Mengonfigurasi penghentian pemberitahuan

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan mekanisme yang tersedia di Google Security Operations untuk menekan pemberitahuan yang mengganggu dan memprioritaskan ancaman kritis. Penekanan pemberitahuan secara otomatis memfilter pemberitahuan duplikat dan bernilai rendah berdasarkan kriteria yang telah ditentukan. Penekanan ini memberi tim SOC Anda kemampuan untuk berfokus pada insiden keamanan prioritas tinggi.

Anda dapat menggunakan penonaktifan pemberitahuan untuk mengelola volume yang dihasilkan oleh berbagai pemicu, seperti pemberitahuan duplikat dari aktivitas dasar yang sama, positif palsu yang dihasilkan dari sistem yang salah dikonfigurasi, logika aturan luas yang dipicu pada aktivitas yang diketahui dan tidak berbahaya, atau masa pemeliharaan yang direncanakan.

Google SecOps menyediakan metode berikut untuk mengelola volume pemberitahuan:

• Throttling: Menekan deteksi berulang dari aktivitas yang sama selama rentang waktu yang ditentukan (misalnya, 1 jam) setelah pemberitahuan awal dipicu.

• Pengecualian: Pengecualian mencegah deteksi tertentu dengan memfilter kecocokan sebelum memicu pemberitahuan. Peristiwa yang memenuhi logika aturan, tetapi tidak memenuhi kriteria pengecualian akan memicu deteksi secara normal.

• Playbook SOAR: Memberikan penghentian pemberitahuan dengan batas waktu berdasarkan pencarian entitas tertentu, seperti alamat IP atau nama host.

• Pengelompokan pemberitahuan SOAR: Mengelompokkan pemberitahuan serupa secara otomatis ke dalam satu kasus berdasarkan kriteria Anda untuk menyederhanakan investigasi.

Menahan pemberitahuan melalui throttling

Throttling menyembunyikan deteksi selama durasi yang ditentukan setelah kecocokan aturan awal. Saat Anda menggunakan opsi suppression_window dan suppression_key dalam logika aturan, sistem hanya akan menghasilkan deteksi untuk kombinasi unik pertama dari kunci penghentian. Google SecOps menyembunyikan semua kecocokan berikutnya untuk kombinasi yang sama hingga periode yang ditentukan berakhir.

Catatan: Untuk aturan multi-peristiwa dan peristiwa tunggal berjendela (WSE), Anda tidak perlu menentukan suppression_key. Variabel pencocokan yang ditentukan dalam aturan digunakan untuk kriteria penghentian.

Metode ini secara efektif mengurangi deteksi duplikat yang disebabkan oleh aktivitas dasar yang sama.

Kasus penggunaan

• Eksekusi PowerShell: Menghapus pemberitahuan berulang untuk pengguna dan host yang sama selama satu jam setelah peristiwa awal.

• Pemindaian jaringan: Menghapus pemberitahuan berulang dari pemindai port berbahaya selama enam jam setelah deteksi pertama.

Memantau aturan yang bising

Untuk mengidentifikasi aturan yang bising, lakukan hal berikut:

1. Login ke Google SecOps.

2. Klik Menu, pilih Detection > Rules and Detections.

3. Di tab Rules Editor, pilih aturan, lalu klik Test.

4. Sesuaikan pemilih rentang waktu untuk menganalisis data tujuh hari terakhir. Jika aturan menghasilkan lebih dari 100 deteksi setiap hari, kemungkinan aturan tersebut terlalu luas.

5. Klik Menu, lalu klik Lihat deteksi aturan. Halaman detail deteksi akan muncul.

6. Di panel Procedural Filtering, identifikasi kolom UDM yang berkontribusi.

7. Ubah bagian match atau $suppression_key untuk mengurangi volume deteksi.

Contoh: Mengidentifikasi login unik berdasarkan lokasi

Untuk mengidentifikasi login unik berdasarkan lokasi sekaligus mencegah kelelahan akibat peringatan, Anda dapat menyembunyikan deteksi dari negara bagian yang sama. Cari kolom UDM event.principal.location.state untuk melihat jumlah deteksi per status.

Jika status tertentu menunjukkan jumlah yang terlalu tinggi, tambahkan kolom tersebut ke kunci suppression atau match Anda. Hal ini memastikan sistem hanya mengaktifkan satu deteksi untuk setiap lokasi login yang unik.

Mengonfigurasi throttling deteksi

Throttling menyembunyikan deteksi selama durasi yang ditentukan setelah pemberitahuan awal dipicu. Untuk membatasi deteksi duplikat, tambahkan suppression_window ke bagian options aturan Anda. Panduan berikut berlaku:

• Aturan peristiwa tunggal: Tentukan variabel $suppression_key di bagian outcome untuk bertindak sebagai kunci penghapusan duplikat.

• Aturan multi-peristiwa: Gunakan variabel di bagian match sebagai kunci penghapusan duplikat.

