Configura la supresión de alertas

Compatible con:

En este documento, se describen los mecanismos disponibles en Google Security Operations para suprimir alertas ruidosas y priorizar amenazas críticas. La supresión de alertas filtra automáticamente las alertas duplicadas y de bajo valor según criterios predefinidos. Esta supresión le permite a tu equipo del SOC enfocarse en incidentes de seguridad de alta prioridad.

Puedes usar la supresión de alertas para administrar el volumen generado por varios activadores, como alertas duplicadas de la misma actividad subyacente, falsos positivos que resultan de sistemas mal configurados, lógica de reglas amplia que se activa en actividades benignas conocidas o períodos de mantenimiento planificados.

Google SecOps proporciona los siguientes métodos para administrar el volumen de alertas:

  • Limitación: Suprime las detecciones repetitivas de la misma actividad durante un período definido (por ejemplo, 1 hora) después de que se activan las alertas iniciales.

  • Exclusiones: Una exclusión evita detecciones específicas filtrando las coincidencias antes de que activen una alerta. Los eventos que cumplen con la lógica de la regla, pero no con los criterios de exclusión, activan las detecciones de forma normal.

  • Guías de SOAR: Proporciona supresión de alertas con plazos determinados según búsquedas de entidades específicas, como direcciones IP o nombres de host.

  • Agrupación de alertas de SOAR: Agrupa automáticamente alertas similares en un solo caso según tus criterios para optimizar las investigaciones.

Suprime alertas mediante la limitación

La limitación suprime las detecciones durante un período especificado después de una coincidencia de regla inicial. Cuando usas las opciones suppression_window y suppression_key en la lógica de la regla, el sistema genera una detección solo para la primera combinación única de la clave de supresión. Google SecOps suprime todas las coincidencias posteriores para esa misma combinación hasta que venza el período definido.

Este método reduce de manera eficaz las detecciones duplicadas causadas por la misma actividad subyacente.

Casos de uso

  • Ejecución de PowerShell: Suprime las alertas repetitivas para el mismo usuario y host durante una hora después del evento inicial.

  • Análisis de red: Suprime las alertas repetitivas de un analizador de puertos malicioso durante seis horas después de la primera detección.

Supervisa las reglas ruidosas

Para identificar las reglas ruidosas, haz lo siguiente:

  1. Accede a Google SecOps.

  2. Haz clic en Menú y selecciona Detección > Reglas y detecciones.

  3. En la pestaña Editor de reglas , selecciona la regla y haz clic en Probar.

  4. Ajusta el selector de período para analizar los datos de los últimos siete días. Si una regla genera más de 100 detecciones por día, es probable que sea demasiado amplia.

  5. Haz clic en Menú y, luego, en Ver detecciones de reglas. Aparecerá la página de detalles de la detección.

  6. En el panel Filtrado de procedimientos, identifica los campos de UDM que contribuyen.

  7. Modifica la sección match o $suppression_key para reducir el volumen de detecciones.

Ejemplo: Identifica accesos únicos por ubicación

Para identificar accesos únicos por ubicación y evitar la fatiga de alertas, puedes suprimir las detecciones del mismo estado. Busca el campo de UDM event.principal.location.state para ver el recuento de detecciones por estado.

Si un estado específico muestra un recuento excesivamente alto, agrega ese campo a tu clave suppression o match. Esto garantiza que el sistema active solo una detección para cada ubicación de acceso única.

Configura la limitación de detecciones

La limitación suprime las detecciones durante un período especificado después de que se activan las alertas iniciales. Para limitar las detecciones duplicadas, agrega una suppression_window a la sección options de la regla. Deben aplicarse las siguientes pautas:

  • Reglas de evento único: Define la variable $suppression_key en la sección outcome para que actúe como la clave de deduplicación.

  • Reglas de varios eventos: Usa las variables de la sección match como la clave de deduplicación.

  • Duración de la ventana: Asegúrate de que el suppression_window sea mayor o igual que el tamaño de la ventana match. Si la configuras con la misma duración, la regla se comporta como si no se aplicara ninguna supresión.

  • Límite: No hay un límite máximo para la duración de la ventana de supresión.

  • Compatibilidad: La limitación se aplica a las reglas de evento único y de varios eventos, y a las reglas personalizadas y seleccionadas.

Ejemplo: Supervisa la actividad de archivos compartidos de Windows

La siguiente regla supervisa la actividad de archivos compartidos de Windows. Crea una detección para cada usuario y nombre de host únicos en un período de 60 minutos (1hr) y, luego, suprime las coincidencias repetitivas para la misma combinación durante 24 horas (24h).


rule rule_noisy_winshares {

  meta:
   author = "Google Cloud Security"

  events:
    $e.metadata.event_type = "NETWORK_CONNECTION"
    $e.target.resource.name = /(C|ADMIN|IPC)\$/ nocase
    $user = $e.principal.user.userid
    $hostname = $e.target.hostname

  match:
    $hostname, $user over 1h

  outcome:
    $sharename = array_distinct($e.target.resource.name)

  condition:
    $e

  options:
    suppression_window = 24h
}

Esta configuración permite que los analistas investiguen la actividad inicial sin procesar alertas duplicadas para el mismo usuario y host durante el período de supresión.

