הגדרת התראות על חריגה מהמכסה
המסמך הזה מיועד לאדמינים שמגדירים את מנגנון ההצפה של ההתראות כדי לנהל את ההתראות ולשמור על ביצועי המערכת. מנגנון ההצפה של ההתראות נועד למנוע הצפה של המערכת ולשפר את הפחתת הרעש כשכמויות גדולות של התראות מאותה סביבה, מאותו מוצר ומאותו כלל מתרחשות בפרק זמן קצר. המנגנון הזה עוזר למנוע ממתקפות חוזרות, כמו מתקפות כוח גס או DDoS, להציף את הפלטפורמה ואת מסד הנתונים, ומבטיח שמרכז ה-SOC ימשיך לפעול כמתוכנן.
מנגנון קיבוץ ההתראות מקבץ התראות בצורה חכמה למקרים על סמך ישויות משותפות וסמיכות בזמן, ומאפשר לאנליסטים לבצע ניתוח לפי הקשר של כמה התראות במקרה אחד.
במקרים כאלה, יוצגו כמה התראות בבקשה אחת, וישויות משותפות יסומנו ברשימת הישויות ובדף Explorer.
הגדרת שיחות עודפות
יש שתי הגדרות שונות למנגנון ההעברה:
- הגדרת ההצפה הראשונית: ההגדרה הזו מקודדת באופן קשיח במסד הנתונים ומגדירה את תנאי הטריגר. המנגנון מופעל כשמתקבלות יותר מ-50 התראות דומות בפרק זמן של 10 דקות. האפשרות הזו נקבעת לפי השיטה
Is_Overflow, שמוגדרת בצד של המחבר (נוספת לקוד של המחבר בסביבת הפיתוח המשולבת (IDE)). אחרי שהמערכת מופעלת, היא מוסיפה בקשת תמיכה לתור. הפנייה הזו מכילה התראה אחת שמציינת את הסביבה, המוצר והכלל של ההתראה שחרגה מהמגבלה, יחד עם תג חריגה. - הגדרה שנייה של חריגה: ההגדרה הזו קובעת איך המערכת תתנהג אחרי שמנגנון החריגה מופעל. אפשר להגדיר את זה בקטע Overflow (הצפה) בהגדרות > חקירה > קיבוץ התראות.
- Timeframe for Overflow Case grouping (in hours): בוחרים את מספר השעות שבהן יקובצו ההתראות על חריגה מהמכסה של בקשת התמיכה. ההגדרה הזו חלה רק על כללים שמקובצים לפי ישויות בלבד.
-
Max. alerts grouped into an Overflow Case: מספר ההתראות המקסימלי שיופיעו בבקשת תמיכה אחת.
לדוגמה, אם 50 התראות פישינג נכנסות תוך 8 דקות, ההתראה ה-51 מפעילה את מנגנון ההצפה, ונוצר אירוע הצפה. במהלך שלוש השעות הבאות, נקלטים עוד 119 התראות פישינג, וכתוצאה מכך נוצרים ארבעה אירועי גלישה, שכל אחד מהם מכיל 30 התראות. אחרי שלוש שעות, המערכת חוזרת להגדרות ברירת המחדל.
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.