Entender as cotas de regras

Compatível com:

O Google Security Operations impõe limites de capacidade nas regras de detecção para garantir um desempenho consistente do sistema e a velocidade das consultas.

A capacidade de regras é gerenciada pelas duas categorias a seguir:

  • Regras personalizadas: regras escritas e gerenciadas pela sua equipe.

  • Detecções especializadas: regras escritas e gerenciadas pelo Google.

Cotas de regras personalizadas por pacote

As regras personalizadas estão sujeitas a cotas de performance com base no seu pacote do Google SecOps.

A tabela a seguir lista as cotas de regras para cada pacote:

Pacote Cota total de regras Cota de regras de vários eventos
Padrão 1.000 75
Enterprise 2.000 200
Enterprise Plus 3.500 400

Acompanhar a cota de regras personalizadas

As regras personalizadas estão sujeitas a cotas de performance estritas com base na complexidade delas.

Para rastrear a cota de regras personalizadas, faça o seguinte:

  1. No Google SecOps, acesse Detecção > Regras e detecções.

  2. Selecione a guia Painel de regras.

  3. Clique em Capacidade de regras. O popover de detalhes da capacidade mostra as seguintes cotas:

    • Cota de regras de vários eventos: número de regras de vários eventos ativadas em comparação com o máximo permitido.
    • Cota total de regras: número total de regras ativadas em comparação com o máximo permitido.
Tipo da cota Descrição O que é contabilizado na cota
Cota total de regras O número máximo de regras ativadas permitidas no ambiente. Todas as regras ativas: de evento único e de vários eventos.
Cota de regras de vários eventos Um subconjunto restrito da cota total reservada para regras de vários eventos. Apenas regras de múltiplos eventos: regras que correlacionam vários eventos ao longo do tempo, usam junções ou realizam agregações em janelas (por exemplo, regras com uma seção de correspondência).

As regras de vários eventos consomem muito mais recursos do que as de um único evento. Você pode ter espaço disponível na sua cota total, mas não conseguir ativar uma nova regra se tiver esgotado a cota de vários eventos.

Capacidade de detecções especializadas

As detecções especializadas (também chamadas de regras do Google SecOps) são conjuntos de regras criados pelo Google Threat Intelligence (GTI).

Para clientes do Enterprise e do Enterprise Plus, os direitos de licença são dimensionados explicitamente para acomodar toda a biblioteca de conjuntos de regras selecionados. É possível ativar todos os conjuntos de regras selecionados simultaneamente sem correr o risco de comprometer o desempenho ou atingir um limite de capacidade.

Embora o painel forneça métricas de Capacidade ou Peso, esses números são informativos e não limites rígidos. Se um aviso de limite for acionado, verifique a configuração do pacote de licenças.

Como a capacidade selecionada é calculada

A capacidade selecionada não se baseia no número de regras, mas na soma dos pesos atribuídos a cada conjunto de regras ativado. A capacidade padrão é 150.

  • Peso: o peso de um conjunto de regras é baseado na complexidade e no volume de eventos que ele processa. Conjuntos de regras mais complexos ou que processam mais eventos têm um peso maior.

  • Consumo: quando qualquer regra (precisa, ampla ou ambas) está ativada em um conjunto de regras, o peso total da capacidade do conjunto é contado no uso total.

Ver detalhes da capacidade selecionada

Para conferir a capacidade e o uso de detecções especializadas:

  1. No Google SecOps, acesse Detecção > Regras e detecções > Detecções selecionadas.

  2. Selecione a guia Conjuntos de regras. A coluna Capacidade mostra o peso de cada conjunto de regras.

  3. Clique no botão de status Capacidade de detecções selecionadas para conferir o uso total da capacidade da conta.

Ativar conjuntos de regras selecionados

Se o pacote permitir, você poderá ativar regras em conjuntos selecionados:

  1. No Google SecOps, acesse Detecção > Regras e detecções > Detecções selecionadas.

  2. Na guia Conjuntos de regras, marque as caixas de seleção dos conjuntos que você quer ativar.

  3. No menu de ação em massa, selecione Ativar todos os selecionados.

  4. Para confirmar o uso da capacidade, clique em Capacidade de detecções selecionadas ou acesse Detecção > Regras e detecções, selecione a guia Painel de regras e clique em Capacidade de regras.