• Durasi periode: Pastikan suppression_window lebih besar dari atau sama dengan ukuran periode match. Jika Anda menetapkannya ke durasi yang sama, aturan akan berperilaku seolah-olah tidak ada penekanan yang diterapkan.

• Batas: Tidak ada batas maksimum untuk durasi periode penonaktifan.

• Kompatibilitas: Throttling berlaku untuk aturan peristiwa tunggal dan banyak peristiwa, serta aturan kustom dan aturan yang diseleksi.

Contoh: Memantau aktivitas berbagi file Windows

Aturan berikut memantau aktivitas berbagi file Windows. Aturan ini membuat satu deteksi untuk setiap pengguna unik dan nama host dalam periode 60 menit (1hr), lalu menyembunyikan kecocokan berulang untuk kombinasi yang sama selama 24 jam (24h).

rule rule_noisy_winshares {

  meta:
   author = "Google Cloud Security"

  events:
    $e.metadata.event_type = "NETWORK_CONNECTION"
    $e.target.resource.name = /(C|ADMIN|IPC)\$/ nocase
    $user = $e.principal.user.userid
    $hostname = $e.target.hostname

  match:
    $hostname, $user over 1h

  outcome:
    $sharename = array_distinct($e.target.resource.name)

  condition:
    $e

  options:
    suppression_window = 24h
}

Konfigurasi ini memungkinkan analis menyelidiki aktivitas awal tanpa memproses pemberitahuan duplikat untuk pengguna dan host yang sama selama periode penekanan.

Menonaktifkan notifikasi menggunakan pengecualian aturan

Pengecualian mencegah deteksi tertentu dengan memfilter kecocokan sebelum memicu pemberitahuan. Jika kecocokan memenuhi logika pengecualian, sistem akan menyembunyikan deteksi. Peristiwa yang memenuhi logika aturan, tetapi tidak memenuhi kriteria pengecualian, akan terus memicu deteksi secara normal. Setelah diterapkan, pengecualian akan tetap aktif hingga Anda menonaktifkannya secara manual.

Catatan: Pengecualian hanya tersedia untuk aturan pilihan. Untuk aturan kustom, tambahkan logika penekanan langsung ke teks aturan, atau gunakan tabel data untuk mengelola daftar pengecualian yang dapat digunakan kembali di beberapa aturan.

Perhatian: Jangan terapkan pengecualian aturan langsung ke aturan gabungan. Anda harus menerapkan pengecualian ke aturan dasar yang mendasari aturan gabungan. Hal ini karena pengecualian aturan dievaluasi terhadap kolom UDM (seperti principal.user.userid), tetapi aturan gabungan dipicu berdasarkan deteksi lain, bukan kolom UDM. Jika Anda menerapkan pengecualian aturan langsung ke aturan gabungan, pengecualian tersebut akan gagal dicocokkan, dan peristiwa tidak akan dikecualikan.

Untuk menemukan aturan dasar:

1. Buka Content Hub di konsol Google SecOps.
2. Klik tab Pendeteksian Terseleksi (atau telusuri paket aturan tertentu).
3. Cari aturan gabungan, lalu klik Lihat & Kelola.
4. Pilih Rule Definition untuk melihat kode sumber YARA-L yang mendasarinya.
5. Tinjau bagian events: dari logika YARA-L untuk mengidentifikasi nama aturan dasar.

Anda dapat melihat, mengelola, dan mengaudit daftar lengkap pengecualian dan metadata terkait di tab Pengecualian di halaman Aturan dan Deteksi. Anda juga dapat menggunakan fitur Pengecualian Pengujian untuk menilai dampak filter tertentu terhadap volume deteksi sebelum menerapkannya.

Untuk membuat pengecualian menggunakan API, lihat Mengelola pengecualian aturan menggunakan API.

Kasus penggunaan

• Menekan eksekusi PowerShell yang sah oleh alat IT yang diizinkan.

• Mengecualikan pemindai kerentanan internal yang melakukan pemindaian port bervolume tinggi.

Membuat pengecualian aturan

Untuk membuat pengecualian bagi aturan yang berisik, ikuti langkah-langkah berikut:

1. Login ke Google SecOps.

2. Buka Menu > Detection > Rules and Detections.

3. Di tab Rules Dashboard, cari aturan dengan jumlah deteksi yang tinggi.

4. Klik Rule Name untuk membuka halaman Detections.

5. Klik Opsi Aturan > Kecualikan.

6. Tentukan detail berikut untuk menambahkan filter pengecualian:

   • Nama pengecualian

   • Aturan atau set aturan yang berlaku

   • Kriteria pengecualian untuk menyembunyikan deteksi saat kondisi yang ditentukan terpenuhi. Untuk menambahkan beberapa kondisi, ikuti panduan berikut:

     1. Untuk membuat hubungan OR logis, masukkan beberapa nilai dalam satu baris menggunakan tombol Enter.

        Contoh, principal.ip IS 192.158.1.38 OR principal.ip IS 192.186.0.2

     2. Klik + Pernyataan Bersyarat untuk menambahkan pernyataan baru yang memiliki hubungan AND logis dengan pernyataan sebelumnya.

