設定警告抑制
本文說明 Google Security Operations 提供的機制，可抑制干擾警示，並優先處理重大威脅。系統會根據預先定義的條件，自動篩除重複和低價值的警告。這樣一來，資安營運中心團隊就能專注處理高優先順序的資安事件。
您可以透過快訊抑制功能，管理各種觸發條件產生的快訊量，例如來自相同基礎活動的重複快訊、因系統設定錯誤而產生的誤判、觸發已知良性活動的廣泛規則邏輯，或是排定的維護時段。
Google SecOps 提供下列方法來管理警告數量：
節流：在初始警報觸發後，於指定時間範圍內 (例如 1 小時) 抑制重複偵測到相同活動。
排除條件：排除條件會在相符項目觸發警示前，先篩除這些項目，防止特定偵測項目觸發警示。符合規則邏輯但不符合排除條件的事件，會正常觸發偵測。
SOAR 劇本：根據特定實體查詢 (例如 IP 位址或主機名稱) 提供有時間限制的快訊抑制功能。
SOAR 快訊分組：根據您的條件，自動將類似的快訊歸類為單一案件，簡化調查作業。
透過節流機制抑制快訊
節流功能會在初始規則比對後，在指定時間內抑制偵測。在規則邏輯中使用 suppression_window 和 suppression_key 選項時，系統只會針對抑制鍵的第一個不重複組合產生偵測結果。在定義的時間範圍到期前，Google SecOps 會抑制該組合的所有後續相符項目。
這個方法可有效減少因相同基礎活動而重複偵測到的事件。
用途
PowerShell 執行：在初始事件發生後一小時內，針對同一使用者和主機，抑制重複的快訊。
網路掃描：首次偵測到惡意通訊埠掃描器後，在六小時內抑制重複的警示。
監控雜訊規則
如要找出雜訊規則，請按照下列步驟操作：
依序點選「選單」>「偵測」>「規則和偵測」。
在「規則編輯器」分頁中選取規則，然後按一下「測試」。
調整日期範圍選取器，分析過去七天的資料。如果規則每天產生超過 100 項偵測結果，可能代表範圍太廣。
依序按一下「選單」和「查看規則偵測結果」。偵測詳細資料頁面隨即顯示。
在「程序篩選」面板中，找出有助於篩選的 UDM 欄位。
修改
match區段或$suppression_key，減少偵測量。
範例：依據位置識別不重複的登入次數
如要依據位置識別不重複的登入活動，同時避免警示疲勞，可以禁止系統偵測來自同一州的活動。查看 UDM 欄位 event.principal.location.state，瞭解各州的偵測次數。
如果特定狀態顯示的計數過高，請將該欄位新增至 suppression 或 match 鍵。這可確保系統只會針對每個不重複的登入位置觸發一次偵測。
設定偵測調節
在初始警示觸發後，節流功能會在指定時間內抑制偵測。如要限制重複偵測，請在規則的 options 部分新增 suppression_window。請遵守下列規範：
單一事件規則：在
outcome區段中定義$suppression_key變數，做為簡化鍵。多事件規則：使用
match區段中的變數做為簡化鍵。時間範圍長度：請確認
suppression_window大於或等於match時間範圍大小。如果設為相同時間長度，規則的行為會如同未套用抑制。限制：抑制時間長度沒有上限。
相容性：節流適用於單一和多重事件規則，以及自訂和精選規則。
範例：監控 Windows 檔案共用活動
下列規則會監控 Windows 檔案共用活動。系統會在 60 分鐘 (1hr) 內，針對每位不重複使用者和主機名稱建立一次偵測結果，然後在 24 小時內 (24h)，針對相同組合抑制重複比對。
rule rule_noisy_winshares {
meta:
author = "Google Cloud Security"
events:
$e.metadata.event_type = "NETWORK_CONNECTION"
$e.target.resource.name = /(C|ADMIN|IPC)\$/ nocase
$user = $e.principal.user.userid
$hostname = $e.target.hostname
match:
$hostname, $user over 1h
outcome:
$sharename = array_distinct($e.target.resource.name)
condition:
$e
options:
suppression_window = 24h
}
這項設定可讓分析人員調查初始活動，而不必在抑制期間處理同一使用者和主機的重複警示。
使用規則排除條件抑制警告
