa sistem

Bagian ini menguraikan strategi pengoptimalan untuk memaksimalkan kapasitas aturan dan performa sistem Anda.

Membuat logika kompleks menjadi modular

Buat aturan peristiwa tunggal yang ringan untuk menandai perilaku atomik. Artinya, hindari menulis aturan multi-peristiwa besar yang mencoba mendeteksi setiap tahap serangan dari log mentah.

  1. Mendeteksi sinyal dengan aturan peristiwa tunggal

    • Buat aturan peristiwa tunggal untuk perilaku individual (misalnya, User Login Failed, Process Launched).

    • Dampak: Menggunakan kuota aktif total (banyak) dan berjalan hampir secara real time.

  2. Mengorelasikan pemberitahuan dengan aturan komposit atau multi-peristiwa

    • Tulis aturan komposit yang menggunakan deteksi yang dihasilkan pada langkah 1 sebagai input.

    • Dampak: Menggunakan kuota multi-peristiwa (mahal).

    • Manfaat: Anda menggunakan kuota multi-peristiwa sekali untuk logika, bukan memproses ulang log mentah beberapa kali untuk skenario yang berbeda.

Membuat desain aturan yang efisien

  • Prioritaskan logika peristiwa tunggal: Jika deteksi dapat dilakukan dengan satu baris log (misalnya, "Pengguna mengunjungi domain buruk yang diketahui"), tulis sebagai aturan peristiwa tunggal untuk menghemat kuota multi-peristiwa Anda untuk korelasi. Hindari penggunaan jendela kecocokan.

  • Gunakan daftar referensi: Daripada N aturan untuk N indikator, gunakan satu aturan yang mereferensikan daftar referensi (misalnya, target.ip in %suspicious_ips). Hal ini hanya menggunakan satu unit kuota aturan.

  • Lakukan audit rutin: Audit aturan yang dijeda atau dinonaktifkan secara rutin. Meskipun tidak dihitung dalam kuota aktif, pengarsipannya akan menjaga lingkungan tetap bersih.

Kasus penggunaan: Mendeteksi pergerakan lateral melalui brute force

Skenario: Mendeteksi penyerang yang mencoba melakukan brute force untuk masuk ke server melalui Risk Data Platform (RDP) dan segera menjalankan alat administratif yang mencurigakan (seperti PsExec) untuk bergerak secara lateral.

Langkah 1: Mendeteksi sinyal dengan aturan peristiwa tunggal

Buat dua aturan ringan yang berjalan pada kuota aktif total yang banyak. Aturan ini menghasilkan deteksi.

  • Aturan A (sinyal brute force):

    • Logika:

      • Periksa auth.status = FAILURE.

      • Kelompokkan peristiwa login.

      • Aktifkan jika lebih dari 5 upaya yang gagal dalam 1 menit.

    • Input: Peristiwa UDM mentah.

    • Output: Pemberitahuan deteksi bernama Possible_RDP_Brute_Force.

    • Biaya: Rendah (menggunakan kuota aktif total).

  • Aturan B (sinyal alat mencurigakan):

    • Logika: Aktifkan jika prosesnya adalah psexec.exe.

    • Input: Peristiwa UDM mentah.

    • Output: Pemberitahuan deteksi bernama PsExec_Usage.

    • Biaya: Rendah (menggunakan kuota aktif total).

Langkah 2: Mengorelasikan pemberitahuan dengan aturan komposit

Tulis satu aturan komposit yang melihat deteksi yang dihasilkan pada langkah 1, bukan log mentah.

  • Aturan C:

    • Logika: Cari Possible_RDP_Brute_Force AND PsExec_Usage yang terjadi pada principal.hostname yang sama dalam waktu 10 menit.

    • Input: Deteksi dari aturan A dan B.

    • Biaya: Tinggi (menggunakan kuota multi-peristiwa), tetapi hanya memproses beberapa pemberitahuan yang dihasilkan pada langkah 1.

Pendekatan bertingkat ini mengoptimalkan performa dan efisiensi biaya dengan memisahkan pembuatan sinyal awal dari logika korelasi yang kompleks. Dengan memfilter miliaran peristiwa UDM mentah menjadi deteksi fidelitas tinggi menggunakan aturan peristiwa tunggal, Anda mengurangi volume data yang diproses oleh mesin multi-peristiwa.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.