Mengonfigurasi overflow pemberitahuan

Didukung di:

Dokumen ini ditujukan untuk administrator yang mengonfigurasi mekanisme alert overflow untuk mengelola pemberitahuan dan menjaga performa sistem. Mekanisme alert overflow dirancang untuk mencegah overflow sistem dan meningkatkan pengurangan bising saat terjadi pemberitahuan dalam jumlah besar dari lingkungan, produk, dan aturan yang sama dalam waktu singkat. Mekanisme ini membantu menghindari serangan berulang, seperti brute force atau DDoS, agar tidak membanjiri platform dan database, sekaligus memastikan SOC terus berfungsi sesuai rencana.

Mekanisme pengelompokan pemberitahuan secara cerdas mengelompokkan pemberitahuan ke dalam kasus berdasarkan entitas bersama dan kedekatan waktu, sehingga analis dapat melakukan analisis kontekstual terhadap beberapa pemberitahuan dalam satu kasus.
Dalam kasus ini, Anda akan melihat beberapa pemberitahuan dalam satu kasus, dan entitas bersama yang ditandai dalam daftar entitas dan halaman Explorer.

Konfigurasi luapan

Ada dua konfigurasi berbeda untuk mekanisme tambahan:

  • Konfigurasi overflow awal: Konfigurasi ini di-hardcode dalam database dan menentukan kondisi pemicu. Mekanisme ini diaktifkan saat lebih dari 50 pemberitahuan serupa diserap dalam jangka waktu 10 menit. Hal ini ditentukan oleh metode Is_Overflow, yang dikonfigurasi di sisi konektor (ditambahkan ke kode konektor di Lingkungan Pengembangan Terintegrasi (IDE)). Setelah dipicu, sistem akan menambahkan kasus tambahan ke antrean kasus. Kasus ini berisi satu pemberitahuan yang menunjukkan lingkungan, produk, dan aturan pemberitahuan yang meluap, beserta tag luapan.
  • Konfigurasi overflow kedua: Konfigurasi ini menentukan perilaku sistem setelah mekanisme overflow dipicu. Anda dapat menentukannya di Setelan > Investigasi > Pengelompokan Notifikasi di bagian Overflow.
    • Timeframe for Overflow Case grouping (in hours): Pilih jumlah jam untuk mengelompokkan pemberitahuan overflow untuk kasus tersebut. Hal ini hanya berlaku untuk aturan yang dikelompokkan hanya berdasarkan entitas.
    • Jumlah maksimum pemberitahuan yang dikelompokkan ke dalam sebuah Kasus Overflow: Tentukan jumlah maksimum pemberitahuan overflow yang akan dikelompokkan ke dalam satu kasus.

      Misalnya, jika 50 pemberitahuan phishing diserap dalam waktu 8 menit, pemberitahuan ke-51 akan memicu mekanisme overflow, dan kasus overflow akan dibuat. Selama tiga jam berikutnya, 119 pemberitahuan phishing lainnya diserap, sehingga menghasilkan empat kasus tambahan, yang masing-masing berisi 30 pemberitahuan. Setelah tiga jam berakhir, sistem akan kembali ke konfigurasi default.
Untuk mengoptimalkan performa, sistem sengaja mengabaikan ekstraksi entity untuk kasus overflow. Akibatnya, objek seperti stempel waktu, IP, hash, atau domain tidak dipetakan selama peristiwa ini.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.