Comprendre les quotas de règles

Compatible avec :

Google Security Operations applique des limites de capacité aux règles de détection pour garantir des performances système et une vitesse de requête cohérentes.

La capacité des règles est gérée selon les deux catégories suivantes :

  • Règles personnalisées : règles rédigées et gérées par votre équipe.

  • Détections organisées : règles écrites et gérées par Google.

Quotas de règles personnalisées par forfait

Les règles personnalisées sont soumises à des quotas de performances en fonction de votre forfait Google SecOps.

Le tableau suivant répertorie les quotas de règles pour chaque forfait :

Package Quota total de règles Quota de règles à événements multiples
Standard 1 000 75
Enterprise 2 000 200
Enterprise Plus 3 500 400

Suivre le quota de règles personnalisées

Les règles personnalisées sont soumises à des quotas de performances stricts en fonction de leur complexité.

Pour suivre le quota de règles personnalisées :

  1. Dans Google SecOps, accédez à Détection > Règles et détections.

  2. Sélectionnez l'onglet Tableau de bord des règles.

  3. Cliquez sur Capacité des règles. Le pop-over des détails de capacité affiche les quotas suivants :

    • Quota de règles pour les événements multiples : nombre de règles pour les événements multiples activées par rapport au nombre maximal autorisé.
    • Quota total de règles : nombre total de règles activées par rapport au nombre maximal autorisé.
Type de quota Description Éléments comptabilisés dans le quota
Quota total de règles Nombre maximal de règles activées autorisées dans l'environnement. Toutes les règles actives : règles à événement unique et à événements multiples.
Quota de règles à événements multiples Sous-ensemble limité du quota total réservé aux règles à événements multiples. Règles à événements multiples uniquement : règles qui corrèlent plusieurs événements au fil du temps, utilisent des jointures ou effectuent des agrégations par fenêtre (par exemple, les règles avec une section "match").

Les règles à événements multiples consomment beaucoup plus de ressources que les règles à événement unique. Il est possible que vous disposiez d'espace disponible dans votre quota total, mais que vous ne puissiez pas activer de nouvelle règle si vous avez épuisé votre quota multi-événements.

Capacité des détections optimisées

Les détections optimisées (également appelées règles Google SecOps) sont des ensembles de règles créés par Google Threat Intelligence (GTI).

Pour les clients Enterprise et Enterprise Plus, les droits d'accès aux licences sont explicitement dimensionnés pour s'adapter à l'ensemble de la bibliothèque d'ensembles de règles sélectionnés. Vous pouvez activer tous les ensembles de règles sélectionnés simultanément sans risquer de compromettre les performances ni d'atteindre une limite de capacité.

Bien que le tableau de bord fournisse des métriques de capacité ou de poids, ces chiffres sont fournis à titre informatif et ne constituent pas des limites strictes. Si un avertissement de limite se déclenche, vérifiez la configuration de votre package de licence.

Calcul de la capacité sélectionnée

La capacité sélectionnée n'est pas basée sur le nombre de règles, mais sur la somme des pondérations attribuées à chaque ensemble de règles activé. La capacité par défaut est de 150.

  • Pondération : la pondération d'un ensemble de règles dépend de sa complexité et du volume d'événements qu'il traite. Les ensembles de règles plus complexes ou ceux qui traitent plus d'événements ont un poids plus élevé.

  • Consommation : lorsque des règles (précises, générales ou les deux) sont activées pour un ensemble de règles, le poids de capacité complet de l'ensemble de règles est comptabilisé dans l'utilisation totale.

Afficher les détails de capacité sélectionnés

Pour afficher la capacité et l'utilisation des détections optimisées :

  1. Dans Google SecOps, accédez à Détection > Règles et détections > Détections optimisées.

  2. Sélectionnez l'onglet Ensembles de règles. La colonne Capacité affiche la pondération de chaque ensemble de règles.

  3. Cliquez sur le bouton d'état Capacité de détection sélectionnée pour afficher l'utilisation totale de la capacité pour le compte.