排除條件會在觸發快訊前篩除相符項目，避免特定偵測項目。如果相符項目符合排除邏輯，系統就會抑制偵測結果。如果事件符合規則邏輯，但不符合排除條件，系統仍會正常觸發偵測。套用後，排除條件會保持啟用狀態，直到您手動停用為止。
您可以在「規則和偵測」頁面的「排除項目」分頁中，查看、管理及稽核完整的排除項目清單和相關中繼資料。您也可以使用測試排除功能，評估特定篩選器對偵測量的影響，再決定是否套用。
如要使用 API 建立排除條件，請參閱「使用 API 管理規則排除條件」。
用途
隱藏授權 IT 工具執行的合法 PowerShell。
排除執行大量通訊埠掃描的內部安全漏洞掃描程式。
建立規則排除條件
如要為雜訊過多的規則建立排除條件，請按照下列步驟操作：
依序前往「Menu」(選單) >「Detection」(偵測) >「Rules and Detections」(規則和偵測)。
在「規則資訊主頁」分頁中，找出偵測次數偏高的規則。
按一下「規則名稱」，開啟「偵測結果」頁面。
依序點選「規則選項」>「排除」。
指定下列詳細資料，即可新增排除篩選器：
排除條件名稱
適用的規則或規則集
符合指定條件時，用於抑制偵測的排除條件。如要新增多項條件，請遵循下列指引：
如要建立邏輯 OR 關係，請使用 Enter 鍵在單一資料列中輸入多個值。
例如
principal.ip IS 192.158.1.38 OR principal.ip IS 192.186.0.2。按一下「+ Conditional Statement」，新增與前一個陳述式具有邏輯
AND關係的新陳述式。例如
(principal.ip IS 192.158.1.38 OR principal.ip IS 192.186.0.2) AND (principal.user.userid CONTAINS sensitive)。
(選用) 按一下「測試排除條件」，查看篩選器在過去 30 天內減少的偵測次數。根據結果調整條件。
按一下「建立」即可啟用排除條件。
管理規則排除條件
如要管理排除條件，請按照下列步驟操作：
依序前往「Menu」(選單) >「Detection」(偵測) >「Rules and Detections」(規則和偵測)。
前往「排除條件」分頁，查看排除條件清單。您可以採取以下做法：
如要啟用或停用排除條件，請切換「已啟用」切換鈕。
如要篩選排除項目，請按一下 「Filter」(篩選)。
如要編輯排除項目，請依序點選「選單」「編輯」。
如要封存排除條件，請按一下 「選單」「封存」。
如要還原排除條件，請依序按一下「選單」圖示 「取消封存」。
如要使用 API 建立及管理規則排除項目，請參閱「透過 API 管理規則排除項目」。
限制
設定排除條件時，請注意下列限制：
複合規則：請勿直接對複合規則套用規則排除條件。您必須將排除條件套用至複合規則的基礎基礎規則。這是因為系統會根據 UDM 欄位 (例如
principal.user.userid) 評估規則排除條件，但複合規則是根據其他偵測結果 (而非 UDM 欄位) 觸發。如果直接對複合規則套用規則排除條件，排除條件將無法比對，事件也不會遭到排除。如要找出基礎規則，請按照下列步驟操作：
- 前往 Google SecOps 控制台的「內容中心」。
- 按一下「精選偵測規則」分頁標籤 (或搜尋特定規則套件)。
- 找出複合規則，然後按一下「查看及管理」。
- 選取「規則定義」，即可查看基礎 YARA-L 原始碼。
- 查看 YARA-L 邏輯的
events:部分，找出基礎規則名稱。
此外，請注意控制台和 API 之間的功能差異：
規則範圍：在控制台中，您可以同時將排除條件套用至多個精選規則，但一次只能套用至一個自訂規則。
結果變數：如要建立排除條件，並根據結果變數使用邏輯，請務必使用 API。
透過 SOAR 應對手冊抑制警告
SOAR 應對手冊可根據特定查詢條件，協助識別及抑制重複的警告。應對手冊會隱藏警告，直到預先定義的到期時間，然後自動從表格中移除警告。分析師會使用這個方法，在特定時間內隱藏特定實體 (例如 IP 位址或主機名稱) 的警示。
與其他方法不同，這項機制會追蹤歷來資料，並在案件詳細資料中提供明確的隱藏動作稽核追蹤記錄。
用途
在收到初始快訊後，針對來自可疑 IP 位址的連線要求，抑制後續快訊，同時保留抑制稽核追蹤記錄。
在 SOAR 中將警告分組
快訊分組功能會根據您定義的條件，自動將 24 小時內產生的類似快訊分組。系統會將分組的警示整合到單一案件中，以便調查。
詳情請參閱「快訊分組機制」。
還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。