設定警告抑制
本文說明 Google Security Operations 提供的機制，可抑制干擾性警示，並優先處理重大威脅。警告抑制功能會根據預先定義的條件，自動篩除重複和低價值的警告。這項功能可讓資安營運中心團隊專注於高優先順序的資安事件。
您可以使用快訊抑制功能，管理各種觸發條件產生的快訊數量，例如相同基礎活動產生的重複快訊、系統設定錯誤導致的偽陽性、觸發已知良性活動的廣泛規則邏輯，或排定的維護期間。
Google SecOps 提供下列方法來管理警告數量：
調節：在初始警示觸發後，在定義的時間範圍內 (例如 1 小時) 抑制重複偵測相同活動。
排除條件：排除條件會在相符項目觸發警示前，先篩除相符項目，防止特定偵測項目觸發警示。符合規則邏輯但不符合排除條件的事件，會正常觸發偵測。
SOAR 教戰手冊：根據特定實體查詢 (例如 IP 位址或主機名稱)，在指定時間內抑制警示。
SOAR 快訊分組：根據您的條件，自動將相似的快訊歸類為單一案件，簡化調查作業。
透過節流功能抑制快訊
在首次比對規則後，限流功能會在指定時間內抑制偵測。在規則邏輯中使用 suppression_window 和 suppression_key 選項時，系統只會針對抑制鍵的第一個不重複組合產生偵測結果。Google SecOps 會抑制該組合的所有後續比對結果，直到定義的時間範圍到期。
這種方法可有效減少因相同基礎活動而重複偵測的情況。
用途
PowerShell 執行：在初始事件發生後的一小時內，抑制同一使用者和主機的重複快訊。
網路掃描：首次偵測到惡意通訊埠掃描器後，在六小時內抑制重複的警示。
監控雜訊規則
如要找出雜訊規則，請按照下列步驟操作：
按一下「選單」，然後依序選取「偵測」>「規則和偵測」。
在「規則編輯器」分頁中選取規則，然後按一下「測試」。
調整日期範圍選取器，分析過去七天的資料。如果規則每天產生超過 100 項偵測結果，可能表示範圍太廣。
按一下「選單」圖示 ，然後點選「查看規則偵測結果」。偵測詳細資料頁面隨即顯示。
在「Procedural Filtering」(程序篩選) 面板中，找出有影響的 UDM 欄位。
修改
match區段或$suppression_key，減少偵測數量。
範例：依位置識別不重複登入
如要依位置識別不重複的登入活動，同時避免警示疲勞，可以抑制來自同一州的偵測。查看 UDM 欄位 event.principal.location.state，瞭解各州的偵測次數。
如果特定狀態顯示的計數過高，請將該欄位新增至 suppression 或 match 鍵。這可確保系統只會針對每個不重複的登入位置觸發一次偵測。
設定偵測項目調節
在初始警告觸發後，調節功能會在指定時間內抑制偵測。如要限制重複偵測，請在規則的 options 部分新增 suppression_window。請遵守下列規範：
單一事件規則：在
outcome區段中定義$suppression_key變數，做為簡化鍵。多事件規則：使用
match區段中的變數做為簡化鍵。時間範圍長度：請確認
suppression_window大於或等於match時間範圍大小。如果將其設為相同時間長度，規則的行為會如同未套用抑制。限制：排除時間範圍沒有上限。
相容性：調節功能適用於單一和多重事件規則，以及自訂和精選規則。
範例：監控 Windows 檔案共用活動
下列規則會監控 Windows 檔案共用活動。系統會在 60 分鐘 (1hr) 內為每位不重複使用者和主機名稱建立一項偵測，然後在 24 小時 (24h) 內抑制相同組合的重複比對。
rule rule_noisy_winshares {
meta:
author = "Google Cloud Security"
events:
$e.metadata.event_type = "NETWORK_CONNECTION"
$e.target.resource.name = /(C|ADMIN|IPC)\$/ nocase
$user = $e.principal.user.userid
$hostname = $e.target.hostname
match:
$hostname, $user over 1h
outcome:
$sharename = array_distinct($e.target.resource.name)
condition:
$e
options:
suppression_window = 24h
}
這項設定可讓分析人員調查初始活動，而不必在抑制期間處理同一使用者和主機的重複快訊。
使用規則排除項目抑制警告
排除條件會在相符項目觸發警示前進行篩選，防止特定偵測項目。如果比對結果符合排除邏輯，系統就會隱藏偵測結果。如果事件符合規則邏輯，但不符合排除條件，則會繼續正常觸發偵測。套用後，排除條件會保持有效，直到您手動停用為止。
