配置提醒抑制
本文档介绍了 Google Security Operations 中可用于抑制干扰性提醒并确定关键威胁优先级的一些机制。提醒抑制功能会根据预定义的条件自动过滤重复和低价值的提醒。这种抑制功能使您的 SOC 团队能够专注于高优先级安全事件。
您可以使用提醒抑制功能来管理各种触发器生成的提醒数量，例如来自同一底层活动的重复提醒、系统配置错误导致的假正例、针对已知良性活动触发的宽泛规则逻辑，或计划内维护窗口。
Google SecOps 提供了以下方法来管理提醒数量：
限制：在初始提醒触发后，在指定时间窗口（例如 1 小时）内抑制对同一活动的重复检测。
排除项：排除项会在匹配项触发提醒之前对其进行过滤，从而防止特定检测。符合规则逻辑但不符合排除条件的事件会正常触发检测。
SOAR playbook：根据特定实体查找（例如 IP 地址或主机名）提供有时间限制的提醒抑制。
SOAR 提醒分组：根据您的条件自动将类似提醒归入一个案例中，以简化调查。
通过节流抑制提醒
限制功能会在初始规则匹配后的一段指定时间内抑制检测。在规则逻辑中使用 suppression_window 和 suppression_key 选项时，系统仅会针对抑制键的第一个唯一组合生成检测结果。Google SecOps 会抑制该相同组合的所有后续匹配，直到定义的窗口到期。
此方法可有效减少由同一底层活动引起的重复检测。
使用场景
PowerShell 执行：在初始事件发生后的一小时内，禁止针对同一用户和主机重复发出提醒。
网络扫描：在首次检测到恶意端口扫描器后，在 6 小时内抑制其发出的重复提醒。
监控干扰性规则
如需找出干扰性规则，请执行以下操作：
点击菜单，然后依次选择检测 > 规则和检测。
在规则编辑器标签页上，选择相应规则，然后点击测试。
调整时间范围选择器，以分析过去 7 天的数据。如果某条规则每天生成的检测结果超过 100 个，则该规则可能过于宽泛。
点击 菜单，然后点击查看规则检测。系统会显示检测详情页面。
在程序化过滤面板中，确定起作用的 UDM 字段。
修改
match部分或$suppression_key以减少检测量。
示例：按位置识别唯一登录
为了按位置识别唯一登录，同时防止警报疲劳，您可以抑制来自同一州的检测。查找 UDM 字段 event.principal.location.state，查看每个状态的检测计数。
如果特定状态显示的数量过高，请将该字段添加到 suppression 或 match 键中。这可确保系统仅针对每个唯一登录位置触发一次检测。
配置检测限制
在初始提醒触发后，限制功能会在指定时长内抑制检测。如需限制重复检测，请在规则的 options 部分中添加 suppression_window。需遵守以下指南：
单事件规则：在
outcome部分中定义$suppression_key变量，以充当重复信息删除键。多事件规则：使用
match部分中的变量作为重复信息删除键。时间窗口时长：确保
suppression_window大于或等于match时间窗口大小。如果您将其设置为相同的时长，则规则的行为就像未应用抑制一样。限制：不设最长抑制窗口时长。
兼容性：限制适用于单事件和多事件规则，以及自定义和精选规则。
示例：监控 Windows 文件共享活动
以下规则用于监控 Windows 文件共享活动。它会在 60 分钟 (1hr) 的时间范围内为每个唯一身份用户和主机名创建一项检测，然后在 24 小时 (24h) 内抑制同一组合的重复匹配。
rule rule_noisy_winshares {
meta:
author = "Google Cloud Security"
events:
$e.metadata.event_type = "NETWORK_CONNECTION"
$e.target.resource.name = /(C|ADMIN|IPC)\$/ nocase
$user = $e.principal.user.userid
$hostname = $e.target.hostname
match:
$hostname, $user over 1h
outcome:
$sharename = array_distinct($e.target.resource.name)
condition:
$e
options:
suppression_window = 24h
}
通过此配置，分析师可以调查初始活动，而无需在抑制窗口期间处理同一用户和主机的重复提醒。
