管理大型提醒

通过连接器或 Webhook 提取的大多数安全提醒不会影响系统性能。但是，如果提醒的大小超过 26.7 MB（2,800 万个字符）或超出特定事件和关系计数阈值，则会触发自动缓解流程（称为“修剪”），以防止处理延迟。

本页介绍了不同的修剪机制、其限制以及防止提醒被修剪的最佳实践。

提取前提醒修剪（基于大小）

当提醒的大小超过 26.7 MB（2,800 万个字符）时，平台会在提醒排队等待提取之前触发分阶段修剪流程。平台会按顺序执行每个阶段，仅当上一阶段未能将提醒大小减小到 26.7 MB 以下时，才会启动下一阶段：

1. 修剪最大的数据字段： 系统会识别每个事件的原始数据中最大的字段 如果字段的值超过 35 个字符，则该值将被替换为字面量字符串： "Trimmed due to alert size violation."
2. 修剪字段计数: 每个事件中的数据字段总数上限为 100 个字段，系统会优先处理较短的字段。超出此限制的任何 字段都将被移除。
3. 修剪事件计数： 提醒中的事件总数上限为 50 个事件，系统会根据原始数据大小优先处理较短的事件。超出此限制的任何事件都将被移除。

可见性和通知

• 系统通知： 当提醒被修剪时，系统会发出通知，其中包含以下消息：
  Alert <alert name> with ID <alert id> was trimmed due to maximum alert size violation. Please check connectors configuration
• 支持请求视图： 支持请求本身没有直接的视觉指示， 但提醒字段包含一个属性，该属性设置为 isTrimmed: true。

提取流水线修剪（事件计数限制）

如果提醒包含的事件超过 500 个，则在提取期间会舍弃多余的事件。

• 提醒属性： 提醒会使用属性 IsCaseEventsOverFlowFlag: true 进行标记。
• 模拟支持请求通知： 系统每 60 分钟会创建一个带有后缀 ***OVERFLOW*** 的模拟支持请求，以通知管理员。

实体和关系修剪

为了保持性能，系统会将提醒中的实体和关系数量限制为最多 500 个。

修剪按以下方式执行：

1. 重复关系修剪： 如果关系数量超过 500 个，系统会先移除重复关系（即在多个事件中连接了相同的两个实体，即使标识符不同也是如此）。
2. 一对多实体和关系修剪：
   • 系统会识别与 15 个或 更多相同类型的“相关实体”关联的“重要实体”。
   • 对于这些相关实体，系统会：
     • 仅保留最常见的实体类型。
     • 排除具有多个关系的实体。
     • 排除也被归类为重要实体的实体。
   • 系统会删除相关实体及其关联的关系，直到 总数低于 500，同时保持每种 实体类型的比例与原始集一致。

高限制豁免

如果提醒最初包含的实体或关系超过 10,000 个，则不会执行修剪 。此豁免可防止因严重的来源连接器或本体映射问题而损坏提醒。

避免修剪的最佳实践

为防止提醒被修剪，请应用以下优化措施：

• 过滤不必要的字段： 将连接器或 Webhook 来源配置为仅发送必要字段，并排除大型诊断载荷。
• 限制事件量： 设置提取过滤器，以按逻辑方式对提醒进行分组，或限制每个轮询周期提取的事件数量上限。
• 优化本体映射： 确保本体映射准确无误，并且不会生成不必要的实体关系，以免提醒超出 500 或 10,000 个实体的限制。
• 避免使用大型字段值： 确保字段不会捕获超出 35 个字符的单字段阈值的大型非结构化数据 blob（例如原始日志转储或 base64 文件）。

如需了解默认服务限制，请参阅 服务限制。

如需请求调整限制参数值，请与 Google 支持团队联系。