Configura la supresión de alertas

Compatible con:

En este documento, se describen los mecanismos disponibles en Google Security Operations para suprimir las alertas ruidosas y priorizar las amenazas críticas. La supresión de alertas filtra automáticamente las alertas duplicadas y de bajo valor según criterios predefinidos. Esta supresión le brinda a tu equipo de SOC la capacidad de enfocarse en incidentes de seguridad de alta prioridad.

Puedes usar la supresión de alertas para administrar el volumen generado por varios activadores, como alertas duplicadas de la misma actividad subyacente, falsos positivos que resultan de sistemas mal configurados, lógica de reglas amplia que se activa en actividades conocidas y benignas, o períodos de mantenimiento planificados.

Google SecOps proporciona los siguientes métodos para administrar el volumen de alertas:

  • Limitación: Suprime las detecciones repetitivas de la misma actividad durante un período definido (por ejemplo, 1 hora) después de que se activa la alerta inicial.

  • Exclusiones: Una exclusión evita detecciones específicas filtrando las coincidencias antes de que activen una alerta. Los eventos que cumplen con la lógica de la regla, pero no con los criterios de exclusión, activan las detecciones con normalidad.

  • Guías de SOAR: Proporcionan supresión de alertas con límite de tiempo en función de búsquedas de entidades específicas, como direcciones IP o nombres de host.

  • Agrupación de alertas de SOAR: Agrupa automáticamente alertas similares en un solo caso según tus criterios para optimizar las investigaciones.

Suprime alertas con la limitación

La limitación suprime las detecciones durante un período especificado después de una coincidencia de regla inicial. Cuando usas las opciones suppression_window y suppression_key en la lógica de la regla, el sistema genera una detección solo para la primera combinación única de la clave de supresión. Google SecOps suprime todas las coincidencias posteriores para esa misma combinación hasta que venza la ventana definida.

Este método reduce de manera eficaz las detecciones duplicadas causadas por la misma actividad subyacente.

Casos de uso

  • Ejecución de PowerShell: Suprime las alertas repetitivas para el mismo usuario y host durante una hora después del evento inicial.

  • Análisis de red: Suprime las alertas repetitivas de un escáner de puertos malicioso durante seis horas después de la primera detección.

Supervisa las reglas ruidosas

Para identificar las reglas ruidosas, haz lo siguiente:

  1. Accede a Google SecOps.

  2. Haz clic en Menú, selecciona Detección > Reglas y detecciones.

  3. En la pestaña Editor de reglas, selecciona la regla y haz clic en Probar.

  4. Ajusta el selector de período para analizar los datos de los últimos siete días. Si una regla genera más de 100 detecciones diarias, es probable que sea demasiado amplia.

  5. Haz clic en Menú y, luego, en Ver detecciones de reglas. Aparecerá la página de detalles de la detección.

  6. En el panel Filtrado de procedimientos, identifica los campos de UDM que contribuyen.

  7. Modifica la sección match o $suppression_key para reducir el volumen de detecciones.

Ejemplo: Identifica los accesos únicos por ubicación

Para identificar los accesos únicos por ubicación y, al mismo tiempo, evitar la fatiga por alertas, puedes suprimir las detecciones del mismo estado. Busca el campo de UDM event.principal.location.state para ver el recuento de detecciones por estado.

Si un estado específico muestra un recuento excesivamente alto, agrega ese campo a tu clave suppression o match. Esto garantiza que el sistema active solo una detección para cada ubicación de acceso única.

Configura la limitación de detecciones

La limitación suprime las detecciones durante un período especificado después de que se activa una alerta inicial. Para limitar las detecciones duplicadas, agrega un suppression_window a la sección options de tu regla. Deben aplicarse las siguientes pautas:

  • Reglas de evento único: Define la variable $suppression_key en la sección outcome para que actúe como la clave de anulación de duplicación.

  • Reglas de varios eventos: Usa las variables de la sección match como la clave de anulación de duplicación.

  • Duración de la ventana: Asegúrate de que suppression_window sea mayor o igual que el tamaño de la ventana de match. Si la configuras con la misma duración, la regla se comporta como si no se aplicara ninguna supresión.

  • Límite: No hay un límite máximo para la duración de la ventana de supresión.

  • Compatibilidad: La limitación se aplica a las reglas de evento único y de varios eventos, y a las reglas personalizadas y seleccionadas.

Ejemplo: Supervisa la actividad de uso compartido de archivos de Windows

La siguiente regla supervisa la actividad de uso compartido de archivos de Windows. Crea una detección para cada usuario y nombre de host únicos en un período de 60 minutos (1hr) y, luego, suprime las coincidencias repetitivas para la misma combinación durante 24 horas (24h).


rule rule_noisy_winshares {

  meta:
   author = "Google Cloud Security"

  events:
    $e.metadata.event_type = "NETWORK_CONNECTION"
    $e.target.resource.name = /(C|ADMIN|IPC)\$/ nocase
    $user = $e.principal.user.userid
    $hostname = $e.target.hostname

  match:
    $hostname, $user over 1h

  outcome:
    $sharename = array_distinct($e.target.resource.name)

  condition:
    $e

  options:
    suppression_window = 24h
}

Esta configuración permite que los analistas investiguen la actividad inicial sin procesar alertas duplicadas para el mismo usuario y host durante el período de supresión.

Suprime alertas con exclusiones de reglas

Una exclusión evita detecciones específicas filtrando las coincidencias antes de que generen una alerta. Si una coincidencia cumple con la lógica de exclusión, el sistema suprime la detección. Los eventos que cumplen con la lógica de la regla, pero no con los criterios de exclusión, siguen activando detecciones con normalidad. Una vez aplicadas, las exclusiones permanecen activas hasta que las inhabilitas de forma manual.