使用规则排除项抑制提醒
排除项会在匹配项触发提醒之前对其进行过滤，从而防止特定检测。如果匹配项满足排除逻辑，系统会抑制检测。符合规则逻辑但不符合排除条件的事件会继续正常触发检测。排除项一经应用，就会保持有效状态，直到您手动将其停用。
您可以在规则和检测页面的排除项标签页中查看、管理和审核排除项的完整列表以及关联的元数据。您还可以使用测试排除功能，在应用特定过滤条件之前评估它们对检测量的影响。
如需使用 API 创建排除项，请参阅使用 API 管理规则排除项。
使用场景
禁止通过授权的 IT 工具执行合法的 PowerShell。
排除执行大批量端口扫描的内部漏洞扫描工具。
创建规则排除对象
如需为干扰性规则创建排除项，请按以下步骤操作：
依次点击菜单 > 检测 > 规则和检测。
在规则信息中心标签页中，查找检测次数较高的规则。
点击规则名称，打开检测页面。
依次点击规则选项 > 排除。
指定以下详细信息以添加排除过滤器：
排除项名称
适用的规则或规则集
排除条件，用于在满足指定条件时抑制检测。如需添加多个条件，请遵循以下准则：
如需创建逻辑“或”关系，请使用 Enter 键在单行中输入多个值。
例如
principal.ip IS 192.158.1.38 OR principal.ip IS 192.186.0.2。点击 + 条件语句，添加与上一语句具有逻辑
AND关系的新语句。例如
(principal.ip IS 192.158.1.38 OR principal.ip IS 192.186.0.2) AND (principal.user.userid CONTAINS sensitive)。
可选：点击测试排除项，查看过滤条件如何衡量过去 30 天内减少的检测。根据结果调整条件。
点击创建以启用排除。
管理规则排除项
如需管理排除对象，请按以下步骤操作：
依次点击菜单 > 检测 > 规则和检测。
前往排除对象标签页，查看排除对象列表。您可以执行以下操作：
如需启用或停用排除项，请切换已启用开关。
如需过滤排除项，请点击 过滤。
如需修改排除对象，请依次点击 菜单 > 修改。
如需归档排除对象，请依次点击 菜单 > 归档。
如需恢复排除对象，请依次点击菜单 > 取消归档。
如需使用 API 创建和管理规则排除，请参阅通过 API 管理规则排除。
限制
配置排除项时，请注意以下限制：
复合规则：请勿直接对复合规则应用规则排除。您必须将排除规则应用于构成复合规则的基础底层规则。这是因为系统会根据 UDM 字段（例如
principal.user.userid）评估规则排除项，但复合规则是根据其他检测结果（而非 UDM 字段）触发的。如果您直接将规则排除项应用于复合规则，则排除项将无法匹配，并且事件不会被排除。如需查找基础规则，请执行以下操作：
- 在 Google SecOps 控制台中，前往内容中心。
- 点击精选检测标签页（或搜索特定规则包）。
- 找到复合规则，然后点击查看和管理。
- 选择规则定义，查看底层 YARA-L 源代码。
- 查看 YARA-L 逻辑的
events:部分，以确定基础规则名称。
查询语法和字段深度：API 排除查询必须使用扁平合取范式 (CNF) 布尔语法和 UDM 字段路径，其中最多包含 6 个以英文句点分隔的片段。如需了解详情，请参阅查询语法和字段规则。
此外，请注意控制台和 API 之间的以下功能差异：
规则范围：在控制台中，您可以同时将排除项应用于多个精选规则，但一次只能应用于一个自定义规则。
结果变量：如需创建使用基于结果变量的逻辑的排除对象，您必须使用 API。
通过 SOAR playbook 抑制提醒
SOAR playbook 有助于根据特定查找条件识别和抑制重复提醒。该 playbook 会在预定义的到期时间之前抑制提醒，到期后会自动从表中移除提醒。分析师使用此方法在设定的时长内抑制特定实体（例如 IP 地址或主机名）的提醒。
与其他方法不同，此机制会跟踪历史数据，并在案例详情中提供明确的抑制操作审核跟踪记录。
使用场景
在初始提醒后，抑制来自可疑 IP 地址的传入连接请求的后续提醒，同时维护抑制审核跟踪记录。
在 SOAR 中对提醒进行分组
提醒分组功能会根据您定义的条件，自动将 24 小时内生成的类似提醒归为一组。系统会将分组后的提醒整合到一个案例中，以便进行调查。
如需了解详情，请参阅提醒分组机制。
需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。