設定警告分組

支援：

快訊分組機制會將快訊分組為案件，為資安分析師提供更完善的情境資訊，有效解決問題。目標是強調安全性警示額外背景資訊的重要性，並避免分析師在沒有適當背景資訊的情況下調查同一事件，進而浪費時間或不當處理事件。系統只會將未結案的快訊和案件分組，不會重新開啟已結案的案件。

如要設定快訊分組機制，請依序前往「SOAR 設定」 >「進階」 >「快訊分組」。

「一般」部分包含跨平台設定：

  • 能分組至單一案件的最大警告數：定義可分組至單一案件的最大警告數 (30)。達到上限後，系統會建立新案件。
  • 警告分組時間範圍 (小時)：設定案件警告的分組時間範圍 (以小時為單位，範圍為 0.5 到 24 小時，間隔為半小時)。這項設定不適用於依來源分組 ID 分組的規則。
  • 將實體和來源分組 ID 分組至同一案件：啟用後，如果警告應根據分組規則依來源分組 ID 分組，系統會先尋找具有相同來源分組 ID 的警告。如果找不到，系統會尋找具有共同實體的所有案件，並據此 (以及根據跨平台時間範圍) 將警告分組。來源分組 ID 警告分組僅依據 sourceGroupIdentifier 和 maxAlertsInCase。不使用時間範圍。
  • 允許在依來源分組 ID 分組時重新開啟已關閉的案件：您可以設定系統是否應在依來源分組 ID 分組快訊時，重新開啟已關閉的案件。如果啟用「允許重新開啟依來源分組 ID 分組的已關閉案件」，當系統收到新的快訊，且來源分組 ID 與已關閉的案件相同時，Google SecOps 會自動重新開啟已關閉的案件，並直接將新快訊擷取至該案件。如果保持停用這個選項 (預設行為)，Google SecOps 會開啟新案件。為減少重複的新案件，並確保與第三方系統一致，Google 建議啟用這項設定，做為最佳做法。

規則

您可以在「Rules」(規則) 區段中，建立指定不同分組選項的特定規則。

分組範例

快訊分組機制可讓您建立分組規則，控制要將哪些類型的快訊分組到案件中。舉例來說，上午 10:00 時，系統將目的地主機為 10.1.1.13 的「C&C traffic」快訊新增至名為「Malware Found」的案件。

上午 11:00 時，系統會顯示另一個快訊「使用者帳戶已變更」，目的地主機相同。Google Security Operations 會識別參與這兩項快訊的相同實體，並在設定的時間範圍內，將第二個快訊分組到「惡意軟體已找到」案件中。

規則階層

規則會依階層系統運作，每則傳入的快訊都會按照下列順序與規則進行比對：

  1. 快訊類型：例如網路釣魚快訊。
  2. 產品：例如 Cybereason EDR。
  3. 資料來源：例如 Arcsight SIEM。
  4. 備用規則：如果找不到快訊類型、產品或資料來源的相符項目，就會使用這項規則。

一旦找到相符規則，系統就會停止檢查。如果快訊符合規則，且沒有現有案件可歸類，就會新增至新案件。您無法在相同階層中為相同的值建立兩項規則。例如：資料來源 - ArcSight 只能有一項規則。

備用規則

平台內建一項無法刪除的規則。這項備用規則可做為警示的一般通用規則，確保案件中一律有分組。不過，您可以編輯下列選項：

  • 分組依據：選擇「Entities」(實體) 或「Source Grouping Identifier」(來源分組 ID) (適用於來自原始系統且附加預先存在群組 ID 的快訊。舉例來說，QRadar 快訊有一個名為「offense」的 ID，也就是在 QRadar 中所屬的群組 ID。
  • 將實體分組 (依方向)：僅適用於實體。

「不要分組」規則

「不分組」規則可讓您獨立處理警告 (不會與其他警告分組到案件中)。如果特定警示需要獨立調查，不與其他案件連結，這項功能就非常實用。

如要進一步瞭解如何從快訊分組中排除特定實體，請參閱「建立封鎖清單，從快訊中排除實體」。

在規則中使用「分組實體」時，系統只需要一個相符的實體，即可將快訊分組。

舉例來說，分組規則指定下列實體：

  • 來源 IP
  • 目的地 IP
  • 使用者名稱

如果快訊與其中任一實體相符，就會歸入包含該實體的現有案件，即使其他實體不相符也一樣。

請參考以下兩則快訊：

  • 快訊 1：
    來源 IP 位址：192.168.1.10
    目的地 IP 位址：10.0.0.5
    使用者名稱：user123
  • 快訊 2：
    來源 IP 位址：192.168.1.10
    目的地 IP 位址：10.0.0.6
    使用者名稱：user456

由於這兩則快訊的「來源 IP 位址」相同 (192.168.1.10)，因此即使「目的地 IP 位址」和「使用者名稱」不同，也會歸入同一個案件。

為特定用途建立規則

下一節將說明建立動態和情境感知警告分組規則的用途。

應用實例：依來源和實體將警告分組

某企業公司使用 Arcsight 和 Cybereason EDR 兩個連接器，希望依據來源和目的地實體將 Arcsight 快訊分組，並依據特定條件將 Cybereason EDR 快訊分組：

Arcsight 快訊：依來源和目的地實體分組。

Cybereason EDR 網路釣魚快訊：僅依來源實體分組。

將 Cybereason EDR 登入失敗警示分組：僅依目的地實體分組。

如要涵蓋這個應用實例，請建立下列規則。Google SecOps 會將最終規則視為「備用」規則。

規則一：

  • 類別 = 資料來源
  • 值 = Arcsight
  • 分組依據 = 實體
  • 分組實體 = 來源和目的地

規則二：

  • 類別 = 快訊類型
  • 值 = 網路釣魚
  • 分組依據 = 實體
  • 分組實體 = 來源 (SourceHostName、SourceAddress、SourceUserName)

規則三：

  • 類別 = 快訊類型
  • 值 = 登入失敗
  • 分組依據 = 實體
  • 分組實體 = 目的地 (DestinationAddress、DestinationUserName)

規則四 (備用)：

  • Category = All
  • 值 = 所有快訊
  • 分組實體 = 所有實體

用途：自動調整分組邏輯

某家 MSSP 的客戶使用 QRadar 連接器，並希望按照 QRadar 的顯示方式將快訊分組。他們還有另一個客戶使用 Arcsight，並希望依據常見實體將這個客戶的快訊分組，但網路釣魚快訊除外，這類快訊應依據目的地實體分組。

如要涵蓋這個用途，請建立下列規則：

規則一：

  • 類別 = 資料來源
  • 值 = QRadar
  • 分組依據 = 來源分組 ID
  • Grouping Entities = (留空)

規則二：

  • 類別 = 資料來源
  • 值 = Arcsight
  • 分組依據 = 實體
  • 分組實體 = 所有實體

規則三：

  • 類別 = 快訊類型
  • 值 = 網路釣魚
  • 分組依據 = 實體
  • 分組實體 = 目的地 (DestinationAddress、DestinationUserName)

規則四 (備用)：

  • Category = All
  • 值 = 所有快訊
  • 分組實體 = 所有實體

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。