Otimizar o desempenho do sistema

Esta seção descreve estratégias de otimização para maximizar a capacidade de regras e a performance do sistema.

Modularizar lógica complexa

Crie regras leves de evento único para sinalizar comportamentos atômicos. Ou seja, evite escrever regras de vários eventos que tentam detectar todos os estágios de um ataque com base em registros brutos.

  1. Detectar indicadores com regras de evento único

    • Crie regras de evento único para comportamentos individuais (por exemplo, User Login Failed, Process Launched).

    • Impacto: consome a cota total ativa (abundante) e é executado quase em tempo real.

  2. Correlacionar alertas com uma regra composta ou de vários eventos

    • Escreva uma regra composta que use as detecções geradas na etapa 1 como entrada.

    • Impacto: consome a cota de vários eventos (caro).

    • Benefício: você usa a cota de vários eventos uma vez para a lógica, em vez de reprocessar registros brutos várias vezes para diferentes cenários.

Criar um design de regra eficiente

  • Priorize a lógica de evento único: se uma detecção puder ser feita com uma única linha de registro (por exemplo, "O usuário visitou um domínio nocivo conhecido"), escreva-a como uma regra de evento único para salvar sua cota de vários eventos para correlações. Evite usar uma janela de correspondência.

  • Use listas de referência: em vez de regras N para indicadores N, use uma única regra que faça referência a uma lista de referência (por exemplo, target.ip in %suspicious_ips). Isso consome apenas uma unidade da cota de regras.

  • Faça auditorias regulares:audite regularmente as regras pausadas ou desativadas. Embora não sejam contabilizados na cota ativa, o arquivamento mantém o ambiente limpo.

Caso de uso: detectar movimento lateral por força bruta

Cenário:detectar um invasor que tenta entrar em um servidor por força bruta usando a Plataforma de dados de risco (RDP) e executa imediatamente uma ferramenta administrativa suspeita (como PsExec) para se mover lateralmente.

Etapa 1: detectar indicadores com regras de evento único

Crie duas regras leves que sejam executadas na cota total ativa abundante. Elas geram detecções.

  • Regra A (indicador de força bruta):

    • Lógica:

      • Verifique se há auth.status = FAILURE.

      • Eventos de login em grupo.

      • Acionamento se houver mais de cinco tentativas com falha em um minuto.

    • Entrada: eventos brutos do UDM.

    • Saída: um alerta de detecção chamado Possible_RDP_Brute_Force.

    • Custo: baixo (usa a cota total ativa).

  • Regra B (indicador de ferramenta suspeita):

    • Lógica: acione se o processo for psexec.exe.

    • Entrada: eventos brutos do UDM.

    • Saída: um alerta de detecção chamado PsExec_Usage.

    • Custo:baixo (usa a cota total ativa).

Etapa 2: correlacionar alertas com a regra composta

Escreva uma regra composta que analise as detecções geradas na etapa 1, não os registros brutos.

  • Regra C:

    • Lógica: procure Possible_RDP_Brute_Force AND PsExec_Usage que ocorram no mesmo principal.hostname em até 10 minutos.

    • Entrada: detecções das regras A e B.

    • Custo: alto (usa a cota de vários eventos), mas processa apenas os poucos alertas gerados na etapa 1.

Essa abordagem em níveis otimiza o desempenho e a eficiência de custos ao desacoplar a geração inicial de indicadores da lógica de correlação complexa. Ao filtrar bilhões de eventos UDM brutos em detecções de alta fidelidade usando regras de evento único, você reduz o volume de dados processados pelo mecanismo de vários eventos.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.