Configurare l'overflow degli avvisi
Questo documento è destinato agli amministratori che configurano il meccanismo di overflow degli avvisi per gestire gli avvisi e mantenere le prestazioni del sistema. Il meccanismo di overflow degli avvisi è progettato per prevenire l'overflow del sistema e migliorare la riduzione del rumore quando si verificano grandi volumi di avvisi dallo stesso ambiente, prodotto e regola in un breve periodo di tempo. Questo meccanismo aiuta a evitare che attacchi ripetitivi, come attacchi di forza bruta o DDoS, inondino la piattaforma e il database, garantendo al contempo che il SOC continui a funzionare come previsto.
Il meccanismo di raggruppamento degli avvisi raggruppa in modo intelligente gli avvisi in
casi in base alle entità comuni e alla prossimità temporale, consentendo agli analisti
di eseguire un'analisi contestuale di più avvisi in un unico caso.
In questi casi, vedrai più avvisi in un unico caso e le entità comuni contrassegnate nell'elenco delle entità e nella pagina Explorer.
Configurazione overflow
Esistono due configurazioni distinte per il meccanismo di overflow:
- Configurazione iniziale dell'overflow: questa configurazione è hardcoded
nel database e definisce le condizioni di attivazione. Il meccanismo si attiva quando vengono importati più di 50 avvisi simili in un periodo di tempo di 10 minuti. Questo valore è determinato dal metodo
Is_Overflow, configurato sul lato del connettore (aggiunto al codice del connettore nell'ambiente di sviluppo integrato (IDE)). Una volta attivato, il sistema aggiunge una richiesta di overflow alla coda delle richieste. Questa richiesta contiene un avviso che indica l'ambiente, il prodotto e la regola dell'avviso in overflow, insieme a un tag di overflow. - Seconda configurazione di overflow: questa configurazione definisce il comportamento del sistema dopo l'attivazione del meccanismo di overflow. Puoi definirlo in Impostazioni SOAR > Avanzate > Raggruppamento avvisi nella sezione Overflow.
- Periodo di tempo per il raggruppamento delle richieste di overflow (in ore): scegli il numero di ore in cui raggruppare gli avvisi di overflow per la richiesta. Questo viene applicato solo alle regole raggruppate esclusivamente per entità.
-
Numero massimo di avvisi raggruppati in una richiesta di overflow: definisci il numero massimo di avvisi di overflow da raggruppare in un unico caso.
Ad esempio, se vengono inseriti 50 avvisi di phishing entro 8 minuti, il 51° avviso attiva il meccanismo di overflow e viene creato un caso di overflow. Nelle tre ore successive vengono inseriti altri 119 avvisi di phishing, con la conseguente creazione di quattro richieste di overflow, ciascuna contenente 30 avvisi. Allo scadere delle tre ore, il sistema torna alla configurazione predefinita.
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.