        Contoh, (principal.ip IS 192.158.1.38 OR principal.ip IS 192.186.0.2) AND (principal.user.userid CONTAINS sensitive)

7. Opsional: Klik Test Exclusion untuk melihat cara filter mengukur pengurangan deteksi selama 30 hari terakhir. Sesuaikan kriteria Anda berdasarkan hasilnya.

8. Klik Buat untuk mengaktifkan pengecualian.

Mengelola pengecualian aturan

Untuk mengelola pengecualian, ikuti langkah-langkah berikut:

1. Login ke Google SecOps.

2. Buka Menu > Detection > Rules and Detections.

3. Buka tab Pengecualian untuk melihat daftar pengecualian. Anda dapat melakukan hal berikut:

   • Untuk mengaktifkan atau menonaktifkan pengecualian, klik tombol Diaktifkan.

   • Untuk memfilter pengecualian, klik Filter.

   • Untuk mengedit pengecualian, klik Menu > Edit.

   • Untuk mengarsipkan pengecualian, klik Menu > Arsipkan.

   • Untuk memulihkan pengecualian, klik Menu > Batalkan pengarsipan.

Untuk membuat dan mengelola pengecualian aturan menggunakan API, lihat Mengelola pengecualian aturan melalui API.

Batasan

Saat Anda mengonfigurasi pengecualian, perhatikan batasan berikut:

• Aturan gabungan: Jangan terapkan pengecualian aturan langsung ke aturan gabungan. Anda harus menerapkan pengecualian ke aturan dasar yang mendasari aturan gabungan. Hal ini karena pengecualian aturan dievaluasi terhadap kolom UDM (seperti principal.user.userid), tetapi aturan gabungan dipicu berdasarkan deteksi lain, bukan kolom UDM. Jika Anda menerapkan pengecualian aturan langsung ke aturan gabungan, pengecualian tersebut akan gagal dicocokkan, dan peristiwa tidak akan dikecualikan.

  Untuk menemukan aturan dasar:

  1. Buka Content Hub di konsol Google SecOps.
  2. Klik tab Pendeteksian Terseleksi (atau telusuri paket aturan tertentu).
  3. Cari aturan gabungan, lalu klik Lihat & Kelola.
  4. Pilih Rule Definition untuk melihat kode sumber YARA-L yang mendasarinya.
  5. Tinjau bagian events: dari logika YARA-L untuk mengidentifikasi nama aturan dasar.

• Sintaksis kueri dan kedalaman kolom: Kueri pengecualian API harus menggunakan sintaksis boolean Conjunctive Normal Form (CNF) datar dan jalur kolom UDM dengan maksimal 6 segmen yang dipisahkan titik. Untuk mengetahui informasi selengkapnya, lihat Aturan kolom dan sintaksis kueri.

Selain itu, perhatikan perbedaan fungsional berikut antara konsol dan API:

• Cakupan aturan: Pengecualian aturan hanya berlaku untuk aturan pilihan dan set aturan pilihan di konsol dan API. Aturan kustom tidak didukung. Untuk menyembunyikan pemberitahuan dari aturan kustom, tambahkan logika pengecualian ke teks aturan YARA-L, atau gunakan tabel data untuk mempertahankan daftar pengecualian di beberapa aturan. Untuk mengetahui informasi selengkapnya, lihat Memfilter data peristiwa dan entity UDM menggunakan tabel data dan Contoh left anti-join dalam aturan.

• Variabel hasil: Untuk membuat pengecualian yang menggunakan logika berdasarkan variabel hasil, Anda harus menggunakan API.

Menonaktifkan pemberitahuan melalui playbook SOAR

Playbook SOAR membantu mengidentifikasi dan menyembunyikan pemberitahuan duplikat berdasarkan kriteria pencarian tertentu. Playbook akan menyembunyikan pemberitahuan hingga waktu habis masa berlaku yang telah ditentukan, setelah itu pemberitahuan akan otomatis dihapus dari tabel. Analis menggunakan metode ini untuk menyembunyikan pemberitahuan untuk entitas tertentu, seperti alamat IP atau nama host, selama durasi yang ditetapkan.

Tidak seperti metode lain, mekanisme ini melacak data historis dan memberikan jejak audit eksplisit atas tindakan penekanan dalam detail kasus.

Kasus penggunaan

Menonaktifkan pemberitahuan berikutnya untuk permintaan koneksi masuk dari alamat IP yang mencurigakan setelah pemberitahuan awal, sekaligus mempertahankan jejak audit penonaktifan.

Mengelompokkan pemberitahuan di SOAR

Pengelompokan pemberitahuan secara otomatis mengelompokkan pemberitahuan serupa yang dihasilkan dalam jangka waktu 24 jam berdasarkan kriteria yang Anda tentukan. Sistem menggabungkan pemberitahuan yang dikelompokkan ke dalam satu kasus untuk penyelidikan.

Untuk mengetahui informasi selengkapnya, lihat Mekanisme pengelompokan pemberitahuan.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.