실시간 데이터에 규칙 적용

다음에서 지원:

Google secops SIEM

규칙을 만들면 처음에는 Google Security Operations 계정에서 수신된 이벤트를 기준으로 감지를 실시간으로 검색하지 않습니다. 하지만 실시간 규칙 토글을 사용 설정하여 실시간으로 감지를 검색하는 규칙을 설정합니다.

규칙이 감지를 실시간으로 검색하도록 구성되면 즉각적인 위협 감지를 위해 실시간 데이터의 우선순위를 지정합니다.

규칙을 적용하려면 다음 단계를 완료합니다.

감지 > 규칙 및 감지를 클릭합니다.
규칙 대시보드 탭을 클릭합니다.
규칙의 more_vert 규칙 옵션 아이콘을 클릭하고 실시간 규칙이 사용 설정되도록 전환합니다.

실시간 규칙
규칙 감지 보기 를 선택하여 실시간 규칙의 감지를 확인합니다.

규칙 할당량 표시

규칙 대시보드의 오른쪽 상단에서 규칙 용량 을 클릭하여 실시간으로 사용 설정할 수 있는 규칙 수의 한도를 표시합니다.

Google SecOps에서 적용하는 규칙 한도는 다음과 같습니다.

여러 이벤트 규칙 할당량: 실시간으로 사용 설정된 여러 이벤트 규칙의 현재 수와 허용되는 최대 수를 표시합니다. 단일 이벤트 규칙과 여러 이벤트 규칙의 차이점에 대해 자세히 알아보세요.
총 규칙 할당량: 허용되는 최대 한도와 비교하여 모든 유형에서 현재 "실시간"으로 사용 설정된 총 규칙 수를 표시합니다.

규칙 실행

지정된 이벤트 시간 버킷의 실시간 규칙 실행은 빈도 감소로 트리거됩니다. 최종 정리 실행이며 이후에는 더 이상 실행이 시작되지 않습니다.

각 실행은 규칙에 사용된 최신 버전의 참조 목록과 최신 이벤트 및 항목 데이터 보강에서 실행됩니다.

일부 감지는 이후 실행에서만 감지될 경우 소급해서 생성될 수 있습니다. 예를 들어 마지막 실행에서 최신 버전의 참조 목록을 사용하므로 이제 더 많은 이벤트가 감지되고 새로운 보강으로 인해 이벤트와 항목 데이터가 다시 처리될 수 있습니다.

중복 삭제

match 섹션이 포함된 규칙의 경우 Google SecOps 는 일치 변수 값이 동일하고 인접한 시간 창에서 발생하는 감지 및 알림을 자동으로 식별하고 삭제합니다. 이 중복 삭제 기능은 알림 피로를 줄이는 데 도움이 됩니다. 규칙을 개발할 때는 중복 삭제 기능이 보관되는 감지 및 알림 수에 영향을 미친다는 점에 유의하세요.

중복 삭제 예외

Google SecOps는 각 규칙 버전을 고유한 새 로직으로 취급합니다. 따라서 규칙의 새 버전을 만들면 과거 이벤트를 기반으로 반복 감지를 트리거할 수 있습니다. Google SecOps는 이러한 감지가 중복으로 보이더라도 삭제하지 않습니다.

감지 지연 시간

실시간 규칙이 감지를 생성하는 데 걸리는 시간은 다양한 요인에 따라 달라집니다. 자세한 내용은 규칙 감지 지연 이해를 참고하세요.

규칙 상태

실시간 규칙에는 다음 상태 중 하나가 포함될 수 있습니다.

사용 설정됨: 규칙이 활성 상태이고 실시간 규칙으로 정상 작동합니다.
사용 중지: 규칙이 사용 중지되었습니다.
제한됨: 리소스 사용량이 비정상적으로 높은 경우 실시간 규칙이 이 상태로 설정될 수 있습니다. 제한됨 규칙은 Google SecOps의 안정성이 유지되도록 시스템의 다른 실시간 규칙과 격리됩니다.

제한됨 실시간 규칙의 경우 성공적인 규칙 실행이 항상 가능한 것은 아닙니다. 그러나 규칙 실행이 성공하면 감지 항목이 보관되고 이를 검토할 수 있습니다. 제한됨 라이브 규칙은 항상 오류 메시지를 생성합니다. 여기에는 규칙의 성능을 향상시키는 방법에 대한 권장사항이 포함됩니다.

제한됨 규칙의 성능이 3일 이내에 개선되지 않으면 상태가 일시중지됨 으로 변경됩니다.

참고: 이 규칙에 최근 변경사항이 없는 경우 오류가 간헐적으로 발생할 수 있으며 자동으로 해결될 수 있습니다.
일시중지됨: 실시간 규칙이 3일 동안 제한됨 상태로 유지되고 성능 향상이 나타나지 않으면 이 상태로 전환됩니다. 이 규칙의 실행이 일시중지되고 규칙 성능 향상 방법이 포함된 오류 메시지가 반환됩니다.

실시간 규칙을 사용 설정됨 상태로 되돌리려면 YARA-L 권장사항에 따라 규칙 성능을 최적화하고 변경사항을 저장합니다. 규칙이 저장되면 규칙이 사용 설정됨 상태로 재설정되며 다시 제한됨 상태가 되기까지 최소 1시간이 걸립니다.

규칙을 실행 빈도를 줄이도록 구성하면 규칙의 성능 문제를 해결할 수 있습니다. 예를 들어 10분마다 실행되는 규칙을 1시간 또는 24시간에 한 번만 실행되도록 재구성할 수 있습니다. 그러나 규칙의 실행 빈도를 변경해도 해당 상태가 다시 사용 설정됨 으로 변경되지는 않습니다. 규칙을 약간 수정하고 저장하면 상태를 사용 설정됨 으로 자동 재설정할 수 있습니다.

규칙 상태는 규칙 대시보드 에 표시되고 Detection Engine API를 통해서도 액세스할 수 있습니다. 제한됨 또는 일시중지됨 상태의 규칙으로 생성된 오류는 ListErrors API 메서드를 사용해서 제공됩니다. 이 오류는 규칙이 제한됨 또는 일시중지됨 상태임을 나타내고 문제 해결 방법에 대한 문서 링크를 제공합니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.