Benachrichtigungsüberlauf konfigurieren

Unterstützt in:

Dieses Dokument richtet sich an Administratoren, die den Mechanismus für den Warnungsüberlauf konfigurieren, um Warnungen zu verwalten und die Systemleistung aufrechtzuerhalten. Der Mechanismus für den Benachrichtigungsüberlauf soll einen Systemüberlauf verhindern und die Rauschunterdrückung verbessern, wenn in kurzer Zeit große Mengen an Benachrichtigungen aus derselben Umgebung, demselben Produkt und derselben Regel auftreten. Dieser Mechanismus trägt dazu bei, dass wiederholte Angriffe wie Brute-Force- oder DDoS-Angriffe die Plattform und die Datenbank nicht überlasten, während das SOC weiterhin wie geplant funktioniert.

Der Mechanismus zur Gruppierung von Warnungen gruppiert Warnungen auf intelligente Weise in Fälle, basierend auf gemeinsamen Entitäten und zeitlicher Nähe. So können Analysten eine Kontextanalyse mehrerer Warnungen in einem Fall durchführen.
In diesen Fällen werden mehrere Benachrichtigungen in einem Fall angezeigt und gemeinsame Entitäten werden in der Entitätenliste und auf der Seite Explorer markiert.

Überlaufkonfiguration

Es gibt zwei verschiedene Konfigurationen für den Überlaufmechanismus:

  • Ursprüngliche Überlaufkonfiguration: Diese Konfiguration ist in der Datenbank hartcodiert und definiert die Triggerbedingungen. Der Mechanismus wird aktiviert, wenn innerhalb von 10 Minuten mehr als 50 ähnliche Benachrichtigungen eingehen. Dies wird durch die Methode Is_Overflow bestimmt, die auf der Connector-Seite konfiguriert wird (dem Connector-Code in der integrierten Entwicklungsumgebung (IDE) hinzugefügt). Nach dem Auslösen fügt das System der Fallwarteschlange einen Überlauffall hinzu. Dieser Fall enthält eine Benachrichtigung, die die Umgebung, das Produkt und die Regel der überlaufenden Benachrichtigung sowie ein Überlauf-Tag angibt.
  • Zweite Überlaufkonfiguration: Diese Konfiguration definiert das Verhalten des Systems, nachdem der Überlaufmechanismus ausgelöst wurde. Sie können dies unter Einstellungen > Prüfung > Benachrichtigungsgruppierung im Abschnitt Überlauf festlegen.
    • Zeitraum für die Gruppierung von Überlauf-Fällen (in Stunden): Wählen Sie die Anzahl der Stunden aus, in denen die Überlauf-Benachrichtigungen für den Fall gruppiert werden sollen. Dies gilt nur für Regeln, die ausschließlich nach Entitäten gruppiert sind.
    • Max. Anzahl an Benachrichtigungen, die in einen Überlauf-Fall gruppiert sind: Legen Sie die maximale Anzahl von Überlauf-Benachrichtigungen fest, die in einem Fall gruppiert werden sollen.

      Wenn beispielsweise innerhalb von 8 Minuten 50 Phishing-Benachrichtigungen aufgenommen werden, löst die 51. Benachrichtigung den Überlaufmechanismus aus und es wird ein Überlauffall erstellt. In den nächsten drei Stunden werden weitere 119 Phishing-Benachrichtigungen aufgenommen, was zu vier Überlauffällen mit jeweils 30 Benachrichtigungen führt. Nach Ablauf der drei Stunden kehrt das System zur Standardkonfiguration zurück.
Um die Leistung zu optimieren, umgeht das System die Entitätsextraktion bei Überlauf-Fällen absichtlich. Daher werden Objekte wie Zeitstempel, IP-Adressen, Hashes oder Domains bei diesen Ereignissen nicht zugeordnet.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten