Configura l'overflow degli avvisi
Questo documento è rivolto agli amministratori che configurano il meccanismo di overflow degli avvisi per gestire gli avvisi e mantenere le prestazioni del sistema. Il meccanismo di overflow degli avvisi è progettato per prevenire l'overflow del sistema e migliorare la riduzione del rumore quando si verificano grandi volumi di avvisi dallo stesso ambiente, prodotto e regola in un breve periodo di tempo. Questo meccanismo aiuta a evitare che attacchi ripetitivi, come brute force o DDoS, sovraccarichino la piattaforma e il database, garantendo al contempo che il SOC continui a funzionare come previsto.
Il meccanismo di raggruppamento degli avvisi raggruppa in modo intelligente gli avvisi in
casi in base alle entità comuni e alla prossimità temporale, consentendo agli analisti
di eseguire un'analisi contestuale di più avvisi in un unico caso.
In questi casi, vedrai più avvisi in un unico caso e le entità comuni contrassegnate nell'elenco delle entità e nella pagina Explorer.
Configurazione dell'overflow
Esistono due configurazioni distinte per il meccanismo di overflow:
- Configurazione iniziale dell'overflow: questa configurazione è hardcoded nel database e definisce le condizioni di attivazione. Il meccanismo si attiva quando vengono importati più di 50 avvisi simili in un periodo di tempo di 10 minuti. Questo è determinato dal metodo
Is_Overflow, che viene configurato sul lato del connettore (aggiunto al codice del connettore nell'ambiente di sviluppo integrato (IDE)). Una volta attivato, il sistema aggiunge una richiesta di overflow alla coda delle richieste. Questa richiesta contiene un avviso che indica l'ambiente, il prodotto e la regola dell'avviso in overflow, insieme a un tag di overflow. - Seconda configurazione di overflow: questa configurazione definisce il comportamento del sistema dopo l'attivazione del meccanismo di overflow. Puoi definirlo in Impostazioni > Indagine > Raggruppamento degli avvisi nella sezione Overflow.
- Periodo di tempo per il raggruppamento delle richieste di overflow (in ore): scegli il numero di ore in cui raggruppare gli avvisi di overflow per la richiesta. Questo viene applicato solo alle regole raggruppate esclusivamente per entità.
-
Numero massimo di avvisi raggruppati in una richiesta di overflow: definisci il numero massimo di avvisi di overflow da raggruppare in un unico caso.
Ad esempio, se vengono importati 50 avvisi di phishing entro 8 minuti, il 51° avviso attiva il meccanismo di overflow e viene creata una richiesta di overflow. Nelle tre ore successive vengono acquisiti altri 119 avvisi di phishing, che generano quattro casi di overflow, ciascuno contenente 30 avvisi. Una volta scadute le tre ore, il sistema torna alla configurazione predefinita.
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.