Activer les ensembles de règles sélectionnés

Si votre forfait le permet, vous pouvez activer des règles dans des ensembles de règles sélectionnés :

  1. Dans Google SecOps, accédez à Détection > Règles et détections > Détections optimisées.

  2. Dans l'onglet Ensembles de règles, cochez les cases correspondant aux ensembles de règles que vous souhaitez activer.

  3. Dans le menu d'actions groupées, sélectionnez Activer la sélection.

  4. Pour confirmer votre utilisation de la capacité, cliquez sur Capacité de détection optimisée ou accédez à Détection > Règles et détections, sélectionnez l'onglet Tableau de bord des règles, puis cliquez sur Capacité des règles.

Optimisation des performances du système

Cette section décrit les stratégies d'optimisation permettant de maximiser la capacité de vos règles et les performances de votre système.

Modulariser la logique complexe

Créez des règles simples à événement unique pour signaler les comportements atomiques. En d'autres termes, évitez d'écrire des règles multi-événements massives qui tentent de détecter chaque étape d'une attaque à partir de journaux bruts.

  1. Détecter des signaux avec des règles à événement unique

    • Créez des règles à événement unique pour des comportements individuels (par exemple, User Login Failed, Process Launched).

    • Impact : consomme le quota actif total (abondant) et s'exécute en temps quasi réel.

  2. Corréler les alertes avec une règle composite ou à événements multiples

    • Écrivez une règle composite qui utilise les détections générées à l'étape 1 comme entrée.

    • Impact : consomme le quota d'événements multiples (coûteux).

    • Avantage : vous utilisez le quota d'événements multiples une seule fois pour la logique, au lieu de retraiter plusieurs fois les journaux bruts pour différents scénarios.

Concevoir des règles efficaces

  • Priorisez la logique d'événement unique : si une détection peut être effectuée avec une seule ligne de journal (par exemple, "L'utilisateur a visité un domaine malveillant connu"), écrivez-la sous forme de règle d'événement unique pour économiser votre quota multi-événements pour les corrélations. Évitez d'utiliser une fenêtre de correspondance.

  • Utilisez des listes de référence : au lieu d'utiliser des règles N pour les indicateurs N, utilisez une seule règle qui fait référence à une liste de référence (par exemple, target.ip in %suspicious_ips). Cela ne consomme qu'une seule unité de quota de règles.

  • Effectuez des audits réguliers : auditez régulièrement les règles mises en veille ou désactivées. Bien qu'ils ne soient pas comptabilisés dans le quota actif, l'archivage permet de garder l'environnement propre.

Cas d'utilisation : détecter les mouvements latéraux par force brute

Scénario : Détecter un pirate informatique qui tente d'accéder à un serveur par force brute via la plate-forme de données sur les risques (RDP) et exécute immédiatement un outil d'administration suspect (comme PsExec) pour se déplacer latéralement.

Étape 1 : Détectez les signaux avec des règles d'événement unique

Créez deux règles légères qui s'exécutent sur le quota total actif abondant. Elles génèrent des détections.

  • Règle A (signal de force brute) :

    • Logique :

      • Recherchez auth.status = FAILURE.

      • Événements de connexion de groupe.

      • Déclencheur si plus de cinq tentatives infructueuses en une minute.

    • Entrée : événements UDM bruts.

    • Résultat : une alerte de détection nommée Possible_RDP_Brute_Force.

    • Coût : faible (utilise le quota actif total).

  • Règle B (signal d'outil suspect) :

    • Logique : déclenchez si le processus est psexec.exe.

    • Entrée : événements UDM bruts.

    • Résultat : une alerte de détection nommée PsExec_Usage.

    • Coût : faible (utilise le quota actif total).

Étape 2 : Corrélez les alertes avec la règle composite

Rédigez une règle composite qui examine les détections générées à l'étape 1, et non les journaux bruts.

  • Règle C :

    • Logique : recherchez Possible_RDP_Brute_Force AND PsExec_Usage qui se produit sur le même principal.hostname dans un délai de 10 minutes.

    • Entrée : détections des règles A et B.

    • Coût : élevé (utilise le quota multi-événements), mais ne traite que les quelques alertes générées à l'étape 1.

Cette approche par niveaux permet d'optimiser les performances et la rentabilité en dissociant la génération de signaux initiale de la logique de corrélation complexe. En filtrant des milliards d'événements UDM bruts pour obtenir des détections de haute fidélité à l'aide de règles à événement unique, vous réduisez le volume de données traitées par le moteur multi-événements.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.