配置提醒分组
提醒分组机制会将提醒分组到案例中，为安全分析师提供更好的背景信息，以便有效解决问题。目标是强调为安全提醒提供额外背景信息的重要性，并避免分析师在没有适当背景信息的情况下调查同一突发事件，从而可能浪费时间或不当处理突发事件。分组仅针对未结提醒和案例进行，不会重新打开已结案例。
您可以在 SOAR 设置 > 高级 > 提醒分组中配置提醒分组机制。
常规部分包含跨平台设置：
- 分组到一个案例的提醒数量上限：定义要分组到一个案例中的提醒数量上限 (30)。 达到上限后，系统会启动一个新案例。
- 对提醒分组的时间范围（以小时为单位）：设置对案例提醒进行分组的小时数（范围为 0.5-24 小时，以半小时为间隔）。这不适用于按来源分组标识符分组的规则。
-
将实体和来源分组标识符分组到同一案例：启用后，如果根据分组规则，应按来源分组标识符对提醒进行分组，则系统会先查找具有相同来源分组标识符的提醒，如果找不到，则会查找系统中具有共同实体的所有案例，并相应地（以及根据跨平台时间范围）对提醒进行分组。
来源分组标识符提醒分组仅基于
sourceGroupIdentifier和maxAlertsInCase。它不使用时间范围。 - 按来源分组标识符分组时允许重新打开已关闭的案例：您可以配置当提醒按其来源分组标识符分组时，系统是否应重新打开已关闭的案例。如果您启用按来源分组标识符分组时允许重新打开已关闭的案例，那么当收到与已关闭案例具有相同来源分组标识符的新提醒时，Google SecOps 会自动重新打开已关闭的案例，并将新提醒直接注入其中。 如果您停用此选项（默认行为），Google SecOps 会打开一个新案例。为了减少重复的新支持请求并确保与第三方系统保持一致，Google 建议您启用此设置。
规则
在规则部分，您可以创建针对不同分组选项的特定规则。
分组示例
借助提醒分组机制，您可以创建分组规则，以控制分组到案例中的确切提醒类型。作为分组的基本示例，在上午 10:00，系统会将目标主机为 10.1.1.13 的提醒 C&C 流量添加到名为发现恶意软件的案例中。
上午 11:00，系统会看到另一个提醒，即用户账号已更改，其目标主机相同。Google Security Operations 会识别两个提醒中涉及的同一实体，并在配置的时间范围内将第二个提醒分组到发现恶意软件案例中。
规则层次结构
这些规则在分层系统上运行，其中每个传入的提醒都会按以下顺序与规则进行匹配：
- 提醒类型：例如钓鱼式攻击提醒。
- 产品：例如 Cybereason EDR。
- 数据源：例如 Arcsight SIEM。
- 后备规则：在未找到与提醒类型、产品或数据源匹配的规则时使用。
一旦匹配到某条规则，系统就会停止检查。如果某条提醒与某条规则匹配，但没有可分组到的现有案例，则系统会将其添加到新案例中。您无法在同一层次结构中为同一值创建两条规则。例如：数据源 - ArcSight 只能有一条规则。
后备规则
该平台有一条无法删除的预建规则。此后备规则为提醒提供了一个通用的包罗万象的规则，以确保在任何情况下始终进行分组。不过，您可以修改以下选项：
- 分组依据：在实体或来源分组标识符（适用于来自原始系统且附加了预先存在的群组 ID 的提醒）之间进行选择。例如，QRadar 提醒具有一个名为攻击的标识符，该标识符是它们在 QRadar 中所属的群组 ID。）
- 对实体分组（按方向）：仅与实体相关。
“不分组”规则
借助不分组规则，您可以单独处理提醒（它们不会与其他提醒一起分组到案例中）。当需要独立调查特定提醒而不与其他案例关联时，此功能非常有用。
如需详细了解如何从提醒分组中排除特定实体，请参阅创建屏蔽清单以从提醒中排除实体。
在规则中使用分组实体时，系统只需要一个匹配实体即可将提醒分组在一起。
例如，分组规则指定了以下实体：
- 来源 IP
- 目标 IP 地址
- 用户名
如果某个提醒与其中任何一个实体匹配，则会与包含该实体的现有案例归为一组，即使其他实体不匹配也是如此。
请考虑以下两个提醒：
- 提醒 1：
来源 IP 地址：192.168.1.10
目标 IP 地址：10.0.0.5
用户名：user123 - 提醒 2：
来源 IP 地址：192.168.1.10
目标 IP 地址：10.0.0.6
用户名：user456
由于这两个提醒具有相同的来源 IP 地址 (192.168.1.10)，因此即使目标 IP 地址和用户名不同，它们也会被归入同一个案例。
针对特定应用场景创建规则
以下部分介绍了创建动态和情境感知型提醒分组规则的应用场景。
应用场景：按来源和实体进行提醒分组
一家企业公司使用两个连接器（Arcsight 和 Cybereason EDR），希望按来源和目标实体对 Arcsight 提醒进行分组，并按特定条件对 Cybereason EDR 提醒进行分组：
Arcsight 提醒：按来源和目标实体分组。
Cybereason EDR 钓鱼式攻击提醒：仅按来源实体分组。
对 Cybereason EDR 登录失败提醒进行分组：仅按目标实体分组。
如需捕获此用例，请构建以下规则。Google SecOps 将最终规则作为后备规则提供。
规则一：
- 类别 = 数据源
- Value = Arcsight
- 分组依据 = 实体
- 对实体分组 = 来源和目标
规则 2：
- 类别 = 提醒类型
- 值 = 钓鱼式攻击
- 分组依据 = 实体
- 分组实体 = 来源（SourceHostName、SourceAddress、SourceUserName）
规则三：
- 类别 = 提醒类型
- 值 = 登录失败
- 分组依据 = 实体
- 分组实体 = 目标（DestinationAddress、DestinationUserName）
规则 4（后备）：
- 类别 = 全部
- 值 = 所有提醒
- 分组实体 = 所有实体
应用场景：自适应分组逻辑
某 MSSP 的客户正在使用 QRadar 连接器，并希望以与 QRadar 中相同的方式对提醒进行分组。他们还有另一个客户使用 Arcsight，并希望按常见实体对该客户的提醒进行分组，但钓鱼式攻击提醒除外，这些提醒应按目标实体进行分组。
如需捕获此用例，请构建以下规则：
规则一：
- 类别 = 数据源
- 值 = QRadar
- 分组依据 = 来源分组标识符
- Grouping Entities =（留空）
规则 2：
- 类别 = 数据源
- Value = Arcsight
- 分组依据 = 实体
- 分组实体 = 所有实体
规则三：
- 类别 = 提醒类型
- 值 = 钓鱼式攻击
- 分组依据 = 实体
- 分组实体 = 目标（DestinationAddress、DestinationUserName）
规则 4（后备）：
- 类别 = 全部
- 值 = 所有提醒
- 分组实体 = 所有实体
需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。