Puedes ver, administrar y auditar la lista completa de exclusiones y los metadatos asociados en la pestaña Exclusiones de la página Reglas y detecciones. También puedes usar la función Exclusión de prueba para evaluar cómo los filtros específicos afectan tu volumen de detección antes de aplicarlos.

Para crear exclusiones con la API, consulta Administra la exclusión de reglas con la API.

Casos de uso

  • Suprimir la ejecución legítima de PowerShell por parte de herramientas de TI autorizadas

  • Excluye los escáneres de vulnerabilidades internos que realizan análisis de puertos de alto volumen.

Cómo crear exclusiones de reglas

Para crear exclusiones para una regla ruidosa, sigue estos pasos:

  1. Accede a Google SecOps.

  2. Ve a Menú > Detección > Reglas y detecciones.

  3. En la pestaña Panel de reglas, busca reglas con recuentos de detección altos.

  4. Haz clic en el Nombre de la regla para abrir la página Detecciones.

  5. Haz clic en Opciones de regla > Excluir.

  6. Especifica estos detalles para agregar el filtro de exclusión:

    • Nombre de la exclusión

    • Las reglas o los conjuntos de reglas a los que se aplica

    • Son los criterios de exclusión para suprimir las detecciones cuando se cumplen las condiciones especificadas. Para agregar varias condiciones, sigue estos lineamientos:

      1. Para crear una relación lógica OR, ingresa varios valores en una sola fila con la tecla Intro.

        Por ejemplo, principal.ip IS 192.158.1.38 OR principal.ip IS 192.186.0.2

      2. Haz clic en + Declaración condicional para agregar una declaración nueva que tenga una relación lógica AND con la declaración anterior.

        Por ejemplo, (principal.ip IS 192.158.1.38 OR principal.ip IS 192.186.0.2) AND (principal.user.userid CONTAINS sensitive)

  7. Opcional: Haz clic en Probar exclusión para ver cómo el filtro mide las detecciones reducidas en los últimos 30 días. Ajusta tus criterios según los resultados.

  8. Haz clic en Crear para activar la exclusión.

Administra las exclusiones de reglas

Para administrar las exclusiones, sigue estos pasos:

  1. Accede a Google SecOps.

  2. Ve a Menú > Detección > Reglas y detecciones.

  3. Ve a la pestaña Exclusiones para ver la lista de exclusiones. Puedes hacer lo siguiente:

    • Para habilitar o inhabilitar una exclusión, activa o desactiva el botón de activación Habilitado.

    • Para filtrar las exclusiones, haz clic en Filtrar.

    • Para editar una exclusión, haz clic en Menú > Editar.

    • Para archivar una exclusión, haz clic en Menú > Archivar.

    • Para restablecer una exclusión, haz clic en Menú > Desarchivar.

Para crear y administrar exclusiones de reglas con la API, consulta Administra la exclusión de reglas con la API.

Limitaciones

Cuando configures exclusiones, ten en cuenta las siguientes limitaciones:

  • Reglas compuestas: No apliques una exclusión de regla directamente a una regla compuesta. Debes aplicar la exclusión a las reglas subyacentes fundamentales que se incorporan a la regla compuesta. Esto se debe a que las exclusiones de reglas se evalúan en función de los campos de UDM (como principal.user.userid), pero las reglas compuestas se activan en función de otras detecciones, no de los campos de UDM. Si aplicas una exclusión de regla directamente a una regla compuesta, la exclusión no coincidirá y el evento no se excluirá.

    Para encontrar la regla fundamental, sigue estos pasos:

    1. Navega a Content Hub en la consola de Google SecOps.
    2. Haz clic en la pestaña Detecciones seleccionadas (o busca el paquete de reglas específico).
    3. Busca la regla compuesta y haz clic en Ver y administrar.
    4. Selecciona Definición de la regla para ver el código fuente de YARA-L subyacente.
    5. Revisa la sección events: de la lógica de YARA-L para identificar los nombres de las reglas fundamentales.

  • Sintaxis de consulta y profundidad de campo: Las consultas de exclusión de la API deben usar la sintaxis booleana de forma normal conjuntiva (CNF) plana y las rutas de acceso de campo de UDM con hasta 6 segmentos separados por puntos. Para obtener más información, consulta Sintaxis de consultas y reglas de campos.

Además, ten en cuenta estas diferencias funcionales entre la consola y la API:

  • Alcance de la regla: En la consola, puedes aplicar exclusiones a varias reglas seleccionadas de forma simultánea, pero solo puedes aplicarlas a una sola regla personalizada a la vez.

  • Variables de resultado: Para crear exclusiones que usen lógica basada en variables de resultado, debes usar la API.

Suprime alertas con las guías de SOAR

Las guías de SOAR ayudan a identificar y suprimir alertas duplicadas según criterios de búsqueda específicos. La guía de soluciones suprime las alertas hasta un tiempo de vencimiento predefinido, después del cual quita automáticamente las alertas de la tabla. Los analistas usan este método para suprimir alertas de entidades específicas, como direcciones IP o nombres de host, durante un período determinado.

A diferencia de otros métodos, este mecanismo hace un seguimiento de los datos históricos y proporciona un registro de auditoría explícito de las acciones de supresión dentro de los detalles del caso.

Caso de uso

Suprimir las alertas posteriores para las solicitudes de conexión entrantes de una dirección IP sospechosa después de la alerta inicial, mientras se mantiene un registro de auditoría de supresión.

Agrupa alertas en SOAR

La agrupación de alertas agrupa automáticamente alertas similares generadas en un período de 24 horas en función de los criterios que definas. El sistema consolida las alertas agrupadas en un solo caso para su investigación.

Para obtener más información, consulta Mecanismo de agrupación de alertas.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.