Suprime alertas con exclusiones de reglas

Una exclusión evita detecciones específicas filtrando las coincidencias antes de que activen una alerta. Si una coincidencia satisface la lógica de exclusión, el sistema suprime la detección. Los eventos que cumplen con la lógica de la regla, pero no con los criterios de exclusión, siguen activando las detecciones de forma normal. Una vez aplicadas, las exclusiones permanecen activas hasta que las inhabilitas de forma manual.

Puedes ver, administrar y auditar la lista completa de exclusiones y los metadatos asociados en la pestaña Exclusiones de la página Reglas y detecciones. También puedes usar la función Probar exclusión para evaluar cómo los filtros específicos afectan el volumen de detección antes de aplicarlos.

Para crear exclusiones con la API, consulta Administra la exclusión de reglas con la API.

Casos de uso

  • Suprime la ejecución legítima de PowerShell con herramientas de TI autorizadas.

  • Excluye los analizadores de vulnerabilidades internos que realizan análisis de puertos de gran volumen.

Crea exclusiones de reglas

Para crear exclusiones para una regla ruidosa, sigue estos pasos:

  1. Accede a Google SecOps.

  2. Ve a Menú > Detección > Reglas y detecciones.

  3. En la pestaña Panel de reglas, busca reglas con recuentos de detección altos.

  4. Haz clic en el Nombre de la regla para abrir la página Detecciones.

  5. Haz clic en Opciones de regla > Excluir.

  6. Especifica estos detalles para agregar el filtro de exclusión:

    • Nombre de la exclusión

    • Reglas o conjuntos de reglas a los que se aplica

    • Los criterios de exclusión para suprimir las detecciones cuando se cumplen las condiciones especificadas. Para agregar varias condiciones, sigue estas instrucciones:

      1. Para crear una relación OR lógica, ingresa varios valores en una sola fila con la tecla Intro.

        Por ejemplo, principal.ip IS 192.158.1.38 OR principal.ip IS 192.186.0.2

      2. Haz clic en + Instrucción condicional para agregar una instrucción nueva que tenga una relación AND lógica con la instrucción anterior.

        Por ejemplo, (principal.ip IS 192.158.1.38 OR principal.ip IS 192.186.0.2) AND (principal.user.userid CONTAINS sensitive)

  7. Opcional: Haz clic en Probar exclusión para ver cómo el filtro mide las detecciones reducidas durante los últimos 30 días. Ajusta tus criterios según los resultados.

  8. Haz clic en Crear para activar la exclusión.

Administra las exclusiones de reglas

Para administrar las exclusiones, sigue estos pasos:

  1. Accede a Google SecOps.

  2. Ve a Menú > Detección > Reglas y detecciones.

  3. Ve a la pestaña Exclusiones para ver la lista de exclusiones. Puedes hacer lo siguiente:

    • Para habilitar o inhabilitar una exclusión, activa o desactiva el botón Habilitado.

    • Para filtrar las exclusiones, haz clic en Filtrar.

    • Para editar una exclusión, haz clic en Menú > Editar.

    • Para archivar una exclusión, haz clic en Menú > Archivar.

    • Para restablecer una exclusión, haz clic en Menú > Desarchivar.

Para crear y administrar exclusiones de reglas con la API, consulta Administra la exclusión de reglas con la API.

Limitaciones

Cuando configures exclusiones, ten en cuenta las siguientes limitaciones:

  • Reglas compuestas: Las exclusiones de campos de UDM se evalúan en función de los eventos sin procesar. Si intentas excluir valores de UDM específicos de una regla compuesta (que se activa en función de otras detecciones en lugar de eventos sin procesar), debes aplicar la exclusión a las reglas subyacentes fundamentales que alimentan la regla compuesta.

    Para encontrar la regla fundamental, haz lo siguiente:

    1. Navega a Content Hub en la consola de Google SecOps.
    2. Haz clic en la pestaña Detecciones seleccionadas (o busca el paquete de reglas específico).
    3. Busca la regla compuesta y haz clic en Ver y administrar.
    4. Selecciona Definición de regla para ver el código fuente de YARA-L subyacente.
    5. Revisa la sección events: de la lógica de YARA-L para identificar los nombres de las reglas fundamentales.

Además, ten en cuenta estas diferencias funcionales entre la consola y la API:

  • Alcance de la regla: En la consola, puedes aplicar exclusiones a varias reglas seleccionadas de forma simultánea, pero solo puedes aplicar a una sola regla personalizada a la vez.

  • Variables de resultado: Para crear exclusiones que usen lógica basada en variables de resultado, debes usar la API.

Suprime alertas con guías de SOAR

Las guías de SOAR ayudan a identificar y suprimir alertas duplicadas según criterios de búsqueda específicos. La guía suprime las alertas hasta una hora de vencimiento predefinida, después de la cual las quita automáticamente de la tabla. Los analistas usan este método para suprimir alertas de entidades específicas, como direcciones IP o nombres de host, durante un período determinado.

A diferencia de otros métodos, este mecanismo hace un seguimiento de los datos históricos y proporciona un registro de auditoría explícito de las acciones de supresión dentro de los detalles del caso.

Caso de uso

Suprime las alertas posteriores para las solicitudes de conexión entrantes de una dirección IP sospechosa después de la alerta inicial, mientras mantienes un registro de auditoría de supresión.

Agrupa alertas en SOAR

La agrupación de alertas agrupa automáticamente alertas similares generadas en un período de las 24 horas según los criterios definidos. El sistema consolida las alertas agrupadas en un solo caso para su investigación.

Para obtener más información, consulta Mecanismo de agrupación de alertas.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.