您可以在「規則和偵測」頁面的「排除項目」分頁，查看、管理及稽核完整的排除項目清單和相關中繼資料。您也可以使用測試排除功能，評估特定篩選器對偵測量的影響，再決定是否套用。
如要使用 API 建立排除項目，請參閱「使用 API 管理規則排除項目」。
用途
隱藏授權 IT 工具執行的合法 PowerShell。
排除執行大量通訊埠掃描的內部安全漏洞掃描程式。
建立規則排除條件
如要為干擾規則建立排除條件，請按照下列步驟操作：
依序前往「Menu」(選單) >「Detection」(偵測) >「Rules and Detections」(規則和偵測)。
在「規則資訊主頁」分頁中，找出偵測次數偏高的規則。
按一下「規則名稱」，開啟「偵測」頁面。
依序點選「規則選項」>「排除」。
指定下列詳細資料，新增排除篩選器：
排除條件名稱
適用的規則或規則集
符合指定條件時，用於抑制偵測項目的排除條件。如要新增多個條件，請遵循下列規範：
如要建立邏輯 OR 關係，請使用 Enter 鍵在單一資料列中輸入多個值。
例如
principal.ip IS 192.158.1.38 OR principal.ip IS 192.186.0.2。按一下「+ Conditional Statement」，新增與前一個陳述式具有邏輯
AND關係的新陳述式。例如
(principal.ip IS 192.158.1.38 OR principal.ip IS 192.186.0.2) AND (principal.user.userid CONTAINS sensitive)。
(選用) 按一下「測試排除條件」，查看篩選器如何評估過去 30 天內減少的偵測項目。根據結果調整條件。
按一下「建立」，啟用排除條件。
管理規則排除條件
如要管理排除項目，請按照下列步驟操作：
依序前往「Menu」(選單) >「Detection」(偵測) >「Rules and Detections」(規則和偵測)。
前往「排除條件」分頁，查看排除條件清單。您可以採取以下做法：
如要啟用或停用排除條件，請切換「已啟用」。
如要篩選排除項目，請按一下 「Filter」(篩選)。
如要編輯排除條件，請依序按一下「選單」圖示 「編輯」。
如要封存排除條件，請按一下 「Menu」(選單) >「Archive」(封存)。
如要還原排除項目，請依序按一下「選單」「取消封存」。
如要使用 API 建立及管理規則排除項目，請參閱「透過 API 管理規則排除項目」。
限制
設定排除條件時，請注意下列限制：
複合規則：請勿直接對複合規則套用規則排除條件。您必須將排除條件套用至構成複合規則的基礎規則。這是因為規則排除條件是根據 UDM 欄位 (例如
principal.user.userid) 評估，但複合規則是根據其他偵測結果 (而非 UDM 欄位) 觸發。如果直接將規則排除條件套用至複合規則，排除條件將無法比對，且事件不會遭到排除。如要找出基本規則，請按照下列步驟操作：
- 前往 Google SecOps 控制台的「內容中心」。
- 按一下「精選偵測規則」分頁標籤，或搜尋特定規則套件。
- 找出複合規則，然後按一下「查看及管理」。
- 選取「規則定義」，即可查看基礎 YARA-L 原始碼。
- 查看 YARA-L 邏輯的
events:部分，找出基礎規則名稱。
查詢語法和欄位深度：API 排除查詢必須使用扁平合取範式 (CNF) 布林語法，以及最多 6 個以點分隔區段的 UDM 欄位路徑。詳情請參閱「查詢語法和欄位規則」。
此外，請注意控制台和 API 之間的功能差異：
規則範圍：在控制台中，您可以同時將排除條件套用至多個精選規則，但一次只能套用至一個自訂規則。
結果變數：如要建立使用結果變數邏輯的排除條件，必須使用 API。
透過 SOAR 應對手冊抑制警告
SOAR 應對手冊可根據特定查詢條件，找出並抑制重複的警告。應對手冊會隱藏警告，直到預先定義的到期時間，然後自動從表格中移除警告。分析師會使用這個方法，在特定時間內隱藏特定實體 (例如 IP 位址或主機名稱) 的警示。
與其他方法不同，這項機制會追蹤歷來資料，並在案件詳細資料中提供明確的抑制動作稽核追蹤記錄。
用途
在收到可疑 IP 位址傳入連線要求的第一個警示後，隱藏後續警示，同時保留隱藏稽核追蹤記錄。
在 SOAR 中將警告分組
快訊分組功能會根據您定義的條件，自動將 24 小時內產生的類似快訊分組。系統會將分組的警示整合到單一案件中，以便調查。
詳情請參閱「警告分組機制」。
還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。