Configurer le dépassement d'alerte

Compatible avec :

Ce document s'adresse aux administrateurs qui configurent le mécanisme de dépassement d'alertes pour gérer les alertes et maintenir les performances du système. Le mécanisme de dépassement d'alerte est conçu pour éviter le dépassement du système et améliorer la réduction du bruit lorsque de grands volumes d'alertes provenant du même environnement, du même produit et de la même règle se produisent sur une courte période. Ce mécanisme permet d'éviter que des attaques répétitives, telles que des attaques par force brute ou DDoS, ne submergent la plate-forme et la base de données, tout en veillant à ce que le SOC continue de fonctionner comme prévu.

Le mécanisme de regroupement des alertes regroupe intelligemment les alertes dans des demandes en fonction des entités mutuelles et de la proximité temporelle, ce qui permet aux analystes d'effectuer une analyse contextuelle de plusieurs alertes dans une même demande.
Dans ce cas, plusieurs alertes s'affichent dans une même demande, et les entités mutuelles sont marquées dans la liste des entités et sur la page Explorateur.

Configuration du débordement

Il existe deux configurations distinctes pour le mécanisme de débordement :

  • Configuration de dépassement initiale : cette configuration est codée en dur dans la base de données et définit les conditions de déclenchement. Le mécanisme s'active lorsque plus de 50 alertes similaires sont ingérées dans un délai de 10 minutes. Cela est déterminé par la méthode Is_Overflow, qui est configurée côté connecteur (ajoutée au code du connecteur dans l'environnement de développement intégré (IDE)). Une fois déclenché, le système ajoute une demande de débordement à la file d'attente des demandes. Cette demande contient une alerte indiquant l'environnement, le produit et la règle de l'alerte de dépassement, ainsi qu'un tag de dépassement.
  • Deuxième configuration de dépassement : cette configuration définit le comportement du système après le déclenchement du mécanisme de dépassement. Vous pouvez définir ce paramètre dans Paramètres > Investigation > Regroupement d'alertes, dans la section Débordement.
    • Délai de regroupement des cas de débordement (en heures) : choisissez le nombre d'heures pendant lesquelles regrouper les alertes de débordement pour le cas. Cela ne s'applique qu'aux règles regroupées uniquement par entités.
    • Nombre maximal d'alertes regroupées dans un cas de débordement : définissez le nombre maximal d'alertes de débordement à regrouper dans un cas.

      Par exemple, si 50 alertes d'hameçonnage sont ingérées en huit minutes, la 51e alerte déclenche le mécanisme de dépassement, et une demande de dépassement est créée. Au cours des trois heures suivantes, 119 autres alertes d'hameçonnage sont ingérées, ce qui entraîne quatre cas de dépassement, chacun contenant 30 alertes. Une fois les trois heures écoulées, le système revient à la configuration par défaut.
Pour optimiser les performances, le système ignore intentionnellement l'extraction d'entités pour les cas de dépassement. Par conséquent, les objets tels que les codes temporels, les adresses IP, les hachages ou les domaines ne sont pas mappés lors de ces événements.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.