アラート オーバーフローを構成する

以下でサポートされています。

このドキュメントは、アラート オーバーフロー メカニズムを構成してアラートを管理し、システム パフォーマンスを維持する管理者を対象としています。アラートのオーバーフロー メカニズムは、同じ環境、プロダクト、ルールからの多くのアラートが短期間に発生している場合に、システムのオーバーフローを防ぎ、ノイズ低減を改善するように設計されています。このメカニズムにより、ブルート フォースや DDoS などの繰り返し攻撃によってプラットフォームとデータベースが溢れるのを防ぎ、SOC が計画どおりに機能し続けることができます。

アラート グループ化メカニズムは、相互エンティティと時間の近接性に基づいてアラートをケースにインテリジェントにグループ化します。これにより、アナリストは 1 つのケースで複数のアラートのコンテキスト分析を実行できます。
このような場合、1 つのケースで複数のアラートが表示され、エンティティ リストと [エクスプローラ] ページに相互エンティティとしてマークされます。

オーバーフロー構成

オーバーフロー メカニズムには、次の 2 つの構成があります。

  • 初期オーバーフロー構成: この構成はデータベースにハードコードされ、トリガー条件を定義します。このメカニズムは、10 分以内に 50 を超える類似アラートが取り込まれると有効になります。これは、コネクタ側で構成された Is_Overflow メソッドによって決定されます（統合開発環境（IDE）のコネクタコードに追加されます）。トリガーされると、システムはオーバーフロー ケースをケースキューに追加します。このケースには、オーバーフローするアラートの環境、プロダクト、ルールを示す 1 つのアラートと、オーバーフロー タグが含まれています。
  • 2 番目のオーバーフロー構成: この構成では、オーバーフロー メカニズムがトリガーされた後のシステムの動作を定義します。これは、[オーバーフロー] セクションの [設定] > [調査] > [アラートのグループ化] で定義できます。
    • オーバーフロー ケースのグループ化の時間（時間単位）: ケースのオーバーフロー アラートをグループ化する時間数を選択します。これは、エンティティによってのみグループ化されたルールにのみ適用されます。
    • オーバーフロー ケースにグループ化されたアラートの最大数: 1 つのケースにグループ化するオーバーフロー アラートの最大数を定義します。

      たとえば、50 件のフィッシング アラートが 8 分以内に取り込まれた場合、51 件目のアラートでオーバーフロー メカニズムがトリガーされ、オーバーフロー ケースが作成されます。 次の 3 時間に 119 件のフィッシング アラートが取り込まれ、4 つのオーバーフロー ケースが発生します。各ケースには 30 件のアラートが含まれます。3 時間が経過すると、システムはデフォルトの構成に戻ります。
パフォーマンスを最適化するため、システムはオーバーフロー ケースのエンティティ抽出を意図的にバイパスします。そのため、これらのイベント中にタイムスタンプ、IP、ハッシュ、ドメインなどのオブジェクトはマッピングされません。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。